CN116150697A - 一种异常应用识别方法、装置、设备、存储介质及产品 - Google Patents

Abstract

本申请公开了一种异常应用识别方法、装置、设备、存储介质及产品，该方法通过异常应用识别模型识别第一应用的融合特征，即可识别出第一应用是否为异常应用。而融合特征是根据连续性特征和嵌入特征融合得到的，且连续性特征是根据第一应用的应用包标识和应用标识对应分词在异常应用类别中的重要性指标得到的，嵌入特征是根据应用标识对应的分词进行特征转换得到的。所以，本申请实施例可以根据待识别应用的应用包标识和应用标识即可实现异常应用的识别。而应用包标识和应用标识对应的数据容量相较于应用接收的异常应用接收链接和图片等信息的数量容较小，所以，利用应用包标识和应用标识进行异常应用的识别，降低了计算复杂度，提高了识别效率。

Description

一种异常应用识别方法、装置、设备、存储介质及产品

技术领域

本申请属于计算机技术领域，尤其涉及一种异常应用识别方法、装置、设备、存储介质及产品。

背景技术

随着当前互联网的快速发展，应用程序的大范围使用让人们的生活更加便利，但也出现很多异常应用，这些应用给人们生活带来了很大负面影响。

为了减少影响，现阶段出现了一些异常应用识别的方案。如异常应用接收链接和图片等信息，通过知识图谱或模式识别等技术可以进行异常识别。

但是这类识别技术普遍需要大量数据参与到识别计算，导致计算复杂度较高，从而识别效率低。

发明内容

本申请实施例提供一种在异常应用识别方法、装置、设备、计算机存储介质及产品，能够解决现有技术中计算复杂度较高，识别效率较低的问题。

第一方面，本申请实施例提供一种异常应用识别方法，该方法包括：

获取第一应用的应用包标识和应用标识；

对应用包标识和应用标识进行分词处理，得到至少一个分词；

匹配至少一个分词中的每个分词分别在异常应用类别中的重要性指标，得到连续型特征；

对应用标识对应的分词进行特征转换，得到嵌入特征；

将连续型特征和嵌入特征融合，得到融合特征；

将融合特征输入到异常应用识别模型，通过异常应用识别模型识别融合特征，得到第一应用是否为异常应用的识别结果。

第二方面，本申请实施例提供了异常应用识别装置，该装置包括：

获取模块，用于获取第一应用的应用包标识和应用标识；

分词模块，用于对应用包标识和应用标识进行分词处理，得到至少一个分词；

匹配模块，用于匹配至少一个分词中的每个分词分别在异常应用类别中的重要性指标，得到连续型特征；

转换模块，用于对应用标识对应的分词进行特征转换，得到嵌入特征；

融合模块，用于将连续型特征和嵌入特征融合，得到融合特征；

识别模块，用于将融合特征输入到异常应用识别模型，通过所异常应用识别模型识别融合特征，得到第一应用是否为异常应用的识别结果。

第三方面，本申请实施例提供了一种电子设备，设备包括：

本申请实施例提供了一种电子设备，该电子设备包括处理器和存储器，所述存储器存储可在所述处理器上运行的程序或指令，所述程序或指令被所述处理器执行时实现如第一方面所述的方法的步骤。

第四方面，本申请实施例提供了一种计算机存储介质，

本申请实施例提供了一种可读存储介质，所述可读存储介质上存储程序或指令，所述程序或指令被处理器执行时实现如第一方面所述的方法的步骤。

第五方面，本申请实施例提供一种计算机程序产品，该程序产品被存储在存储介质中，该程序产品被至少一个处理器执行以实现如第一方面所述的方法。

本发明实施例提供一种异常应用识别方法、装置、设备、存储介质及产品，通过异常应用识别模型识别第一应用的融合特征，即可识别出第一应用是否为异常应用。而融合特征是根据连续性特征和嵌入特征融合得到的，且连续性特征是根据第一应用的应用包标识和应用标识对应分词在异常应用类别中的重要性指标得到的，嵌入特征是根据应用标识对应的分词进行特征转换得到的。所以，本申请实施例可以根据待识别应用的应用包标识和应用标识即可实现异常应用的识别。而应用包标识和应用标识对应的数据容量相较于应用接收的异常应用接收链接和图片等信息的数量容较小，所以，利用应用包标识和应用标识进行异常应用的识别，降低了计算复杂度，提高了识别效率。

