CN114640508B - 网络反欺诈的方法及装置 - Google Patents

网络反欺诈的方法及装置 Download PDF

Info

Publication number
CN114640508B
CN114640508B CN202210188434.3A CN202210188434A CN114640508B CN 114640508 B CN114640508 B CN 114640508B CN 202210188434 A CN202210188434 A CN 202210188434A CN 114640508 B CN114640508 B CN 114640508B
Authority
CN
China
Prior art keywords
addresses
suspicious
address
unknown
nodes
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202210188434.3A
Other languages
English (en)
Other versions
CN114640508A (zh
Inventor
刘紫千
李金伟
张咏
孙福兴
常力元
佟欣哲
陈林
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Tianyi Safety Technology Co Ltd
Original Assignee
Tianyi Safety Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Tianyi Safety Technology Co Ltd filed Critical Tianyi Safety Technology Co Ltd
Priority to CN202210188434.3A priority Critical patent/CN114640508B/zh
Publication of CN114640508A publication Critical patent/CN114640508A/zh
Application granted granted Critical
Publication of CN114640508B publication Critical patent/CN114640508B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供网络反欺诈的方法及装置。用于提高反欺诈结果的准确性。包括：针对任一目标域名，利用域名与网际互联协议IP地址的对应关系，确定目标域名对应的多个IP地址；通过预设算法从各IP地址对应的各多源数据中抽取各IP地址之间的关系；其中，多源数据包括网络流量数据和后台原始日志信息；利用多个IP地址及其之间的关系构建有向图；其中，多个IP地址包括未知IP地址和已确认IP地址；针对任一未知IP地址的节点，根据有向图中与该节点连接的各节点的数量和该节点的平均最短路径，得到该节点的未知IP地址的可疑值；若基于各未知IP地址的可疑值得到可疑IP地址，则基于可疑IP地址，得到可疑用户的身份信息和位置信息。

