CN114416507A - 通信行为监控方法、装置、计算机设备及存储介质 - Google Patents

Abstract

本发明实施例公开了一种通信行为监控方法、装置、设备及存储介质。其中，方法包括：获取目标监控对象的通信行为数据；在通信行为数据中识别目标行为模型数据；其中，目标行为模型数据满足至少一个行为模型条件；根据目标行为模型数据获取通信行为数据的行为识别结果数据；确定与行为识别结果数据匹配的目标控制操作，并对目标监控对象执行目标控制操作。本发明实施例可以提升通信行为监控效率和场景覆盖率，优化对通信行为的识别结果和响应机制，确保通信行为安全。

Description

通信行为监控方法、装置、计算机设备及存储介质

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种通信行为监控方法、装置、设备及存储介质。

背景技术

随着移动通信技术的发展和普及，几乎各种通信行为均可以通过移动设备实现，接入网络的终端设备类型也逐渐扩展至各领域范围的物联网设备类型，在极大地方便用户的同时也为通信安全带来挑战。例如，近年来，物联网卡成为海量物联网设备接入互联网的重要通道，然而其无需实名注册、通信成本较低的特征，使物联网卡成为黑产和网络诈骗等非法行为的常用手段。

针对上述问题，现有技术提供的方法通常依赖于数据库的建立，针对卡号或设备的异常通信行为建立大数据号码库或设备信息库，以在监测到与数据库中的号码或设备匹配的通信终端时进行有效拦截。然而，这样的方法仅依靠单一数据库实现，导致要求数据库中存储的数据特征完备，对前期数据积累要求较高，造成局限性较大，无法灵活适用于新型场景；此外，现有技术的方法将特征匹配的通信终端均识别为异常终端，无法区分不同类型或不同程度的异常行为，难以及时识别出安全风险较高的通信行为，同时无法避免误判。

发明内容

本发明实施例提供一种通信行为监控方法、装置、设备及存储介质，以提升通信行为监控效率和场景覆盖率，优化对通信行为的识别结果和响应机制，确保通信行为安全。

第一方面，本发明实施例提供了一种通信行为监控方法，包括：

获取目标监控对象的通信行为数据；

在所述通信行为数据中识别目标行为模型数据；其中，所述目标行为模型数据满足至少一个行为模型条件；

根据所述目标行为模型数据获取所述通信行为数据的行为识别结果数据；

确定与所述行为识别结果数据匹配的目标控制操作，并对所述目标监控对象执行所述目标控制操作。

第二方面，本发明实施例还提供了一种通信行为监控装置，包括：

数据获取模块，用于获取目标监控对象的通信行为数据；

数据识别模块，用于在所述通信行为数据中识别目标行为模型数据；其中，所述目标行为模型数据满足至少一个行为模型条件；

结果获取模块，用于根据所述目标行为模型数据获取所述通信行为数据的行为识别结果数据；

操作执行模块，用于确定与所述行为识别结果数据匹配的目标控制操作，并对所述目标监控对象执行所述目标控制操作。

第三方面，本发明实施例还提供了一种计算机设备，所述计算机设备包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现本发明任意实施例所提供的通信行为监控方法。

第四方面，本发明实施例还提供了一种计算机存储介质，其上存储有计算机程序，该程序被处理器执行时实现本发明任意实施例所提供的通信行为监控方法。

本发明实施例通过获取目标监控对象的通信行为数据，在通信行为数据中进行识别，得到满足至少一个行为模型条件的目标行为模型数据，并根据目标行为模型数据获取通信行为数据的行为识别结果数据，从而确定与行为识别结果数据匹配的目标控制操作，以对目标监控对象执行目标控制操作，实现基于目标监控对象的行为特征对其进行通信行为监控，解决了现有技术中通信行为识别的应用场景局限、识别结果信息量单一等问题，提升通信行为监控效率和场景覆盖率，优化对通信行为的识别结果和响应机制，确保通信行为安全。

附图说明

图1为本发明实施例一提供的一种通信行为监控方法的流程图。

图2为本发明实施例二提供的一种通信行为监控方法的流程图。

图3为本发明实施例二提供的一种通信行为监控的流程示意图。

图4为本发明实施例三提供的一种通信行为监控装置的结构示意图。

图5为本发明实施例四提供的一种计算机设备的结构示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。

另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部内容。在更加详细地讨论示例性实施例之前应当提到的是，一些示例性实施例被描述成作为流程图描绘的处理或方法。虽然流程图将各项操作(或步骤)描述成顺序的处理，但是其中的许多操作可以被并行地、并发地或者同时实施。此外，各项操作的顺序可以被重新安排。当其操作完成时所述处理可以被终止，但是还可以具有未包括在附图中的附加步骤。所述处理可以对应于方法、函数、规程、子例程、子程序等等。