附图说明

图1是一示例性实施例示出的一种异常应用识别方法的流程示意图；

图2是一示例性实施例示出的一种异常应用识别方法的示意图；

图3是一示例性实施例示出的一种异常应用审核方法的示意图；

图4是一示例性实施例示出的一种异常应用识别装置的结构示意图；

图5是一示例性实施例示出的一种电子设备的结构示意图。

具体实施方式

下面将详细描述本申请的各个方面的特征和示例性实施例，为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及具体实施例，对本申请进行进一步详细描述。应理解，此处所描述的具体实施例仅意在解释本申请，而不是限定本申请。对于本领域技术人员来说，本申请可以在不需要这些具体细节中的一些细节的情况下实施。下面对实施例的描述仅仅是为了通过示出本申请的示例来提供对本申请更好的理解。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

为了解决现有技术问题，本申请实施例提供了一种异常应用识别方法、装置、设备、计算机存储介质及产品。

如背景技术部分所述，现有技术中，由于异常应用通过接收链接和图片信息进行异常识别，该异常识别方法运用知识图谱或模式识别等技术，需要大量数据参与识别计算，导致计算复杂度较高，识别效率低的问题。

基于此，本申请实施例提供的异常应用识别方法中，通过异常应用识别模型识别第一应用的融合特征，即可识别出第一应用是否为异常应用。而融合特征是根据连续性特征和嵌入特征融合得到的，且连续性特征是根据第一应用的应用包标识和应用标识对应分词在异常应用类别中的重要性指标得到的，嵌入特征是根据应用标识对应的分词进行特征转换得到的。所以，本申请实施例可以根据待识别应用的应用包标识和应用标识即可实现异常应用的识别。而应用包标识和应用标识对应的数据容量相较于应用接收的异常应用接收链接和图片等信息的数量容较小，所以，利用应用包标识和应用标识进行异常应用的识别，降低了计算复杂度，提高了识别效率。

下面首先对本申请实施例所提供的异常应用识别方法进行介绍。

图1示出了本申请一个实施例提供的异常应用识别方法的流程示意图。

如图1所示，本申请实施例提供的异常应用识别方法可以包括步骤101-步骤106。

步骤101、获取第一应用的应用包标识和应用标识。

其中，应用包标识和应用标识的获取用于后续的分词处理。

在本申请的一些实施例中，第一应用的可以为AB，应用标识可以是AB，应用包标识可以是com.ab.mm。

通过获取应用AB的应用标识和应用包标识可以把需识别的应用AB与应用标识以及应用包标识建立关联关系，以便同时识别多个应用时能得以应用间的区分。

步骤102、对所述应用包标识和所述应用标识进行分词处理，得到至少一个分词。

由于应用包标识至少由三段式字词组成，应用标识由词组成，若以整体方式进行后续异常类别匹配，则得到的匹配类别情况很少，为了提类别匹配效果，需要对应用包标识和应用标识进行分词。

在本申请的一些实施例中，以上述第一应用为AB的情况下，可以通过截取应用标识AB分为A、B；应用包标识com.ab.mm可以分为com、ab、mm。

此实施例中，通过截取后应用包标识和应用标识能够得到多种分词标识，在此基础上将各个分词标识与异常应用类别匹配，可以得到更多的匹配项。例如，异常应用类别有A、B、com、ab、mm等，若不将应用包标识和应用标识进行分词后与异常应用类别匹配，则常会出现AB和com.ab.mm与异常应用类别无匹配项的情况。另外在分词进行匹配异常应用类别前，还可以去除各分词中的特殊字符，特殊关键词，字符串乱码等特殊字符，因此通过上述处理后，应用包标识和应用标识进行分词，能够与异常应用类别匹配出更多的匹配项。