Description

网络反欺诈的方法及装置
技术领域
本发明涉及网络安全技术领域，特别涉及一种网络反欺诈的方法及装置。
背景技术
网络社会虚拟可见但又难以实际触摸，在给人们带来信息交互、网络购物等诸多便利的同时，也逐渐成了新型犯罪的温床。
为严厉打击新型网络犯罪活动，目前常见的反欺诈方案主要依赖用户的交易信息记录和通信记录数据。使用的数据内容较单一，并且使用的数据均属于用户应用层的数据信息，由此导致反欺诈结果的准确率较低。
发明内容
本发明示例性的实施方式中提供一种网络反欺诈的方法及装置，用于提高反欺诈结果的准确率。
本发明的第一方面提供一种网络反欺诈的方法，所述方法包括：
针对任意一个目标域名，利用被动域名PDNS数据库中域名与网际互联协议IP地址之间的对应关系，确定与所述目标域名相对应的多个IP地址；
通过预设算法从所述多个IP地址对应的各多源数据中抽取所述多个IP地址之间的关系；其中，任意一个多源数据包括网络流量数据和后台原始日志信息；
利用所述多个IP地址以及所述多个IP地址之间的关系构建有向图；其中，所述有向图中的各节点分别与各IP地址相对应，以及所述有向图中任意两个节点之间边与所述两个节点对应的两个IP地址之间的关系相对应，且所述多个IP地址包括未知IP地址和已确认IP地址，所述已确认IP地址为之前已经确定为可疑IP地址的IP地址；
针对任意一个未知IP地址对应的节点，根据所述有向图中与所述节点相连接的各节点的数量和所述节点的平均最短路径，得到与所述节点相对应的未知IP地址的可疑值；其中，所述节点的平均最短路径是通过在所述有向图中所述节点分别与各已确认IP地址对应的节点之间的最短路径得到的，且所述可疑值用于表示未知IP地址的可疑程度值；
若基于所述各未知IP地址的可疑值确定所述各未知IP地址中存在可疑IP 地址，则基于所述可疑IP地址，得到与所述可疑IP地址对应的可疑用户的身份信息以及位置信息。
本实施例中通过从与目标域名对应的多个IP地址的网络流量数据和后台原始日志信息中抽取多个IP地址之间的关系，并利用多个IP地址之间的关系构建有向图，然后通过构建的有向图来确定出可疑IP地址，以此确定出可疑用户的身份信息以及位置信息，以实现反欺诈。由此，本实施例中通过网络层面的信息来进行反欺诈的分析挖掘，相比于用户层面的信息，本实施例中的网络层面的信息更加全面丰富，提高了反欺诈结果的准确率。
在一个实施例中，所述根据所述有向图中与所述节点相连接的各节点的数量和所述节点的平均最短路径，得到与所述节点相对应的未知IP地址的可疑值，包括：
根据所述有向图中与所述节点相连接的各节点的数量以及所述有向图中的各节点的总数量，得到第一中间指标，其中，所述第一中间指标用于表示所述节点的活跃程度；
基于所述节点的平均最短路径，得到第二中间指标，其中，所述第二中间指标用于表示所述节点与已确认IP地址对应的节点的亲密度；
通过所述第一中间指标和所述第二中间指标，得到与所述节点相对应的未知IP地址的可疑值。
本实施例通过在有向图中与未知IP地址的节点相连接的节点以及该节点的平均最短路径，得到所述未知IP地址对应的可疑值。由此，通过有向图中节点之间的关系可挖掘更多信息，以此使得确定出的可疑IP地址更加准确。
在一个实施例中，通过以下公式得到所述可疑值：
其中，DCi为与节点i相对应的未知IP地址的可疑值，Ndegree为在所述有向图中与所述节点i相连接的各节点的数量，n为所述有向图中各节点的总数量，m为在所述有向图中各已确认IP地址对应的各节点的总数量，M为所述有向图中各已确认IP地址对应的各节点的集合，dij为在所述有向图中节点i 与节点j之间的最短路径，α为第一预设参数，β为第二预设参数。
在一个实施例中，通过以下方式确定所述各未知IP地址中是否存在可疑 IP地址：
将各未知IP地址的可疑值分别与预设阈值进行比较；
若确定存在可疑值大于预设阈值的未知IP地址，则确定所述各IP地址中存在可疑IP地址，并将可疑值大于所述预设阈值的所述未知IP地址确定为所述可疑IP地址；
若确定不存在可疑值大于预设阈值的未知IP地址，则确定所述各未知IP 地址中不存在可疑IP地址。
本实施例通过将未知IP地址的可疑值将预设阈值进行比较来确定出可疑 IP地址，提高了确定出可疑IP地址的准确率。
在一个实施例中，所述基于所述可疑IP地址，得到与所述可疑IP地址对应的可疑用户的身份信息以及位置信息，包括：
利用预设的IP地址和用户身份信息的对应关系，得到与所述可疑IP地址相对应的用户身份信息，并将所述用户身份信息确定为所述可疑用户的身份信息；以及，
基于IP地址和用户当前地理位置的对应关系，得到所述可疑IP地址相对应的用户当前地理位置，并将所述用户当前地理位置确定为所述可疑用户的位置信息。
本实施例中通过利用预设的IP地址和用户身份信息的对应关系，来确定出可疑用户的身份信息，以及基于IP地址和用户当前地理位置的对应关系，得到可疑用户的位置信息。由此，确保确定出可疑用户的身份信息和位置信息的准确率。
本发明第二方面提供一种网络反欺诈的装置，所述装置包括：
地址确定模块，用于针对任意一个目标域名，利用被动域名PDNS数据库中域名与网际互联协议IP地址之间的对应关系，确定与所述目标域名相对应的多个IP地址；
抽取模块，用于通过预设算法从所述多个IP地址对应的各多源数据中抽取所述多个IP地址之间的关系；其中，任意一个多源数据包括网络流量数据和后台原始日志信息；
有向图构建模块，用于利用所述多个IP地址以及所述多个IP地址之间的关系构建有向图；其中，所述有向图中的各节点分别与各IP地址相对应，以及所述有向图中任意两个节点之间边与所述两个节点对应的两个IP地址之间的关系相对应，且所述多个IP地址包括未知IP地址和已确认IP地址，所述已确认IP地址为之前已经确定为可疑IP地址的IP地址；
可疑值确定模块，用于针对任意一个未知IP地址对应的节点，根据所述有向图中与所述节点相连接的各节点的数量和所述节点的平均最短路径，得到与所述节点相对应的未知IP地址的可疑值；其中，所述节点的平均最短路径是通过在所述有向图中所述节点分别与各已确认IP地址对应的节点之间的最短路径得到的，且所述可疑值用于表示未知IP地址的可疑程度值；