实施例一

图1是本发明实施例一提供的一种通信行为监控方法的流程图，本实施例可适用于对目标监控对象的通信行为进行识别并进行相应控制操作的情况，该方法可以由本发明实施例提供的通信行为监控装置来执行，该装置可以由软件和/或硬件的方式来实现，并一般可集成在计算机设备中。相应的，如图1所示，该方法包括如下操作：

S110、获取目标监控对象的通信行为数据。

其中，目标监控对象可以是任意具有通信功能的终端。通信行为数据可以是目标监控对象的任意通信行为生成的数据。

相应的，目标监控对象可以是根据需要确定的任意通信终端，以在其接入通信网络并通过通信网络进行通信行为时，可以识别其通信行为中是否包括需要监控的特定通信行为。其中，特定通信行为可以是需要监控的单个行为，也可以包括多个需要监控的行为。目标监控对象可以是任意通信终端设备，以实现对任意设备的通信行为监控；也可以是任意通信数据卡，以实现对任意通信数据卡的通信行为监控，可以根据需要确定，在此不做限定。

进一步的，目标监控对象可以进行任意通信行为，则其通信行为可以相应的产生通信行为数据。因此，为了对目标监控对象的通信行为进行监控，可以获取其通信行为数据，以根据通信行为数据确定目标监控对象的通信行为的特征。

S120、在所述通信行为数据中识别目标行为模型数据。

其中，所述目标行为模型数据满足至少一个行为模型条件。具体的，目标行为模型数据可以是与特定通信行为生成的通信行为数据特征相同的数据。行为模型条件可以是描述特定通信行为生成的通信行为数据的数据。

相应的，不同通信行为生成的通信行为数据可以具有不同的特征，则根据需要监控的特定通信行为，可以确定该特定通信行为生成的通信行为数据的特征，从而可以预先确定行为模型条件，以在通信行为数据中识别出满足行为模型条件的目标行为模型数据。任意行为模型条件可以仅描述单个目标行为模型数据，也可以同时描述多个目标行为模型数据。

S130、根据所述目标行为模型数据获取所述通信行为数据的行为识别结果数据。

其中，行为识别结果数据可以是描述目标监控对象的通信行为是否有可能包括特定通信行为的数据。

相应的，根据目标监控对象的通信行为数据中的目标行为模型数据，可以确定目标监控对象的通信行为与特定通信行为之间相同的特征，据此则可以确定目标监控对象的通信行为中是否有可能包括需要监控的特定通信行为，从而得到行为识别结果。

S140、确定与所述行为识别结果数据匹配的目标控制操作，并对所述目标监控对象执行所述目标控制操作。

其中，目标控制操作可以是对目标监控对象进行控制的操作。

相应的，根据行为识别结果数据可以确定目标监控对象进行了需要监控的特定通信行为的可能性，从而可以获取匹配的目标控制操作，并对目标监控对象执行目标控制操作，以通过目标控制操作对有可能执行特定通信行为的目标监控对象进行监控。具体的，不同的行为识别结果数据可以表示目标监控对象进行特定通信行为的可能性不同，则可以匹配于不同的目标控制操作，以根据目标监控对象的不同通信行为特征执行不同目标控制操作。

本发明实施例提供了一种通信行为监控方法，通过获取目标监控对象的通信行为数据，在通信行为数据中进行识别，得到满足至少一个行为模型条件的目标行为模型数据，并根据目标行为模型数据获取通信行为数据的行为识别结果数据，从而确定与行为识别结果数据匹配的目标控制操作，以对目标监控对象执行目标控制操作，实现基于目标监控对象的行为特征对其进行通信行为监控，解决了现有技术中通信行为识别的应用场景局限、识别结果信息量单一等问题，提升通信行为监控效率和场景覆盖率，优化对通信行为的识别结果和响应机制，确保通信行为安全。

实施例二

图2为本发明实施例二提供的一种通信行为监控方法的流程图。本发明实施例以上述实施例为基础进行具体化，在本发明实施例中，给出了根据所述目标行为模型数据获取所述通信行为数据的行为识别结果数据的具体可选的实现方式。

如图2所示，本发明实施例的方法具体包括：

S210、获取目标监控对象的通信行为数据。

在本发明的一个可选实施例中，所述方法还可以包括：接收所述目标监控对象发送的通信关联数据；获取实时流量数据，并根据所述实时流量数据生成所述目标监控对象的通信话单数据；将所述通信关联数据和所述通信话单数据存储至目标数据库中；所述获取目标监控对象的通信行为数据，可以包括：在所述目标数据库中读取目标历史时间段内的所述通信关联数据和所述通信话单数据。

其中，通信关联数据可以是描述目标监控对象的通信环境的任意数据。实时流量数据可以是网络中的任意通信行为实时生成的流量数据。通信话单数据可以是记录目标监控对象的通信行为的数据。目标数据库可以是预先部署的数据库。目标历史时间段可以是根据监控需要设定的一段历史时间。