步骤103、匹配所述至少一个分词中的每个分词分别在异常应用类别中的重要性指标，得到连续型特征。

由于分词与不同的异常应用类别进行匹配，会产生多种匹配结果，若将所有匹配结果用于异常识别模型中，会导致增加识别过程中的计算量。

在本申请的一些实施例中，将每个分词与每个异常类别进行匹配，得到各个分词在每个异常应用类别中的重要性指标tf-idf值，该重要性指标用于标记各个分词在每个类别中的重要性。

此实施例中，利用各个分词分别与各异常应用类别进行匹配，计算得到各分词分别在每个异常应用类别中的重要性指标，该重要性指标的集合可用于模型的输入，能够降低计算复杂度，提高异常识别效率。

步骤104、对所述应用标识对应的分词进行特征转换，得到嵌入特征。

在本申请的一些实施例中，对应用标识对应的分词进行特征转换，得到嵌入特征，可以包括以下步骤：

对所述应用标识对应的分词进行数值化向量处理，得到数值向量；

对所述数值向量分别进行最大池化和平均池化处理，得到第一结果和第二结果；

拼接第一结果和第二结果，得到嵌入特征。

由于异常应用识别模型训练不会接收原始文本数据作为输入，因此需要将应用标识进行数值化向量处理。另外，经过数值化向量处理得到的数值向量通过最大池化和平均池化处理，减少数值向量的数量，用于减少识别过程中模型的计算量。

在本申请的一些实施例中，如图2所示，可以用one-hot编码等方法来标记应用标识，然后构建一个包含embedding层的神经网络，训练完成后，将标识one-hot向量输入到embedding中，embedding的输出向量即为该单词的新的嵌入表示。数值向量在第一池化层201进行最大池化处理是对邻域内特征点取最大特征，得到最大池化的数值向量；数值向量在第二池化层202进行平均池化处理是对邻域内特征点取平均特征，得到平均池化的数值向量。

此实施例中通过数值化向量处理的数值向量是以词嵌入方法处理后的数值向量，再经过最大池化和平均池化处理，此时经过两种池化处理后的向量能够用于作为模型训练的输入，以上处理方式能将数据维度降低的同时保留了向量中最重要的信息，对于异常应用识别网络的训练及优化有重要意义，能够降低计算复杂度，提高异常识别效率。

步骤105、将所述连续型特征和嵌入特征融合，得到融合特征。

需要注意到的是进行模型识别之前，需要搭建神经网络，这是为了拓宽网络的宽度，因此需要对输入到识别模型的特征进行特征融合。

在实施例中可以通过在识别模型平台调用向量拼接函数完成特征融合操作。

此实施例中，通过将连续型特征和嵌入特征融合，便于搭建神经网络用于识别，这降低了计算复杂度，提高异常识别效率。

步骤106、将所述融合特征输入到异常应用识别模型，通过所述异常应用识别模型识别融合特征，得到所述第一应用是否为异常应用的识别结果。

在本申请的一些实施例中，如图2所示，所述异常应用识别模型为多层深度学习网络，所述多层深度学习网络包括两层前向网络203和分类层204，所述将所述融合特征输入到异常应用识别模型，通过所述异常应用识别模型识别融合特征，得到所述第一应用是否为异常应用的识别结果，包括：

将所述融合特征输入到所述两层前向网络进行排列组合，得到融合特征的非线性组合结果；

将所述非线性组合结果输入到所述分类层204，通过分类层204对所述非线性组合结果进行分类，得到所述第一应用是否为异常应用的识别结果。

经过拼接处理得到的融合特征只是异常识别模型的基础输入变量，为了得到较为准确的识别结果，还需要对融合特征识别前进行预处理。

在一个示例中，如图2所示，通过应用包标识得到连续型特征，应用标识通过第一池化层201进行最大池化处理和第二池化层202进行平均池化处理得到嵌入特征，将所述连续型特征和嵌入特征进行融合，得到融合特征，进行融合特征时，该特征以每行一个样本，每列一个特征的形式组成，把融合特征输入到异常应用识别模型，融合特征先经过两层前向网络203进行排列组合，得到新的融合特征，最后将新的融合特征输入到一层分类层204得到模型的识别结果，该识别结果就是融合特征经过异常识别模型识别后的结果。