可疑用户确定模块，用于若基于所述各未知IP地址的可疑值确定所述各未知IP地址中存在可疑IP地址，则基于所述可疑IP地址，得到与所述可疑IP 地址对应的可疑用户的身份信息以及位置信息。
在一个实施例中，所述可疑值确定模块，具体用于：
根据所述有向图中与所述节点相连接的各节点的数量以及所述有向图中的各节点的总数量，得到第一中间指标，其中，所述第一中间指标用于表示所述节点的活跃程度；
基于所述节点的平均最短路径，得到第二中间指标，其中，所述第二中间指标用于表示所述节点与已确认IP地址对应的节点的亲密度；
通过所述第一中间指标和所述第二中间指标，得到与所述节点相对应的未知IP地址的可疑值。
在一个实施例中，所述可疑值确定模块，具体用于：
通过以下公式得到所述可疑值：
其中，DCi为与节点i相对应的未知IP地址的可疑值，Ndegree为在所述有向图中与所述节点i相连接的各节点的数量，n为所述有向图中各节点的总数量，m为在所述有向图中各已确认IP地址对应的各节点的总数量，M为所述有向图中各已确认IP地址对应的各节点的集合，dij为在所述有向图中节点i 与节点j之间的最短路径，α为第一预设参数，β为第二预设参数。
在一个实施例中，所述装置还包括：
判断模块，用于通过以下方式确定所述各未知IP地址中是否存在可疑IP 地址：
将各未知IP地址的可疑值分别与预设阈值进行比较；
若确定存在可疑值大于预设阈值的未知IP地址，则确定所述各IP地址中存在可疑IP地址，并将可疑值大于所述预设阈值的所述未知IP地址确定为所述可疑IP地址；
若确定不存在可疑值大于预设阈值的未知IP地址，则确定所述各未知IP 地址中不存在可疑IP地址。
在一个实施例中，所述可疑用户确定模块，具体用于：
利用预设的IP地址和用户身份信息的对应关系，得到与所述可疑IP地址相对应的用户身份信息，并将所述用户身份信息确定为所述可疑用户的身份信息；以及，
基于IP地址和用户当前地理位置的对应关系，得到所述可疑IP地址相对应的用户当前地理位置，并将所述用户当前地理位置确定为所述可疑用户的位置信息。
根据本发明实施例的第三方面，提供一种电子设备，包括：
至少一个处理器；以及与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有被所述至少一个处理器执行的指令；所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如第一方面所述的方法。
根据本发明实施例提供的第四方面，提供一种计算机存储介质，所述计算机存储介质存储有计算机程序，所述计算机程序用于执行如第一方面所述的方法。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为根据本发明一个实施例中的适用场景示意图；
图2为根据本发明一个实施例的网络反欺诈的方法的流程示意图之一；
图3为根据本发明一个实施例的IP地址对应的有向图；
图4为根据本发明一个实施例的网络反欺诈的方法的流程示意图之二；
图5为根据本发明一个实施例的网络反欺诈的装置；
图6为根据本发明一个实施例的电子设备的结构示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明实施例中术语“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。
本发明实施例描述的应用场景是为了更加清楚的说明本发明实施例的技术方案，并不构成对于本发明实施例提供的技术方案的限定，本领域普通技术人员可知，随着新应用场景的出现，本发明实施例提供的技术方案对于类似的技术问题，同样适用。其中，在本发明的描述中，除非另有说明，“多个”的含义是两个或两个以上。
目前常见的反欺诈方案主要依赖用户的交易信息记录和通信记录数据。使用的数据内容较单一，均属于用户应用层的数据信息来进行分析挖掘的，导致反欺诈的结果的准确率较低。
因此，本发明提供一种网络反欺诈的方法，通过从与目标域名对应的多个 IP地址的网络流量数据和后台原始日志信息中抽取多个IP地址之间的关系，并利用多个IP地址之间的关系构建有向图，然后通过构建的有向图来确定出可疑IP地址，以此确定出可疑用户的身份信息以及位置信息，以实现反欺诈。由此，本发明中通过网络层面的信息来进行反欺诈的分析挖掘，相比于用户层面的信息，本发明中的网络层面的信息更加全面丰富，提高了反欺诈结果的准确率。下面，结合附图对本发明的方案详细的进行介绍。
如图1所示，一种网络反欺诈的方法的应用场景，该应用场景中包括多个终端设备110和服务器120，图1中是以三个终端设备110为例，实际上不限制终端设备110的数量。终端设备110可为手机、平板电脑和个人计算机等。服务器120可以通过单个服务器实现，也可以通过多个服务器实现。服务器120 可以通过实体服务器实现，也可以通过虚拟服务器实现。
在一种可能的应用场景中，服务器120针对任意一个目标域名，利用PDNS(Passive Domain Name System，被动域名)数据库中域名与IP(Internet Protocol, 网际互联协议)地址之间的对应关系，确定与所述目标域名相对应的多个IP 地址，然后服务器120通过预设算法从所述多个IP地址对应的各多源数据中抽取所述多个IP地址之间的关系；其中，任意一个多源数据包括网络流量数据和后台原始日志信息；并利用所述多个IP地址以及所述多个IP地址之间的关系构建有向图；其中，所述有向图中的各节点分别与各IP地址相对应，以及所述有向图中任意两个节点之间边与所述两个节点对应的两个IP地址之间的关系相对应，且所述多个IP地址包括未知IP地址和已确认IP地址，所述已确认IP地址为之前已经确定为可疑IP地址的IP地址；然后服务器120针对任意一个未知IP地址对应的节点，根据所述有向图中与所述节点相连接的各节点的数量和所述节点的平均最短路径，得到与所述节点相对应的未知IP地址的可疑值；其中，所述节点的平均最短路径是通过在所述有向图中所述节点分别与各已确认IP地址对应的节点之间的最短路径得到的，且所述可疑值用于表示未知IP地址的可疑程度值；最后服务器120若基于所述各未知IP地址的可疑值确定所述各未知IP地址中存在可疑IP地址，则基于所述可疑IP地址，得到与所述可疑IP地址对应的可疑用户的身份信息以及位置信息，并将所述可疑用户的身份信息以及位置信息发送至终端设备110中进行显示。