相应的，目标监控对象在启用的情况下，可以确定其通信环境，并发送通信关联数据。可选的，目标监控对象可以是通信数据卡，例如可以是物联网卡，并可以在通信设备中启用，则通信关联数据可以包括通信设备IMEI(International Mobile EquipmentIdentity，国际移动设备识别码)、设备中的高风险应用程序指纹以及基站库。目标监控对象进行通信行为可以在网络中相应的生成流量数据，则可以获取网络中的实时流量数据，其中包括目标监控对象的通信行为所生成的流量数据，则可以根据实时流量数据获取该部分流量数据，并生成通信话单数据。可选的，通信话单数据可以包括目标监控对象的语音话单、短信话单、流量话单、网络服务话单和上网日志。将获取到的通信关联数据和通信话单数据存储至目标数据库，则可以通过目标数据库实现对全部通信关联数据和通信话单数据的汇总存储。可选的，目标数据库可以是Hive数据仓库工具。

进一步的，可以通过对目标数据库进行读取以获取目标监控对象的通信行为数据。可以根据需要监控的时间范围确定目标历史时间段，从而在目标数据库中读取在目标历史时间段内，与目标监控对象对应的通信关联数据和通信话单数据。因此，根据该通信关联数据可以确定目标监控对象在目标历史时间段内所处的通信环境，根据该通信话单数据可以确定目标监控对象在目标历史时间段内的通信情况，从而根据通信行为数据可以确定目标监控对象的通信行为特征。

S220、在所述通信行为数据中识别目标行为模型数据。

其中，所述目标行为模型数据满足至少一个行为模型条件。

在本发明的一个可选实施例中，所述在所述通信行为数据中识别目标行为模型数据，可以包括：获取所述通信行为数据中的设备关联数据；其中，所述设备关联数据包括设备类型数据和设备标识数据；在确定所述设备类型数据为目标类型数据的情况下，确定所述目标行为模型数据包括第一设备异常模型数据；在确定所述设备标识数据为设备黑名单数据的情况下，确定所述目标行为模型数据包括第二设备异常模型数据。

其中，设备关联数据可以是描述目标监控对象对应的通信设备的数据。设备类型数据可以是通信设备的类型。设备标识数据可以是用于唯一标识通信设备的数据。目标类型数据可以是可能进行需要监控的特定通信行为的设备的类型。第一设备异常模型数据可以是描述可能进行需要监控的特定通信行为的设备的数据。设备黑名单数据可以是确定进行了需要监控的特定通信行为的设备的标识数据。第二设备异常模型数据可以是描述确定进行了需要监控的特定通信行为的设备的数据。

相应的，通信行为数据中可以包括目标监控对象的设备关联数据，可选的，可以根据通信关联数据确定设备关联数据，例如可以是描述物联网卡所处的通信设备的数据。根据设备关联数据中的设备类型数据，可以确定目标监控对象对应的通信设备类型，从而在确定设备类型数据为目标类型数据的情况下，可以得知该通信设备为可能进行特定通信行为的设备，则可以确定目标行为模型数据中包括第一设备异常模型数据。可选的，设备类型数据可以是TAC(TypeAllocation Code，设备型号核准号码)。

可选的，目标类型数据可以包括未知类型数据和空白类型数据。其中，未知类型数据可以描述通信设备的类型未知，空白类型数据可以表示目标类型数据不存在或无法获取。相应的，在确定设备类型数据为未知类型数据和空白类型数据的情况下，可以确定目标监控对象对应的设备可能存在安全风险，则需要对目标监控对象的通信行为进行识别，以及时对可能存在的具有安全风险的特定通信行为进行监控。相应可选的，若TAC为未知，则确定设备类型数据为未知类型数据；若TAC暂无数据卡，可以确定设备类型数据为空白类型数据。

进一步的，根据设备关联数据中的设备标识数据，可以确定该通信设备是否为已经确定的进行了特定通信行为的设备，即在确定设备标识数据为设备黑名单数据的情况下，可以确定该通信设备为已经确定的进行了特定通信行为的设备，从而可以确定目标行为模型数据中包括第二设备异常模型数据。可选的，设备标识数据可以是IMEI。

具体可选的，可以获取黑名单标识数据库，并在黑名单标识数据库中对设备标识数据进行匹配，若匹配到黑名单标识数据库中包括设备标识数据，则可以确定设备标识数据为设备黑名单数据；若确定黑名单标识数据库中不存在设备标识数据，则可以确定设备标识数据不是设备黑名单数据。其中，黑名单标识数据库中可以是预先部署的，用于存储全部已知的确定进行了特定通信行为的设备的标识数据。

在本发明的一个可选实施例中，所述在所述通信行为数据中识别目标行为模型数据，可以包括：在所述通信行为数据中获取目标历史时间段内的轨迹定位数据和设备关联数据；在确定所述轨迹定位数据和所述设备关联数据均存在变化数据的情况下，确定所述目标行为模型数据包括漫游切换模型数据。