此实施例中，将融合特征输入到异常应用识别模型，通过异常应用识别模型识别融合特征，进而快速完成对异常应用的识别，实施例仅利用应用包标识和应用标识进行异常应用的识别，降低了计算复杂度，提高了识别效率。

在本申请的一些实施例中，在步骤106之后，上述所涉及的异常应用识别方法还可以包括：

在识别结果指示第一应用为异常应用的情况下，将所述第一应用发送至人工审核池，以人工审核所述第一应用的识别结果。

为了进一步提升异常应用识别的效果，需要在模型识别出异常应用后进行人工审核。

在一个示例中，如图3所示，应用被识别出异常后，通过异常应用识别模型301推送到人工审核池302，人工审核池302的人员在收到异常推送信息后，会根据异常审核标准完成该异常应用的审核。

此实施例中，通过识别结果指示为异常应用后，将异常应用发送至人工审核池，通过人工审核方式审核异常应用的识别结果。该方式为了进一步提升异常应用识别的效果，降低了计算复杂度，提高了识别效率。

在本申请的一些实施例中，在步骤106之后，上述所涉及的异常应用识别方法还可以包括：

响应于人工确定第一应用为异常应用，将第一应用存储到异常应用的黑样本库。

为了进一步提升异常应用识别的效果，人工审核异常应用的判定结果为异常应用时，需要将异常应用存到特定区域，用于进一步异常识别。

在一个示例中，如图3所示，人工审核异常应用时根据审核结果为异常时，把该异常应用相关信息存储在黑样本库303中。

此实施例中，响应人工审核的异常应用为异常时，将异常应用存储到黑样本库303中，该方式为了进一步提升异常应用识别的效果，降低了计算复杂度，提高了识别效率。

在本申请的一些实施例中，在步骤106之后，上述所涉及的异常应用识别方法还可以包括：

在识别结果指示第一应用为异常应用的情况下，根据用户在所述第一应用上的活跃参数，确定提示信息的目标级别304；

给目标对象305推送所述目标级别的异常提示信息。

需要注意的是，在识别结果为异常应用时，需要检测异常应用的运行情况，以便提高识别效率。

在一个示例中，如图3所示，识别应用会在用户手机端运行，在异常应用运行情况下，会根据行为数据库匹配异常应用的运行情况，如应用的安装、卸载、活跃情况等，并且会根据用户在异常应用上的活跃参数确定提示信息的目标级别304，当异常应用发生异常行为时，会给目标对象305发送目标级别对应的提示信息。

此实施例中，在识别结果指示第一应用为异常应用的情况下，根据用户在第一应用上的活跃参数，确定提示信息的目标级别给目标对象推送目标级别的异常提示信息，该方式提升异常应用识别的效果，降低了计算复杂度，提高了识别效率。

图4是根据一示例性实施例示出的一种异常应用识别装置的结构示意图。

如图4所示，该应用程序下载装置400可以包括：

获取模块401，用于获取第一应用的应用包标识和应用标识；

分词模块402，用于对所述应用包标识和所述应用标识进行分词处理，得到至少一个分词；

匹配模块403，用于匹配所述至少一个分词中的每个分词分别在异常应用类别中的重要性指标，得到连续型特征；

转换模块404，用于对所述应用标识对应的分词进行特征转换，得到嵌入特征；

融合模块405，用于将所述连续型特征和嵌入特征融合，得到融合特征；

识别模块406，用于将所述融合特征输入到异常应用识别模型，通过所述异常应用识别模型识别融合特征，得到所述第一应用是否为异常应用的识别结果。

本发明实施例提供一种异常应用识别方法装置，通过识别模块异常应用识别模型识别第一应用的融合特征，即可识别出第一应用是否为异常应用。而融合特征是基于融合模块根据连续性特征和嵌入特征融合得到的，且连续性特征是基于匹配模块根据第一应用的应用包标识和应用标识对应分词在异常应用类别中的重要性指标得到的，嵌入特征是基于转换模块根据应用标识对应的分词进行特征转换得到的。所以，本申请实施例可以根据待识别应用的应用包标识和应用标识即可实现异常应用的识别。而应用包标识和应用标识对应的数据容量相较于应用接收的异常应用接收链接和图片等信息的数量容较小，所以，利用应用包标识和应用标识进行异常应用的识别，降低了计算复杂度，提高了识别效率。