如图2所示，为本发明的网络反欺诈的方法的流程示意图，可包括以下步骤：
步骤201：针对任意一个目标域名，利用被动域名PDNS数据库中域名与网际互联协议IP地址之间的对应关系，确定与所述目标域名相对应的多个IP 地址；其中，域名与IP地址的对应关系如表1所示：
表1
步骤202：通过预设算法从所述多个IP地址对应的各多源数据中抽取所述多个IP地址之间的关系；其中，任意一个多源数据包括网络流量数据和后台原始日志信息；
其中，所述多源数据中还包括域名、http(Hyper Text Transfer Protocol，超文本传输协议)方法、用户以及密码等。可根据实际情况的需要来进行信息的抽取，本实施例在此并不进行限定。
需要说明的是：本实施例抽取多个IP地址之间的关系的方式可根据实际情况来进行设置，本实施例在此并不进行限定。
步骤203：利用所述多个IP地址以及所述多个IP地址之间的关系构建有向图；其中，所述有向图中的各节点分别与各IP地址相对应，以及所述有向图中任意两个节点之间边与所述两个节点对应的两个IP地址之间的关系相对应，且所述多个IP地址包括未知IP地址和已确认IP地址，所述已确认IP地址为之前已经确定为可疑IP地址的IP地址；
例如，多个IP地址包括IP地址1、IP地址2、IP地址3、IP地址4和IP 地址5。其中，IP地址1和IP地址2是连接关系，IP地址2和IP地址3是连接关系，IP地址1和IP地址4是连接关系，IP地址3和IP地址5是连接。则基于多个IP地址之间的关系构架有向图，则构建的有向图如图3所示，其中，图3中的节点1为IP地址1对应的节点。节点2为IP地址2对应的节点。节点3为IP地址3对应的节点。节点4为IP地址4对应的节点。节点5为IP地址5对应的节点。有向图中的边A表示节点1和节点2之间的关系，边B表示节点2和节点3之间的关系，边C表示节点1和节点4之间的关系，边D 表示节点3和节点5之间的关系。
步骤204：针对任意一个未知IP地址对应的节点，根据所述有向图中与所述节点相连接的各节点的数量和所述节点的平均最短路径，得到与所述节点相对应的未知IP地址的可疑值；其中，所述节点的平均最短路径是通过在所述有向图中所述节点分别与各已确认IP地址对应的节点之间的最短路径得到的，且所述可疑值用于表示未知IP地址的可疑程度值；
在一个实施例中，通过以下方式确定未知IP地址的可疑值：
根据所述有向图中与所述节点相连接的各节点的数量以及所述有向图中的各节点的总数量，得到第一中间指标，其中，所述第一中间指标用于表示所述节点的活跃程度；基于所述节点的平均最短路径，得到第二中间指标，其中，所述第二中间指标用于表示所述节点与已确认IP地址对应的节点的亲密度；通过所述第一中间指标和所述第二中间指标，得到与所述节点相对应的未知IP 地址的可疑值。其中，可通过公式(1)得到未知IP地址的可疑值：
其中，DCi为与节点i相对应的未知IP地址的可疑值，Ndegree为在所述有向图中与所述节点i相连接的各节点的数量，n为所述有向图中各节点的总数量，m为在所述有向图中各已确认IP地址对应的各节点的总数量，M为所述有向图中各已确认IP地址对应的各节点的集合，dij为在所述有向图中节点i 与节点j之间的最短路径，α为第一预设参数，β为第二预设参数。
以图3中的有向图为例，若IP地址1、IP地址2和IP地址3为未知IP地址，IP地址4和IP地址5为已确定IP地址。以确定IP地址1的可疑值为例对未知IP地址的可疑值的确定方式进行介绍：根据前文所述，图3中的节点1 与未知IP地址1相对应，则根据图3可确定与节点1相连接的节点的数量为2，节点1与节点4的最短路径是1，节点1与节点5的最短路径3。若α和β均为 0.5，则确定出位置IP地址1的可疑值为2.2。其他未知IP地址的可疑值的确定方式与未知IP地址1的相同，本实施例在此不再进行赘述。
步骤205：若基于所述各未知IP地址的可疑值确定所述各未知IP地址中存在可疑IP地址，则基于所述可疑IP地址，得到与所述可疑IP地址对应的可疑用户的身份信息以及位置信息。
在一个实施例中，通过以下方式确定所述各未知IP地址中是否存在可疑 IP地址：
将各未知IP地址的可疑值分别与预设阈值进行比较；若确定存在可疑值大于预设阈值的未知IP地址，则确定所述各IP地址中存在可疑IP地址，并将可疑值大于所述预设阈值的所述未知IP地址确定为所述可疑IP地址；若确定不存在可疑值大于预设阈值的未知IP地址，则确定所述各未知IP地址中不存在可疑IP地址。
例如，预设阈值为5，若IP地址A、IP地址B以及IP地址C的可疑值的依次为：2、3和7，则确定出存在可疑IP地址，且该可疑IP地址为IP地址C。
为了使得确定出可疑用户的身份信息以及位置信息，在一个实施例中，通过以下方式得到可疑用户的身份信息以及位置信息：
利用预设的IP地址和用户身份信息的对应关系，得到与所述可疑IP地址相对应的用户身份信息，并将所述用户身份信息确定为所述可疑用户的身份信息；基于IP地址和用户当前地理位置的对应关系，得到所述可疑IP地址相对应的用户当前地理位置，并将所述用户当前地理位置确定为所述可疑用户的位置信息。
其中，用户身份信息包括但不限于：姓名、性别以及年龄等信息。
为了进一步的了解本发明的技术方案，下面结合图4进行详细的说明，可包括以下步骤：
步骤401：针对任意一个目标域名，利用PDNS数据库中域名与IP地址之间的对应关系，确定与所述目标域名相对应的多个IP地址；
步骤402：通过预设算法从所述多个IP地址对应的各多源数据中抽取所述多个IP地址之间的关系；其中，任意一个多源数据包括网络流量数据和后台原始日志信息；