其中，轨迹定位数据可以是描述目标监控对象各时刻所在的地理位置的数据。变化数据可以是发生了数值变化的数据。漫游切换模型数据可以是发生地理位置和设备变化的通信行为生成的数据。

相应的，通信行为数据中可以包括轨迹定位数据和设备关联数据，可选的，可以根据通信话单数据确定轨迹定位数据。根据目标历史时间段内的轨迹定位数据可以确定目标监控对象在该时间段内进行通信行为时所在的地理位置，根据设备关联数据可以确定目标监控对象的通信行为所使用的通信设备，从而在确定轨迹定位数据和设备关联数据均存在变化数据的情况下，可以确定目标监控对象的地理位置和对应设备均发生了变化，则可以确定为目标行为模型数据中包括漫游切换模型数据。

在上述实施方式中，目标行为模型数据包括漫游切换模型数据可以说明目标监控对象在目标历史时间段内的地理位置和对应设备均发生变化，可以确定目标监控对象的行为可能存在安全风险，则需要对目标监控对象的通信行为进行识别，以及时对可能存在的具有安全风险的特定通信行为进行监控。

在本发明的一个可选实施例中，所述在所述通信行为数据中识别目标行为模型数据，可以包括：获取所述通信行为数据中的应用关联数据；其中，所述应用关联数据包括应用账号数据和应用行为数据；在确定任一应用的所述应用账号数据的数量大于一个的情况下，确定所述目标行为模型数据包括第一应用异常模型数据；在确定所述应用行为数据中包括目标应用行为数据的情况下，确定所述目标行为模型数据包括第二应用异常模型数据。

其中，应用关联数据可以是描述目标监控对象的通信行为所关联的应用程序的数据。应用账号数据可以是在应用程序中登录的账号。应用行为数据可以是描述应用程序的全部行为的数据。第一应用异常模型数据可以是描述在应用程序中登录的账号数量为多个的通信行为的数据。目标应用行为数据可以是描述目标监控对象的特定通信行为关联的应用程序的特定行为的数据。第二应用异常模型数据可以是描述应用程序的全部行为中包括特定行为的数据。

相应的，通信行为数据中可以包括应用关联数据，可选的，可以根据通信关联数据确定应用关联数据。应用关联数据中可以包括应用账号数据，任意应用的应用账号数据的数量可以是一个或多个，各应用账号数据分别记录该应用程序中登录的账号。因此，若任意应用的应用账号数据的数量大于一个，可以说明该应用中登录过多个账号，则可以确定目标行为模型数据中包括第一应用异常模型数据。

进一步的，应用关联数据中还可以包括应用行为数据，任意应用的行为均可以生成应用行为数据，则根据应用行为数据可以确定目标监控对象的通信行为中关联的应用程序的行为。因此，若应用行为数据中包括目标应用行为数据，可以说明目标监控对象对应的通信设备中的应用程序执行了特定行为，则可以确定目标行为模式数据中包括第二应用异常模型数据。可选的，目标应用行为数据可以是描述具有安全风险的应用行为的数据。

在上述实施方式中，目标行为模型数据包括第一应用异常模型数据可以说明目标监控对象对应的通信设备中存在任意应用中登录了多个账号，存在异常登录并进行通信的安全风险；目标行为模型数据包括第二应用异常模型数据可以说明目标监控对象的通信行为中包括与特定应用行为关联的特定通信行为，则在上述情况下需要对目标监控对象的通信行为进行识别，以及时对可能存在的具有安全风险的特定通信行为进行监控。

在本发明的一个可选实施例中，所述在所述通信行为数据中识别目标行为模型数据，可以包括：获取所述通信行为数据中的轨迹定位数据；根据所述轨迹定位数据确定所述目标监控对象的至少一个使用位置数据、各所述使用位置数据对应的位置持续时间数据和位置切换次数数据；在确定所述使用位置数据中包括目标使用位置数据的情况下，确定所述目标行为模型数据包括第一位置异常模型数据；在确定存在所述位置持续时间数据小于持续时间阈值且所述位置切换次数数据大于切换次数阈值的情况下，确定所述目标行为模型数据包括第二位置异常模型数据。

其中，使用位置数据可以是描述目标监控对象进行通信行为的任意时刻所处的地理位置的数据。位置持续时间数据可以是目标监控对象处于任意地理位置的连续时间长度。位置切换次数数据可以是目标监控对象所处地理位置发生变化的次数。目标使用位置数据可以是描述目标监控对象进行特定通信行为时具有较大可能所处的地理位置的数据。第一位置异常模型数据可以是描述在特定地理位置进行通信行为的数据。持续时间阈值可以是目标监控对象的通信行为不包括特定通信行为时，其处于任意地理位置的最短持续时间长度。切换次数阈值可以是目标监控对象的通信行为不包括特定通信行为时，其所处地理位置发生变化的最大次数。第二位置异常模型数据可以是描述以较高时间频率多次改变地理位置进行特定通信行为的数据。