在本申请的一些实施例中，为了进一步提升识别效率，所述转换模块可以具体用于，对所述应用标识对应的分词进行数值化向量处理，得到数值向量；

对所述数值向量进行最大池化和平均池化处理，得到第一结果和第二结果；

拼接第一结果和第二结果，得到嵌入特征。在本申请的一些实施例中，为了进一步提升识别效率，所述识别模块可以具体用于，将所述融合特征输入到所述两层前向网络进行排列组合，得到融合特征的非线性组合结果；

将所述非线性组合结果输入到所述分类层，通过分类层对非线性组合结果进行分类，得到所述第一应用是否为异常应用的识别结果。

在本申请的一些实施例中，为了进一步提升识别效率，所述装置还可以包括：

发送模块，用于在识别结果指示第一应用为异常应用的情况下，将所述第一应用发送至人工审核池，以人工审核所述第一应用的识别结果。

在本申请的一些实施例中，为了进一步提升识别效率，所述装置还可以包括：

存储模块，用于响应于人工确定第一应用为异常应用，将第一应用存储到异常应用的黑样本库。

在本申请的一些实施例中，所述的一种异常应用识别装置，其特征在于，所述装置，还包括：

确定模块，用于在识别结果指示第一应用为异常应用的情况下，根据用户在所述第一应用上的活跃参数，确定提示信息的目标级别；

推送模块，用于给目标对象推送所述目标级别的异常提示信息。

图5示出了本申请又一个实施例提供的电子设备的硬件结构示意图。

设备可以包括处理器501以及存储有程序或指令的存储器502。

处理器501执行程序时实现上述任意各个方法实施例中的步骤。

示例性的，程序可以被分割成一个或多个模块/单元，一个或者多个模块/单元被存储在存储器502中，并由处理器501执行，以完成本申请。一个或多个模块/单元可以是能够完成特定功能的一系列程序指令段，该指令段用于描述程序在设备中的执行过程。

具体地，上述处理器501可以包括中央处理器（CPU），或者特定集成电路（Application Specific Integrated Circuit ，ASIC），或者可以被配置成实施本申请实施例的一个或多个集成电路。

存储器502可以包括用于数据或指令的大容量存储器。举例来说而非限制，存储器502可包括硬盘驱动器（Hard Disk Drive，HDD）、软盘驱动器、闪存、光盘、磁光盘、磁带或通用串行总线（Universal Serial Bus，USB）驱动器或者两个或更多个以上这些的组合。在合适的情况下，存储器502可包括可移除或不可移除(或固定)的介质。在合适的情况下，存储器502可在综合网关容灾设备的内部或外部。在特定实施例中，存储器502是非易失性固态存储器。

存储器可包括只读存储器（ROM），随机存取存储器（RAM），磁盘存储介质设备，光存储介质设备，闪存设备，电气、光学或其他物理/有形的存储器存储设备。因此，通常，存储器包括一个或多个编码有包括计算机可执行指令的软件的有形（非暂态）可读存储介质（例如，存储器设备），并且当该软件被执行（例如，由一个或多个处理器）时，其可操作来执行参考根据本公开的一方面的方法所描述的操作。

处理器501通过读取并执行存储器502中存储的程序或指令，以实现上述实施例中的任意一种方法。

在一个示例中，电子设备还可包括通信接口503和总线510。其中，处理器501、存储器502、通信接口503通过总线510连接并完成相互间的通信。

通信接口503，主要用于实现本申请实施例中各模块、装置、单元和/或设备之间的通信。

总线510包括硬件、软件或两者，将在线数据流量计费设备的部件彼此耦接在一起。举例来说而非限制，总线可包括加速图形端口（AGP）或其他图形总线、增强工业标准架构（EISA）总线、前端总线（FSB）、超传输（HT）互连、工业标准架构（ISA）总线、无限带宽互连、低引脚数（LPC）总线、存储器总线、微信道架构（MCA）总线、外围组件互连（PCI）总线、PCI-Express（PCI-X）总线、串行高级技术附件（SATA）总线、视频电子标准协会局部（VLB）总线或其他合适的总线或者两个或更多个以上这些的组合。在合适的情况下，总线510可包括一个或多个总线。尽管本申请实施例描述和示出了特定的总线，但本申请考虑任何合适的总线或互连。