步骤403：利用所述多个IP地址以及所述多个IP地址之间的关系构建有向图；其中，所述有向图中的各节点分别与各IP地址相对应，以及所述有向图中任意两个节点之间边与所述两个节点对应的两个IP地址之间的关系相对应，且所述多个IP地址包括未知IP地址和已确认IP地址，所述已确认IP地址为之前已经确定为可疑IP地址的IP地址；
步骤404：针对任意一个未知IP地址对应的节点，根据所述有向图中与所述节点相连接的各节点的数量以及所述有向图中的各节点的总数量，得到第一中间指标，其中，所述第一中间指标用于表示所述节点的活跃程度；
步骤405：基于所述节点的平均最短路径，得到第二中间指标，其中，所述第二中间指标用于表示所述节点与已确认IP地址对应的节点的亲密度；
步骤406：通过所述第一中间指标和所述第二中间指标，得到与所述节点相对应的未知IP地址的可疑值；
步骤407：基于所述各未知IP地址的可疑值确定所述各未知IP地址中是否存在可疑IP地址，若是，则执行步骤408，若否，则返回步骤401；
步骤408：基于所述可疑IP地址，得到与所述可疑IP地址对应的可疑用户的身份信息以及位置信息。
基于相同的公开构思，本发明如上所述的网络反欺诈的方法还可以由一种网络反欺诈的装置实现。该网络反欺诈的装置的效果与前述方法的效果相似，在此不再赘述。
图5为根据本发明一个实施例的网络反欺诈的装置的结构示意图。
如图5所示，本发明的网络反欺诈的装置500可以包括地址确定模块510、抽取模块520、有向图构建模块530、可疑值确定模块540和可疑用户确定模块550。
地址确定模块510，用于针对任意一个目标域名，利用被动域名PDNS数据库中域名与网际互联协议IP地址之间的对应关系，确定与所述目标域名相对应的多个IP地址；
抽取模块520，用于通过预设算法从所述多个IP地址对应的各多源数据中抽取所述多个IP地址之间的关系；其中，任意一个多源数据包括网络流量数据和后台原始日志信息；
有向图构建模块530，用于利用所述多个IP地址以及所述多个IP地址之间的关系构建有向图；其中，所述有向图中的各节点分别与各IP地址相对应，以及所述有向图中任意两个节点之间边与所述两个节点对应的两个IP地址之间的关系相对应，且所述多个IP地址包括未知IP地址和已确认IP地址，所述已确认IP地址为之前已经确定为可疑IP地址的IP地址；
可疑值确定模块540，用于针对任意一个未知IP地址对应的节点，根据所述有向图中与所述节点相连接的各节点的数量和所述节点的平均最短路径，得到与所述节点相对应的未知IP地址的可疑值；其中，所述节点的平均最短路径是通过在所述有向图中所述节点分别与各已确认IP地址对应的节点之间的最短路径得到的，且所述可疑值用于表示未知IP地址的可疑程度值；
可疑用户确定模块550，用于若基于所述各未知IP地址的可疑值确定所述各未知IP地址中存在可疑IP地址，则基于所述可疑IP地址，得到与所述可疑 IP地址对应的可疑用户的身份信息以及位置信息。
在一个实施例中，所述可疑值确定模块540，具体用于：
根据所述有向图中与所述节点相连接的各节点的数量以及所述有向图中的各节点的总数量，得到第一中间指标，其中，所述第一中间指标用于表示所述节点的活跃程度；
基于所述节点的平均最短路径，得到第二中间指标，其中，所述第二中间指标用于表示所述节点与已确认IP地址对应的节点的亲密度；
通过所述第一中间指标和所述第二中间指标，得到与所述节点相对应的未知IP地址的可疑值。
在一个实施例中，所述可疑值确定模块540，具体用于：
通过以下公式得到所述可疑值：
其中，DCi为与节点i相对应的未知IP地址的可疑值，Ndegree为在所述有向图中与所述节点i相连接的各节点的数量，n为所述有向图中各节点的总数量，m为在所述有向图中各已确认IP地址对应的各节点的总数量，M为所述有向图中各已确认IP地址对应的各节点的集合，dij为在所述有向图中节点i 与节点j之间的最短路径，α为第一预设参数，β为第二预设参数。
在一个实施例中，所述装置还包括：
判断模块560，用于通过以下方式确定所述各未知IP地址中是否存在可疑 IP地址：
将各未知IP地址的可疑值分别与预设阈值进行比较；
若确定存在可疑值大于预设阈值的未知IP地址，则确定所述各IP地址中存在可疑IP地址，并将可疑值大于所述预设阈值的所述未知IP地址确定为所述可疑IP地址；
若确定不存在可疑值大于预设阈值的未知IP地址，则确定所述各未知IP 地址中不存在可疑IP地址。
在一个实施例中，所述可疑用户确定模块550，具体用于：
利用预设的IP地址和用户身份信息的对应关系，得到与所述可疑IP地址相对应的用户身份信息，并将所述用户身份信息确定为所述可疑用户的身份信息；以及，
基于IP地址和用户当前地理位置的对应关系，得到所述可疑IP地址相对应的用户当前地理位置，并将所述用户当前地理位置确定为所述可疑用户的位置信息。
在介绍了本发明示例性实施方式的一种网络反欺诈的方法及装置之后，接下来，介绍根据本发明的另一示例性实施方式的电子设备。
所属技术领域的技术人员能够理解，本发明的各个方面可以实现为系统、方法或程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。
在一些可能的实施方式中，根据本发明的电子设备可以至少包括至少一个处理器、以及至少一个计算机存储介质。其中，计算机存储介质存储有程序代码，当程序代码被处理器执行时，使得处理器执行本说明书上述描述的根据本发明各种示例性实施方式的网络反欺诈的方法中的步骤。例如，处理器可以执行如图2中所示的步骤201-205。
下面参照图6来描述根据本发明的这种实施方式的电子设备600。图6显示的电子设备600仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
如图6所示，电子设备600以通用电子设备的形式表现。电子设备600的组件可以包括但不限于：上述至少一个处理器601、上述至少一个计算机存储介质602、连接不同系统组件(包括计算机存储介质602和处理器601)的总线603。
总线603表示几类总线结构中的一种或多种，包括计算机存储介质总线或者计算机存储介质控制器、外围总线、处理器或者使用多种总线结构中的任意总线结构的局域总线。