相应的，根据轨迹定位数据可以确定任意时刻的使用位置数据，则根据轨迹定位数据确定的各时刻对应的使用位置数据可以是一个或多个。若使用位置数据中包括目标使用位置数据，可以说明目标监控对象在特定地理位置进行了通信行为，则可以确定目标行为模型数据包括第一位置异常模型数据。

进一步的，根据任意使用位置数据对应的时刻可以确定其对应的位置持续时间数据，根据各相邻时刻不同的使用位置数据可以确定位置切换次数数据。若存在任意使用位置数据对应的位置持续时间数据小于持续时间阈值，且位置切换次数数据大于切换次数阈值，可以说明目标监控对象进行通信行为的地理位置变化的时间间隔较短且次数较多，即以较高的时间频率多次改变，则可以确定目标行为模型数据包括第二位置异常模型数据。

在上述实施方式中，目标行为模型数据包括第一位置异常模型数据可以说明目标监控对象在特定地理位置进行了通信行为，而该特定地理位置可以是具有安全风险的特定通信行为较高概率发生的位置；目标行为模型数据包括第二位置异常模型数据可以说明目标监控对象进行通信行为的地理位置以较高时间频率发生了多次变化，同样可能存在具有安全风险的特定通信行为，则在上述情况下需要对目标监控对象的通信行为进行识别，以及时对可能存在的具有安全风险的特定通信行为进行监控。

S230、根据所述目标行为模型数据获取所述通信行为数据的行为识别结果数据。

在本发明的一个可选实施例中，S230具体可以包括：

S231、获取各所述目标行为模型数据的模型权值数据。

其中，模型权值数据可以是描述各目标行为模型数据分别对行为识别结果数据的影响程度的数据。

相应的，根据通信行为数据中识别出的一个或多个目标行为模型数据，可以获取各目标行为模型数据分别对应的模型权值数据。模型权值数据可以是根据不同目标行为模型数据描述的通信行为是特定通信行为的概率确定的，即概率越高，权值模型数据描述的影响程度越大；概率越低，权值模型数据描述的影响程度越小。任意多个目标行为模型数据的模型权值数据可以是相同的也可以是不同的。

可选的，所述根据所述目标行为模型数据获取所述通信行为数据的行为识别结果数据，可以包括：在确定目标监控对象为白名单对象的情况下，确定无需继续监控该目标监控对象。相应的，白名单对象可以是确定不会进行特定通信行为的通信终端，可以是预先确定的。若根据通信行为数据可以确定目标监控对象为白名单对象，则可以确定其不会进行特定通信行为，无需继续对其进行监控。

S232、根据各所述模型权值数据确定所述通信行为数据的监控等级数据，将所述监控等级数据确定为所述行为识别结果数据。

其中，监控等级数据可以是描述通信行为数据对应的通信行为是特定通信行为的可能性的数据。

相应的，根据任意目标行为模型数据的模型权值数据，可以确定该目标行为模型数据对行为识别结果数据的影响程度，从而根据全部目标行为模型数据及其各自的模型权值数据可以得到行为识别结果数据。具体的，行为识别结果数据可以是监控等级数据，其描述通信行为数据对应的通信行为是特定通信行为的可能性，即可以以离散的多个等级描述不同程度的可能性。

S240、确定与所述行为识别结果数据匹配的目标控制操作，并对所述目标监控对象执行所述目标控制操作。

在本发明的一个可选实施例中，在所述对所述目标监控对象执行所述目标控制操作之后，还可以包括：获取所述目标控制操作的操作反馈数据；根据所述操作反馈数据更新各所述模型权值数据。

其中，操作反馈数据可以是描述行为识别结果数据是否正确的数据。

相应的，对目标监控对象执行其行为识别结果数据匹配的目标控制操作，可以包括确定其是否进行了特定通信行为的操作，则操作反馈数据中可以包括描述其是否进行了特定通信行为的操作，即可以描述行为识别结果数据是否正确，则进一步的，可以根据操作反馈数据更新模型权值数据，以使根据更新后的模型权值数据确定的行为识别结果数据的正确率提高。

可选的，本发明实施例还提供了一种目标监控对象为物联网卡的具体实施例，需要识别的特定通信行为可以包括具有安全风险的行为。具体的，通信行为数据可以包括物联网原始话单和内置情报表。物联网原始话单可以包括语音话单、短信话单、流量话单、梦网话单和上网日志。内置情报表可以包括IMEI、高风险应用指纹和基站库。通信行为数据可以统一存入至Hive中。基于Hive的多条件模型分析机制，主要可以包括模型主条件分析机制和过滤条件筛选机制，可以实现在所述通信行为数据中识别目标行为模型数据，并根据所述目标行为模型数据获取所述通信行为数据的行为识别结果数据。