另外，结合上述实施例中的方法，本申请实施例可提供一种计算机可读存储介质来实现。该计算机可读存储介质上存储有程序或指令；该程序或指令被处理器执行时实现上述实施例中的任意一种方法。该计算机可读存储介质可以被如计算机等机器读取。

本申请实施例另提供了一种芯片，所述芯片包括处理器和通信接口，所述通信接口和所述处理器耦合，所述处理器用于运行程序或指令，实现上述方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

应理解，本申请实施例提到的芯片还可以称为系统级芯片、系统芯片、芯片系统或片上系统芯片等。

本申请实施例提供一种计算机程序产品，该程序产品被存储在可读存储介质中，该程序产品被至少一个处理器执行以实现如上述方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

需要明确的是，本申请并不局限于上文所描述并在图中示出的特定配置和处理。为了简明起见，这里省略了对已知方法的详细描述。在上述实施例中，描述和示出了若干具体的步骤作为示例。但是，本申请的方法过程并不限于所描述和示出的具体步骤，本领域的技术人员可以在领会本申请的精神后，作出各种改变、修改和添加，或者改变步骤之间的顺序。

以上所述的结构框图中所示的功能模块可以实现为硬件、软件、固件或者它们的组合。当以硬件方式实现时，其可以例如是电子电路、专用集成电路（ASIC）、适当的固件、插件、功能卡等等。当以软件方式实现时，本申请的元素是被用于执行所需任务的程序或者代码段。程序或者代码段可以存储在机器可读介质中，或者通过载波中携带的数据信号在传输介质或者通信链路上传送。“机器可读介质”可以包括能够存储或传输信息的任何介质。机器可读介质的例子包括电子电路、半导体存储器设备、ROM、闪存、可擦除ROM（EROM）、软盘、CD-ROM、光盘、硬盘、光纤介质、射频（RF）链路，等等。代码段可以经由诸如因特网、内联网等的计算机网格被下载。

还需要说明的是，本申请中提及的示例性实施例，基于一系列的步骤或者装置描述一些方法或系统。但是，本申请不局限于上述步骤的顺序，也就是说，可以按照实施例中提及的顺序执行步骤，也可以不同于实施例中的顺序，或者若干步骤同时执行。

上面参考根据本公开的实施例的方法、装置（系统）和程序产品的流程图和/或框图描述了本公开的各方面。应当理解，流程图和/或框图中的每个方框以及流程图和/或框图中各方框的组合可以由计算机程序或指令实现。这些程序或指令可被提供给通用计算机、专用计算机、或其它可编程数据处理装置的处理器，以产生一种机器，使得经由计算机或其它可编程数据处理装置的处理器执行的这些指令使能对流程图和/或框图的一个或多个方框中指定的功能/动作的实现。这种处理器可以是但不限于是通用处理器、专用处理器、特殊应用处理器或者现场可编程逻辑电路。还可理解，框图和/或流程图中的每个方框以及框图和/或流程图中的方框的组合，也可以由执行指定的功能或动作的专用硬件来实现，或可由专用硬件和计算机指令的组合来实现。

本申请实施例还提供一种可读存储介质，所述可读存储介质上存储有程序或指令，该程序或指令被处理器执行时实现上述应用程序下载方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

其中，所述处理器为上述实施例中所述的电子设备中的处理器。所述可读存储介质，包括计算机可读存储介质，如计算机只读存储器ROM、随机存取存储器RAM、磁碟或者光盘等。

本申请实施例提供一种计算机程序产品，该程序产品被存储在存储介质中，该程序产品被至少一个处理器执行以实现如上述应用程序下载方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。此外，需要指出的是，本申请实施方式中的方法和装置的范围不限按示出或讨论的顺序来执行功能，还可包括根据所涉及的功能按基本同时的方式或按相反的顺序来执行功能，例如，可以按不同于所描述的次序来执行所描述的方法，并且还可以添加、省去、或组合各种步骤。另外，参照某些示例所描述的特征可在其他示例中被组合。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以计算机软件产品的形式体现出来，该计算机软件产品存储在一个存储介质（如ROM/RAM、磁碟、光盘）中，包括若干指令用以使得一台终端（可以是手机，计算机，服务器，或者网络设备等）执行本申请各个实施例所述的方法。