计算机存储介质602可以包括易失性计算机存储介质形式的可读介质，例如随机存取计算机存储介质(RAM)621和/或高速缓存存储介质622，还可以进一步包括只读计算机存储介质(ROM)623。
计算机存储介质602还可以包括具有一组(至少一个)程序模块624的程序/实用工具625，这样的程序模块624包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。
电子设备600也可以与一个或多个外部设备604(例如键盘、指向设备等) 通信，还可与一个或者多个使得用户能与电子设备600交互的设备通信，和/ 或与使得该电子设备600能与一个或多个其它电子设备进行通信的任何设备 (例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O) 接口605进行。并且，电子设备600还可以通过网络适配器606与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网) 通信。如图所示，网络适配器606通过总线603与用于电子设备600的其它模块通信。应当理解，尽管图中未示出，可以结合电子设备600使用其它硬件和 /或软件模块，包括但不限于：微代码、设备驱动器、冗余处理器、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
在一些可能的实施方式中，本发明提供的一种网络反欺诈的方法的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在计算机设备上运行时，程序代码用于使计算机设备执行本说明书上述描述的根据本发明各种示例性实施方式的网络反欺诈的方法中的步骤。
程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取计算机存储介质(RAM)、只读计算机存储介质 (ROM)、可擦式可编程只读计算机存储介质(EPROM或闪存)、光纤、便携式紧凑盘只读计算机存储介质(CD-ROM)、光计算机存储介质件、磁计算机存储介质件、或者上述的任意合适的组合。
本发明的实施方式的网络反欺诈的程序产品可以采用便携式紧凑盘只读计算机存储介质(CD-ROM)并包括程序代码，并可以在电子设备上运行。然而，本发明的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。
可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。
可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户电子设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户电子设备上部分在远程电子设备上执行、或者完全在远程电子设备或服务器上执行。在涉及远程电子设备的情形中，远程电子设备可以通过任意种类的网络包括局域网(LAN)或广域网(WAN)连接到用户电子设备，或者，可以连接到外部电子设备(例如利用因特网服务提供商来通过因特网连接)。
应当注意，尽管在上文详细描述中提及了装置的若干模块，但是这种划分仅仅是示例性的并非强制性的。实际上，根据本发明的实施方式，上文描述的两个或更多模块的特征和功能可以在一个模块中具体化。反之，上文描述的一个模块的特征和功能可以进一步划分为由多个模块来具体化。
此外，尽管在附图中以特定顺序描述了本发明方法的操作，但是，这并非要求或者暗示必须按照该特定顺序来执行这些操作，或是必须执行全部所示的操作才能实现期望的结果。附加地或备选地，可以省略某些步骤，将多个步骤合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘计算机存储介质、CD-ROM、光学计算机存储介质等)上实施的计算机程序产品的形式。
本发明是参照根据本发明的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读计算机存储介质中，使得存储在该计算机可读计算机存储介质中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种网络反欺诈的方法，其特征在于，所述方法包括：
针对任意一个目标域名，利用被动域名PDNS数据库中域名与网际互联协议IP地址之间的对应关系，确定与所述目标域名相对应的多个IP地址；
通过预设算法从所述多个IP地址对应的各多源数据中抽取所述多个IP地址之间的关系；其中，任意一个多源数据包括网络流量数据和后台原始日志信息；
利用所述多个IP地址以及所述多个IP地址之间的关系构建有向图；其中，所述有向图中的各节点分别与各IP地址相对应，以及所述有向图中任意两个节点之间边与所述两个节点对应的两个IP地址之间的关系相对应，且所述多个IP地址包括未知IP地址和已确认IP地址，所述已确认IP地址为之前已经确定为可疑IP地址的IP地址；
针对任意一个未知IP地址对应的节点，根据所述有向图中与所述节点相连接的各节点的数量和所述节点的平均最短路径，得到与所述节点相对应的未知IP地址的可疑值；其中，所述节点的平均最短路径是通过在所述有向图中所述节点分别与各已确认IP地址对应的节点之间的最短路径得到的，且所述可疑值用于表示未知IP地址的可疑程度值，且通过以下公式得到所述可疑值：
；
其中，为与节点i相对应的未知IP地址的可疑值，/>为在所述有向图中与所述节点i相连接的各节点的数量，/>为所述有向图中各节点的总数量，/>为在所述有向图中各已确认IP地址对应的各节点的总数量，M为所述有向图中各已确认IP地址对应的各节点的集合，/>为在所述有向图中节点i与节点j之间的最短路径，/>为第一预设参数，/>为第二预设参数；
若基于所述各未知IP地址的可疑值确定所述各未知IP地址中存在可疑IP地址，则基于所述可疑IP地址，得到与所述可疑IP地址对应的可疑用户的身份信息以及位置信息。
2.根据权利要求1所述的方法，其特征在于，所述根据所述有向图中与所述节点相连接的各节点的数量和所述节点的平均最短路径，得到与所述节点相对应的未知IP地址的可疑值，包括：