相应的，基于模型主条件分析可以针对话单表等数据，根据相关异常行为特征或者异常属性来进行异常卡号的目标行为模型数据识别。模型主条件可以包括设备异常模型、行为异常模型、账号异常模型和位置异常模型。其中，设备异常模型可以包括虚假及未知TAC模型，可以在行为轨迹的基础上，把所有品牌型号是“未知”或是“暂无数据卡”的TAC识别出来，并统计当天全网卡数量，划分TAC存量的区间；还可以包括黑名单IMEI模型，可以自动根据公安涉案、工信投诉、公安侦办的电话号码建立的黑IMEI库及其关联每日话单，对相关卡号进行预警。行为异常模型可以包括漫游切换模型，可以识别出卡号在近30天内其轨迹表中的使用地发生变化，且同时产生了TAC变化。账号异常模型可以包括一机多号模型，可以识别卡号关联的任意应用有多个账号登录的行为；还可以包括高风险行为模型，可以识别使用应用高频进行的安全风险行为。位置异常模型可以包括使用地突变模型，可以融合语音和流量话单，识别物联网卡的使用地间隔时间少于阈值时长且发生了多次变化；还可以包括高风险地区漫游模型，可以识别物联网卡的使用地出现在一些高风险地区，比如边境地区等。

进一步的，所有经过多条件模型分析机制后预警出来的数据将其汇总到预警汇总表中，预警汇总表中的数据还存在一定的误差，可以通过通用过滤和个性过滤步骤过滤掉非异常卡，再最终得到结果数据以汇聚到关停汇总表中。其中，通用过滤可以包括复机卡过滤，可以过滤掉近期复机过的卡，即过滤掉卡号被模型命中并关停后，经验证重新恢复正常使用的卡；还可以包括白名单过率，可以过滤掉白名单中的卡。个性过滤可以包括精准标记过滤，可以对特定用户的卡或满足特定条件的卡进行过滤；还可以包括团体白名单过滤，可以对满足某些团体用户的卡进行过滤；还可以包括用户行为过滤，可以针对关联特定业务的卡号进行过滤。

经过上述步骤，每张异常物联网卡可能会命中一个或多个模型，再根据权值得到卡的风险等级。图3位本发明实施例二提供的一种通信行为监控的流程示意图。在一个具体的例子中，如图3所示，可选的，可以分为高危、中危和低危级别。各级别对应于不同的目标控制操作，可选的，对高危的卡可以直接执行关停操作，可以对接CMIOT和BOSS系统的客户联系方式信息数据并结合短信网关执行对物联网卡使用用户的通知操作。可以对中危的卡执行拟关停操作，并执行对物联网卡使用用户的通知操作，通知内容数据可以包括要求于一定时间内进行异常情况反馈，若在一定时间内为接收到用户反馈数据，则可以执行关停操作。对于低危的卡可以执行将异常事件发送到物联卡接口用户的操作，并接收用户的反馈，若收到了反馈则可以判定为误报，可以将误报信息反馈给异常分析模型，以修改模型权重。

本发明实施例提供了一种通信行为监控方法，通过获取目标监控对象的通信行为数据，在通信行为数据中进行识别，得到满足至少一个行为模型条件的目标行为模型数据，并根据目标行为模型数据获取通信行为数据的行为识别结果数据，从而确定与行为识别结果数据匹配的目标控制操作，以对目标监控对象执行目标控制操作，实现基于目标监控对象的行为特征对其进行通信行为监控，解决了现有技术中通信行为识别的应用场景局限、识别结果信息量单一等问题，提升通信行为监控效率和场景覆盖率，优化对通信行为的识别结果和响应机制，确保通信行为安全。

实施例三

图4为本发明实施例三提供的一种通信行为监控装置的结构示意图，如图4所示，所述装置包括：数据获取模块310、数据识别模块320、结果获取模块330和操作执行模块340。

其中，数据获取模块310，用于获取目标监控对象的通信行为数据。

数据识别模块320，用于在所述通信行为数据中识别目标行为模型数据；其中，所述目标行为模型数据满足至少一个行为模型条件。

结果获取模块330，用于根据所述目标行为模型数据获取所述通信行为数据的行为识别结果数据。

操作执行模块340，用于确定与所述行为识别结果数据匹配的目标控制操作，并对所述目标监控对象执行所述目标控制操作。

在本发明实施例的一个可选实施方式中，所示装置，还可以包括：数据存储模块，用于接收所述目标监控对象发送的通信关联数据；获取实时流量数据，并根据所述实时流量数据生成所述目标监控对象的通信话单数据；将所述通信关联数据和所述通信话单数据存储至目标数据库中；数据获取模块310，具体可以用于：在所述目标数据库中读取目标历史时间段内的所述通信关联数据和所述通信话单数据。