上面结合附图对本申请的实施例进行了描述，但是本申请并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本申请的启示下，在不脱离本申请宗旨和权利要求所保护的范围情况下，还可做出很多形式，均属于本申请的保护之内。

Claims (10)

1.一种异常应用识别方法，其特征在于，包括：

获取第一应用的应用包标识和应用标识；

对所述应用包标识和所述应用标识进行分词处理，得到至少一个分词；

匹配所述至少一个分词中的每个分词分别在异常应用类别中的重要性指标，得到连续型特征；

对所述应用标识对应的分词进行特征转换，得到嵌入特征；

将所述连续型特征和嵌入特征融合，得到融合特征；

将所述融合特征输入到异常应用识别模型，通过所述异常应用识别模型识别融合特征，得到所述第一应用是否为异常应用的识别结果。

2.根据权利要求1所述的方法，其特征在于，所述对所述应用标识对应的分词进行特征转换，得到嵌入特征，包括：

对所述应用标识对应的分词进行数值化向量处理，得到数值向量；

对所述数值向量分别进行最大池化和平均池化处理，得到第一结果和第二结果；

拼接第一结果和第二结果，得到嵌入特征。

3.根据权利要求1所述的方法，其特征在于，所述异常应用识别模型为多层深度学习网络，所述多层深度学习网络包括两层前向网络和分类层，所述将所述融合特征输入到异常应用识别模型，通过所述异常应用识别模型识别融合特征，得到所述第一应用是否为异常应用的识别结果，包括：

将所述融合特征输入到所述两层前向网络进行排列组合，得到融合特征的非线性组合结果；

将所述非线性组合结果输入到所述分类层，通过分类层对非线性组合结果进行分类，得到所述第一应用是否为异常应用的识别结果。

4.根据权利要求1所述的方法，其特征在于，所述得到识别结果后，所述方法还包括：

在识别结果指示第一应用为异常应用的情况下，将所述第一应用发送至人工审核池，以人工审核所述第一应用的识别结果。

5.根据权利要求4所述的方法，其特征在于，所述将所述第一应用发送至人工审核池，以人工审核所述第一应用的识别结果后，所述方法还包括：

响应于人工确定第一应用为异常应用，将第一应用存储到异常应用的黑样本库。

6.根据权利要求1-5任一项所述的方法，其特征在于，所述通过所述异常应用识别模型识别融合特征，得到所述第一应用是否为异常应用的识别结果之后，所述方法还包括：

在识别结果指示第一应用为异常应用的情况下，根据用户在所述第一应用上的活跃参数，确定提示信息的目标级别；

给目标对象推送所述目标级别的异常提示信息。

7.一种异常应用识别装置，其特征在于，包括：

获取模块，用于获取第一应用的应用包标识和应用标识；

分词模块，用于对所述应用包标识和所述应用标识进行分词处理，得到至少一个分词；

匹配模块，用于匹配所述至少一个分词中的每个分词分别在异常应用类别中的重要性指标，得到连续型特征；

转换模块，用于对所述应用标识对应的分词进行特征转换，得到嵌入特征；

融合模块，用于将所述连续型特征和嵌入特征融合，得到融合特征；

识别模块，用于将所述融合特征输入到异常应用识别模型，通过所述异常应用识别模型识别融合特征，得到所述第一应用是否为异常应用的识别结果。

8.一种异常应用识别设备，其特征在于，所述设备包括：处理器以及存储有计算机程序指令的存储器；

所述处理器执行所述计算机程序指令时实现如权利要求1-6任意一项所述的异常应用识别方法。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序指令，所述计算机程序指令被处理器执行时实现如权利要求1-6任意一项所述的异常应用识别方法。

10.一种计算机程序产品，其特征在于，所述计算机程序产品中的指令由电子设备的处理器执行时，使得所述电子设备执行如权利要求1-6任意一项所述的异常应用识别方法。

Images