根据所述有向图中与所述节点相连接的各节点的数量以及所述有向图中的各节点的总数量，得到第一中间指标，其中，所述第一中间指标用于表示所述节点的活跃程度；
基于所述节点的平均最短路径，得到第二中间指标，其中，所述第二中间指标用于表示所述节点与已确认IP地址对应的节点的亲密度；
通过所述第一中间指标和所述第二中间指标，得到与所述节点相对应的未知IP地址的可疑值。
3.根据权利要求1所述的方法，其特征在于，通过以下方式确定所述各未知IP地址中是否存在可疑IP地址：
将各未知IP地址的可疑值分别与预设阈值进行比较；
若确定存在可疑值大于预设阈值的未知IP地址，则确定所述各IP地址中存在可疑IP地址，并将可疑值大于所述预设阈值的所述未知IP地址确定为所述可疑IP地址；
若确定不存在可疑值大于预设阈值的未知IP地址，则确定所述各未知IP地址中不存在可疑IP地址。
4.根据权利要求1~2和3任一所述的方法，其特征在于，所述基于所述可疑IP地址，得到与所述可疑IP地址对应的可疑用户的身份信息以及位置信息，包括：
利用预设的IP地址和用户身份信息的对应关系，得到与所述可疑IP地址相对应的用户身份信息，并将所述用户身份信息确定为所述可疑用户的身份信息；以及，
基于IP地址和用户当前地理位置的对应关系，得到所述可疑IP地址相对应的用户当前地理位置，并将所述用户当前地理位置确定为所述可疑用户的位置信息。
5.一种网络反欺诈的装置，其特征在于，所述装置包括：
地址确定模块，用于针对任意一个目标域名，利用被动域名PDNS数据库中域名与网际互联协议IP地址之间的对应关系，确定与所述目标域名相对应的多个IP地址；
抽取模块，用于通过预设算法从所述多个IP地址对应的各多源数据中抽取所述多个IP地址之间的关系；其中，任意一个多源数据包括网络流量数据和后台原始日志信息；
有向图构建模块，用于利用所述多个IP地址以及所述多个IP地址之间的关系构建有向图；其中，所述有向图中的各节点分别与各IP地址相对应，以及所述有向图中任意两个节点之间边与所述两个节点对应的两个IP地址之间的关系相对应，且所述多个IP地址包括未知IP地址和已确认IP地址，所述已确认IP地址为之前已经确定为可疑IP地址的IP地址；
可疑值确定模块，用于针对任意一个未知IP地址对应的节点，根据所述有向图中与所述节点相连接的各节点的数量和所述节点的平均最短路径，得到与所述节点相对应的未知IP地址的可疑值；其中，所述节点的平均最短路径是通过在所述有向图中所述节点分别与各已确认IP地址对应的节点之间的最短路径得到的，且所述可疑值用于表示未知IP地址的可疑程度值；
所述可疑值确定模块，具体用于通过以下公式得到所述可疑值：
；
其中，为与节点i相对应的未知IP地址的可疑值，/>为在所述有向图中与所述节点i相连接的各节点的数量，/>为所述有向图中各节点的总数量，/>为在所述有向图中各已确认IP地址对应的各节点的总数量，M为所述有向图中各已确认IP地址对应的各节点的集合，/>为在所述有向图中节点i与节点j之间的最短路径，/>为第一预设参数，/>为第二预设参数；
可疑用户确定模块，用于若基于所述各未知IP地址的可疑值确定所述各未知IP地址中存在可疑IP地址，则基于所述可疑IP地址，得到与所述可疑IP地址对应的可疑用户的身份信息以及位置信息。
6.根据权利要求5所述的装置，其特征在于，所述可疑值确定模块，具体用于：
根据所述有向图中与所述节点相连接的各节点的数量以及所述有向图中的各节点的总数量，得到第一中间指标，其中，所述第一中间指标用于表示所述节点的活跃程度；
基于所述节点的平均最短路径，得到第二中间指标，其中，所述第二中间指标用于表示所述节点与已确认IP地址对应的节点的亲密度；
通过所述第一中间指标和所述第二中间指标，得到与所述节点相对应的未知IP地址的可疑值。
7.根据权利要求5所述的装置，其特征在于，所述装置还包括：
判断模块，用于通过以下方式确定所述各未知IP地址中是否存在可疑IP地址：
将各未知IP地址的可疑值分别与预设阈值进行比较；
若确定存在可疑值大于预设阈值的未知IP地址，则确定所述各IP地址中存在可疑IP地址，并将可疑值大于所述预设阈值的所述未知IP地址确定为所述可疑IP地址；
若确定不存在可疑值大于预设阈值的未知IP地址，则确定所述各未知IP地址中不存在可疑IP地址。
8.根据权利要求5~6和7任一所述的装置，其特征在于，所述可疑用户确定模块，具体用于：
利用预设的IP地址和用户身份信息的对应关系，得到与所述可疑IP地址相对应的用户身份信息，并将所述用户身份信息确定为所述可疑用户的身份信息；以及，
基于IP地址和用户当前地理位置的对应关系，得到所述可疑IP地址相对应的用户当前地理位置，并将所述用户当前地理位置确定为所述可疑用户的位置信息。
9.一种电子设备，其特征在于，包括至少一个处理器；以及与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有被所述至少一个处理器执行的指令；所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行根据权利要求1-4中任一项所述的方法。
10.一种计算机存储介质，其特征在于，所述计算机存储介质存储有计算机程序，所述计算机程序用于执行根据权利要求1-4中任一项所述的方法。
CN202210188434.3A 2022-02-28 2022-02-28 网络反欺诈的方法及装置 Active CN114640508B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210188434.3A CN114640508B (zh) 2022-02-28 2022-02-28 网络反欺诈的方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210188434.3A CN114640508B (zh) 2022-02-28 2022-02-28 网络反欺诈的方法及装置