在本发明实施例的一个可选实施方式中，数据识别模块320，具体可以用于：获取所述通信行为数据中的设备关联数据；其中，所述设备关联数据包括设备类型数据和设备标识数据；在确定所述设备类型数据为目标类型数据的情况下，确定所述目标行为模型数据包括第一设备异常模型数据；在确定所述设备标识数据为设备黑名单数据的情况下，确定所述目标行为模型数据包括第二设备异常模型数据。

在本发明实施例的一个可选实施方式中，数据识别模块320，具体可以用于：在所述通信行为数据中获取目标历史时间段内的轨迹定位数据和设备关联数据；在确定所述轨迹定位数据和所述设备关联数据均存在变化数据的情况下，确定所述目标行为模型数据包括漫游切换模型数据。

在本发明实施例的一个可选实施方式中，数据识别模块320，具体可以用于：获取所述通信行为数据中的应用关联数据；其中，所述应用关联数据包括应用账号数据和应用行为数据；在确定任一应用的所述应用账号数据的数量大于一个的情况下，确定所述目标行为模型数据包括第一应用异常模型数据；在确定所述应用行为数据中包括目标应用行为数据的情况下，确定所述目标行为模型数据包括第二应用异常模型数据。

在本发明实施例的一个可选实施方式中，数据识别模块320，具体可以用于：获取所述通信行为数据中的轨迹定位数据；根据所述轨迹定位数据确定所述目标监控对象的至少一个使用位置数据、各所述使用位置数据对应的位置持续时间数据和位置切换次数数据；在确定所述使用位置数据中包括目标使用位置数据的情况下，确定所述目标行为模型数据包括第一位置异常模型数据；在确定存在所述位置持续时间数据小于持续时间阈值且所述位置切换次数数据大于切换次数阈值的情况下，确定所述目标行为模型数据包括第二位置异常模型数据。

在本发明实施例的一个可选实施方式中，结果获取模块330，具体可以用于：获取各所述目标行为模型数据的模型权值数据；根据各所述模型权值数据确定所述通信行为数据的监控等级数据，将所述监控等级数据确定为所述行为识别结果数据；所述装置，还可以包括：权值更新模块，用于获取所述目标控制操作的操作反馈数据；根据所述操作反馈数据更新各所述模型权值数据。

上述装置可执行本发明任意实施例所提供的通信行为监控方法，具备执行该方法相应的功能模块和有益效果。

本发明实施例提供了一种通信行为监控装置，通过获取目标监控对象的通信行为数据，在通信行为数据中进行识别，得到满足至少一个行为模型条件的目标行为模型数据，并根据目标行为模型数据获取通信行为数据的行为识别结果数据，从而确定与行为识别结果数据匹配的目标控制操作，以对目标监控对象执行目标控制操作，实现基于目标监控对象的行为特征对其进行通信行为监控，解决了现有技术中通信行为识别的应用场景局限、识别结果信息量单一等问题，提升通信行为监控效率和场景覆盖率，优化对通信行为的识别结果和响应机制，确保通信行为安全。

实施例四

图5为本发明实施例四提供的一种计算机设备的结构示意图。图5示出了适于用来实现本发明实施方式的示例性计算机设备12的框图。图5显示的计算机设备12仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图5所示，计算机设备12以通用计算设备的形式表现。计算机设备12的组件可以包括但不限于：一个或者多个处理器16，存储器28，连接不同系统组件(包括存储器28和处理器16)的总线18。

总线18表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标准协会(VESA)局域总线以及外围组件互连(PCI)总线。

计算机设备12典型地包括多种计算机系统可读介质。这些介质可以是任何能够被计算机设备12访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。

存储器28可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器(RAM)30和/或高速缓存存储器32。计算机设备12可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统34可以用于读写不可移动的、非易失性磁介质(图5未显示，通常称为“硬盘驱动器”)。尽管图5中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如CD-ROM，DVD-ROM或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线18相连。存储器28可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本发明各实施例的功能。

具有一组(至少一个)程序模块42的程序/实用工具40，可以存储在例如存储器28中，这样的程序模块42包括但不限于操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块42通常执行本发明所描述的实施例中的功能和/或方法。

计算机设备12也可以与一个或多个外部设备14(例如键盘、指向设备、显示器24等)通信，还可与一个或者多个使得用户能与该计算机设备12交互的设备通信，和/或与使得该计算机设备12能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口22进行。并且，计算机设备12还可以通过网络适配器20与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器20通过总线18与计算机设备12的其它模块通信。应当明白，尽管图5中未示出，可以结合计算机设备12使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

处理器16通过运行存储在存储器28中的程序，从而执行各种功能应用以及数据处理，实现本发明实施例所提供的通信行为监控方法：获取目标监控对象的通信行为数据；在所述通信行为数据中识别目标行为模型数据；其中，所述目标行为模型数据满足至少一个行为模型条件；根据所述目标行为模型数据获取所述通信行为数据的行为识别结果数据；确定与所述行为识别结果数据匹配的目标控制操作，并对所述目标监控对象执行所述目标控制操作。

实施例五

本发明实施例五提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时，实现本发明实施例所提供的通信行为监控方法：获取目标监控对象的通信行为数据；在所述通信行为数据中识别目标行为模型数据；其中，所述目标行为模型数据满足至少一个行为模型条件；根据所述目标行为模型数据获取所述通信行为数据的行为识别结果数据；确定与所述行为识别结果数据匹配的目标控制操作，并对所述目标监控对象执行所述目标控制操作。

可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言，诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或计算机设备上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (10)

1.一种通信行为监控方法，其特征在于，包括：

获取目标监控对象的通信行为数据；

在所述通信行为数据中识别目标行为模型数据；其中，所述目标行为模型数据满足至少一个行为模型条件；

根据所述目标行为模型数据获取所述通信行为数据的行为识别结果数据；

确定与所述行为识别结果数据匹配的目标控制操作，并对所述目标监控对象执行所述目标控制操作。

2.根据权利要求1所述的方法，其特征在于，还包括：

接收所述目标监控对象发送的通信关联数据；

获取实时流量数据，并根据所述实时流量数据生成所述目标监控对象的通信话单数据；

将所述通信关联数据和所述通信话单数据存储至目标数据库中；

所述获取目标监控对象的通信行为数据，包括：

在所述目标数据库中读取目标历史时间段内的所述通信关联数据和所述通信话单数据。

3.根据权利要求1所述的方法，其特征在于，所述在所述通信行为数据中识别目标行为模型数据，包括：

获取所述通信行为数据中的设备关联数据；其中，所述设备关联数据包括设备类型数据和设备标识数据；

在确定所述设备类型数据为目标类型数据的情况下，确定所述目标行为模型数据包括第一设备异常模型数据；

在确定所述设备标识数据为设备黑名单数据的情况下，确定所述目标行为模型数据包括第二设备异常模型数据。

4.根据权利要求1所述的方法，其特征在于，所述在所述通信行为数据中识别目标行为模型数据，包括：

在所述通信行为数据中获取目标历史时间段内的轨迹定位数据和设备关联数据；

在确定所述轨迹定位数据和所述设备关联数据均存在变化数据的情况下，确定所述目标行为模型数据包括漫游切换模型数据。

5.根据权利要求1所述的方法，其特征在于，所述在所述通信行为数据中识别目标行为模型数据，包括：

获取所述通信行为数据中的应用关联数据；其中，所述应用关联数据包括应用账号数据和应用行为数据；

在确定任一应用的所述应用账号数据的数量大于一个的情况下，确定所述目标行为模型数据包括第一应用异常模型数据；

在确定所述应用行为数据中包括目标应用行为数据的情况下，确定所述目标行为模型数据包括第二应用异常模型数据。

6.根据权利要求1所述的方法，其特征在于，所述在所述通信行为数据中识别目标行为模型数据，包括：

获取所述通信行为数据中的轨迹定位数据；

根据所述轨迹定位数据确定所述目标监控对象的至少一个使用位置数据、各所述使用位置数据对应的位置持续时间数据和位置切换次数数据；

在确定所述使用位置数据中包括目标使用位置数据的情况下，确定所述目标行为模型数据包括第一位置异常模型数据；

在确定存在所述位置持续时间数据小于持续时间阈值且所述位置切换次数数据大于切换次数阈值的情况下，确定所述目标行为模型数据包括第二位置异常模型数据。

7.根据权利要求1所述的方法，其特征在于，所述根据所述目标行为模型数据获取所述通信行为数据的行为识别结果数据，包括：

获取各所述目标行为模型数据的模型权值数据；

根据各所述模型权值数据确定所述通信行为数据的监控等级数据，将所述监控等级数据确定为所述行为识别结果数据；

在所述对所述目标监控对象执行所述目标控制操作之后，还包括：

获取所述目标控制操作的操作反馈数据；

根据所述操作反馈数据更新各所述模型权值数据。

8.一种通信行为监控装置，其特征在于，包括：

数据获取模块，用于获取目标监控对象的通信行为数据；

数据识别模块，用于在所述通信行为数据中识别目标行为模型数据；其中，所述目标行为模型数据满足至少一个行为模型条件；

结果获取模块，用于根据所述目标行为模型数据获取所述通信行为数据的行为识别结果数据；

操作执行模块，用于确定与所述行为识别结果数据匹配的目标控制操作，并对所述目标监控对象执行所述目标控制操作。

9.一种计算机设备，其特征在于，所述计算机设备包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-7中任一所述的通信行为监控方法。

10.一种计算机存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-7中任一所述的通信行为监控方法。

Images