Publications (2)

Publication Number Publication Date
CN114640508A CN114640508A (zh) 2022-06-17
CN114640508B true CN114640508B (zh) 2023-10-31

Family

ID=81947842

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210188434.3A Active CN114640508B (zh) 2022-02-28 2022-02-28 网络反欺诈的方法及装置

Country Status (1)

Country Link
CN (1) CN114640508B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115225384B (zh) * 2022-07-19 2024-01-23 天翼安全科技有限公司 一种网络威胁度评估方法、装置、电子设备及存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10129276B1 (en) * 2016-03-29 2018-11-13 EMC IP Holding Company LLC Methods and apparatus for identifying suspicious domains using common user clustering
US10291645B1 (en) * 2018-07-09 2019-05-14 Kudu Dynamics LLC Determining maliciousness in computer networks
US10652270B1 (en) * 2016-06-23 2020-05-12 Ntt Research, Inc. Botmaster discovery system and method
CN111294318A (zh) * 2018-12-07 2020-06-16 中国移动通信集团陕西有限公司 一种网络攻击的ip地址分析方法、装置和存储介质
CN113395246A (zh) * 2020-03-13 2021-09-14 中国互联网络信息中心 一种确定不良域名的方法及系统

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030079027A1 (en) * 2001-10-18 2003-04-24 Michael Slocombe Content request routing and load balancing for content distribution networks
US20070014241A1 (en) * 2005-07-14 2007-01-18 Banerjee Dwip N Resolver caching of a shortest path to a multihomed server as determined by a router
CN109347787B (zh) * 2018-08-15 2020-08-04 阿里巴巴集团控股有限公司 一种身份信息的识别方法及装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10129276B1 (en) * 2016-03-29 2018-11-13 EMC IP Holding Company LLC Methods and apparatus for identifying suspicious domains using common user clustering
US10652270B1 (en) * 2016-06-23 2020-05-12 Ntt Research, Inc. Botmaster discovery system and method
US10291645B1 (en) * 2018-07-09 2019-05-14 Kudu Dynamics LLC Determining maliciousness in computer networks
CN111294318A (zh) * 2018-12-07 2020-06-16 中国移动通信集团陕西有限公司 一种网络攻击的ip地址分析方法、装置和存储介质
CN113395246A (zh) * 2020-03-13 2021-09-14 中国互联网络信息中心 一种确定不良域名的方法及系统

Also Published As

Publication number Publication date
CN114640508A (zh) 2022-06-17

Similar Documents

Publication Publication Date Title
US10558749B2 (en) Text prediction using captured image from an image capture device
US20160034558A1 (en) Generating a clustering model and clustering based on the clustering model
JP7120350B2 (ja) セキュリティ情報分析方法、セキュリティ情報分析システム、及び、プログラム
CN112162965B (zh) 一种日志数据处理的方法、装置、计算机设备及存储介质
US20190188478A1 (en) Method and apparatus for obtaining video public opinions, computer device and storage medium
CN111310061B (zh) 全链路多渠道归因方法、装置、服务器及存储介质
US10049108B2 (en) Identification and translation of idioms
CN109284450B (zh) 订单成单路径的确定方法及装置、存储介质、电子设备
CN111314063A (zh) 一种基于物联网大数据信息管理方法、系统及装置
CN114640508B (zh) 网络反欺诈的方法及装置
US9916307B1 (en) Dynamic translation of idioms
US8990170B2 (en) Method and apparatus for detecting an address update
CN104657406A (zh) 用于社会协作环境中的条目的交互分割的方法和系统
CN113360895A (zh) 站群检测方法、装置及电子设备
CN114006868B (zh) 流量筛选方法及装置
US20160012495A1 (en) Soliciting customer feedback based on indoor positioning system detection of physical customer presence
CN115859273A (zh) 一种数据库异常访问的检测方法、装置、设备及存储介质
US8909795B2 (en) Method for determining validity of command and system thereof
US11157571B2 (en) External network system for extracting external website data using generated polymorphic data
CN111858782A (zh) 基于信息安全的数据库构建方法、装置、介质与设备
US10055401B2 (en) Identification and processing of idioms in an electronic environment
CN111625727A (zh) 用于社交关系数据的信息处理方法、装置和存储介质
CN111158997A (zh) 一种多日志系统的安全监测方法及装置
CN115150130B (zh) 攻击团伙的跟踪分析方法、装置、设备及存储介质
CN115150052B (zh) 攻击团伙的跟踪识别方法、装置、设备及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant