CN118171912A - 风险识别方法、装置、存储介质和计算机设备 - Google Patents

Abstract

本发明公开了一种风险识别方法、装置、存储介质和计算机设备。其中，该方法包括：获取目标账户在目标平台上的行为数据；将行为数据输入预先训练的联合模型中，由联合模型输出行为数据的目标异常概率，其中，联合模型通过全平台训练样本进行训练得到，全平台训练样本包括多个平台各自记录的样本行为数据；根据目标异常概率，确定目标账户的安全风险。本发明解决了由于在对数据进行安全防护时只分析用户在单个平台上的行为，造成的用户行为分析具有局限性，导致对数据安全防护的效果不好的技术问题。

Description

风险识别方法、装置、存储介质和计算机设备

技术领域

本发明涉及信息安全技术领域，具体而言，涉及一种风险识别方法、装置、存储介质和计算机设备。

背景技术

随着互联网技术的广泛应用，企业收集和处理的数据量呈指数级增长，同时企业内部平台等也随着业务种类的增多不断增多，这使得保护大规模数据变得更加困难，传统的数据安全方法无法满足当前的需求。

用户并不局限于单一平台，他们可能会在多个平台上进行活动和交互。因此，单一平台上的行为分析可能会忽略用户在其他平台上的行为，导致对用户全面行为的理解不足。此外，单一平台上用户行为分析也可能会忽略跨平台的行为影响。用户可能会在不同的平台上进行交互和活动，他们在一个平台上的行为可能会受到其他平台行为的影响。因此，单一平台上的行为分析可能无法全面理解用户行为的背后动机和影响因素。

因此，单一平台上用户的行为分析有其局限性，不全面性和局限性可能导致分析结果的不准确性和不全面性。

针对上述的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种风险识别方法、装置、存储介质和计算机设备，以至少解决由于在对数据进行安全防护时只分析用户在单个平台上的行为，造成的用户行为分析具有局限性，导致对数据安全防护的效果不好的技术问题。

根据本发明实施例的一个方面，提供了一种风险识别方法，包括：获取目标账户在目标平台上的行为数据；将行为数据输入预先训练的联合模型中，由联合模型输出行为数据的目标异常概率，其中，联合模型通过全平台训练样本进行训练得到，全平台训练样本包括多个平台各自记录的样本行为数据；根据目标异常概率，确定目标账户的安全风险。

可选地，将行为数据输入预先训练的联合模型中，由联合模型输出行为数据的目标异常概率，包括：将行为数据输入全平台子模型，由全平台子模型输出行为数据的第一异常概率，其中，联合模型包括全平台子模型和多个单平台子模型，全平台子模型通过全平台训练样本进行训练得到，多个单平台子模型分别通过对应的单平台训练样本进行训练得到，其中，单平台训练样本包括一个平台记录的样本行为数据；将行为数据输入与目标平台匹配的目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率；根据第一异常概率和第二异常概率，确定目标异常概率。

可选地，将行为数据输入与目标平台匹配的目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率，包括：根据行为数据包括的平台标识，在多个单平台子模型中确定目标单平台子模型；将行为数据输入目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率。

可选地，联合模型通过如下方式训练得到：获取全平台训练样本，其中，全平台训练样本包括第一样本行为数据，以及第一样本行为数据对应的第一样本异常标签；采用全平台训练样本，对原始全平台子模型进行训练，得到全平台子模型；获取多组单平台训练样本，其中，多组单平台训练样本中任意一组单平台训练样本包括第二样本行为数据，以及第二样本行为数据对应的第二样本异常标签，第二样本行为数据由一个平台记录得到；依次将多个原始单平台子模型与全平台子模型连接，得到多个中间联合模型，并分别采用多组单平台训练样本对中间联合模型进行训练，得到联合模型。

可选地，依次将多个原始单平台子模型与全平台子模型连接，得到多个中间联合模型，并分别采用多组单平台训练样本对中间联合模型进行训练，得到联合模型，包括：将第一原始单平台子模型与全平台子模型连接，得到第一中间联合模型；采用与第一原始单平台子模型对应的单平台训练样本对第一中间联合模型进行训练，得到训练好的第一中间联合模型；在未连接的原始单平台子模型中选取第二原始单平台子模型，将第二原始单平台子模型与训练好的第一中间联合模型连接，得到第二中间联合模型；采用与第二原始单平台子模型对应的单平台训练样本对第二中间联合模型进行训练，得到训练好的第二中间联合模型；采用上述得到训练好的第二中间联合模型的方式，依次得到训练好的多个中间联合模型，直至多个原始单平台子模型与全平台子模型连接，得到联合模型。

可选地，采用与第二原始单平台子模型对应的单平台训练样本对第二中间联合模型进行训练，得到训练好的第二中间联合模型，包括：将目标样本行为数据输入第二中间联合模型，由第二中间联合模型输出样本异常概率，其中，目标样本行为数据为与第二原始单平台子模型对应的单平台训练样本包括的样本行为数据；基于预先设定的损失函数，根据样本异常概率，以及与目标样本行为数据对应的样本异常标签，调整第二中间联合模型中的第二原始单平台子模型的参数，得到训练好的第二中间联合模型。

可选地，损失函数包括参数空间正交约束，其中，参数空间正交约束用于调整第二中间联合模型中的第一原始单平台子模型的参数与第二原始单平台子模型的参数正交。

根据本发明实施例的另一方面，还提供了一种风险识别装置，包括：获取模块，用于获取目标账户在目标平台上的行为数据；识别模块，用于将行为数据输入预先训练的联合模型中，由联合模型输出行为数据的目标异常概率，其中，联合模型通过全平台训练样本进行训练得到，全平台训练样本包括多个平台各自记录的样本行为数据；确定模块，用于根据目标异常概率，确定目标账户的安全风险。

根据本发明实施例的又一方面，还提供了一种非易失性存储介质，非易失性存储介质包括存储的程序，其中，在程序运行时控制非易失性存储介质所在设备执行上述中任意一项风险识别方法。

根据本发明实施例的再一方面，还提供了一种计算机设备，计算机设备包括处理器，处理器用于运行程序，其中，程序运行时执行上述中任意一项风险识别方法。

根据本发明实施例的再一方面，还提供了一种计算机程序产品，包括计算机程序，计算机程序被处理器执行时实现上述中任意一项风险识别方法。

在本发明实施例中，采用多个平台分别记录的样本行为数据来训练联合模型的方式，通过获取目标账户在目标平台上的行为数据；将行为数据输入预先训练的联合模型中，由联合模型输出行为数据的目标异常概率，其中，联合模型通过全平台训练样本进行训练得到，全平台训练样本包括多个平台各自记录的样本行为数据；根据目标异常概率，确定目标账户的安全风险，达到了全面考虑用户在多个平台上的行为特征来判断用户的行为是否会带来安全风险的目的，从而实现了提高安全风险判断的准确度的技术效果，进而解决了由于在对数据进行安全防护时只分析用户在单个平台上的行为，造成的用户行为分析具有局限性，导致对数据安全防护的效果不好的技术问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1示出了一种用于实现风险识别方法的计算机终端的硬件结构框图；

图2是根据本发明实施例提供的风险识别方法的流程示意图；

图3是根据本发明可选实施例提供的联合模型的结构的示意图；

图4是根据本发明可选实施例提供的风险识别装置的结构框图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

根据本发明实施例，提供了一种风险识别的方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本申请实施例一所提供的方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。图1示出了一种用于实现风险识别方法的计算机终端的硬件结构框图。如图1所示，计算机终端10可以包括一个或多个(图中采用102a、102b，……，102n来示出)处理器(处理器可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器104。除此以外，还可以包括：显示器、输入/输出接口(I/O接口)、通用串行总线(USB)端口(可以作为BUS总线的端口中的一个端口被包括)、网络接口、电源和/或相机。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机终端10还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。

应当注意到的是上述一个或多个处理器和/或其他数据处理电路在本文中通常可以被称为“数据处理电路”。该数据处理电路可以全部或部分的体现为软件、硬件、固件或其他任意组合。此外，数据处理电路可为单个独立的处理模块，或全部或部分的结合到计算机终端10中的其他元件中的任意一个内。如本申请实施例中所涉及到的，该数据处理电路作为一种处理器控制(例如与接口连接的可变电阻终端路径的选择)。

存储器104可用于存储应用软件的软件程序以及模块，如本发明实施例中的风险识别方法对应的程序指令/数据存储装置，处理器通过运行存储在存储器104内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的应用程序的风险识别方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端10。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

显示器可以例如触摸屏式的液晶显示器(LCD)，该液晶显示器可使得用户能够与计算机终端10的用户界面进行交互。

在对企业内部用户账号进行数据安全检测时，就面临着多个平台用户使用习惯、使用频次等有巨大差异，无法使用统一的模型进行识别的问题，但是同一个用户在多个平台间的使用行为又有着相互的关联，在用户异常行为识别中需要对这些行为数据作为统一整体提供特征信息。这就要求对平台用户的异常检测模型既能融合用户各平台的行为信息，又单独地对每个平台每个用户行为是否异常做出决策。

针对这一问题，本专利提出了一种多模型协同的数据安全事件检测框架，可以有效的融合用户在多平台的行为信息，又能根据各平台的历史标注信息及各平台的自身特性进行异常检测，提高了用户异常识别的准确度，极大提升企业数据安全的防范壁垒。图2是根据本发明实施例提供的风险识别方法的流程示意图，如图2所示，该方法包括如下步骤：

步骤S202，获取目标账户在目标平台上的行为数据。

本步骤中，目标账户在目标平台上的行为数据指的是该账户在特定平台上的活动和行为记录。行为数据可能包括但不限于登录和登出记录、浏览记录、点赞和评论记录、分享记录、购买记录、搜索记录、点击记录等。这些行为数据可以帮助平台分析用户的偏好和行为习惯，从而提供个性化的服务和推荐。平台还可以从不符合用户行为习惯的异常行为数据中确定系统受到的安全风险。

需要说明的是，采集的信息是经用户授权或者经过各方充分授权的信息和数据，并且相关数据的收集、存储、使用、加工、传输、提供、公开和应用等处理，均遵守相关地区的相关法律法规和标准，采取了必要保密措施，不违背公序良俗，并提供有相应的操作入口，供用户选择授权或者拒绝。

步骤S204，将行为数据输入预先训练的联合模型中，由联合模型输出行为数据的目标异常概率，其中，联合模型通过全平台训练样本进行训练得到，全平台训练样本包括多个平台各自记录的样本行为数据。

传统的用户异常行为检测模型多是每一个平台(场景)训练一个模型。主要是受限于不同平台用户行为规律差异较大，且对于用户是否异常的标注是基于各平台的，即每个平台上每个用户行为是否为异常。这就导致一个用户在多个平台上的行为数据无法进行有效融合，提供判断依据，减低了用户异常检测的准确性。

本步骤中，通过采用全平台训练样本训练联合模型的方式，将用户在各个平台的行为信息进行融合，同时利用运维人员在各个平台对于用户是否异常的标签进行训练，以实现既能观察到用户在全平台的使用习惯的异常，又能针对各个平台的特性进行针对性的模型训练，达到对用户行为信息的完全利用，又能精准的判断各个平台的异常行为，提升企业数据安全壁垒。

步骤S206，根据目标异常概率，确定目标账户的安全风险。

本步骤中，通过监测用户行为的异常概率，可以及时发现并应对潜在的安全威胁，从而保护用户账户的安全。每个用户的行为模式都是独特的，因此基于用户行为的异常概率进行风险评估，可以更加准确地反映账户的实际风险情况。

通过上述步骤，可以达到全面考虑用户在多个平台上的行为特征来判断用户的行为是否会带来安全风险的目的，从而实现了提高安全风险判断的准确度的技术效果，进而解决了由于在对数据进行安全防护时只分析用户在单个平台上的行为，造成的用户行为分析具有局限性，导致对数据安全防护的效果不好的技术问题。

作为一种可选的实施例，将行为数据输入预先训练的联合模型中，由联合模型输出行为数据的目标异常概率，包括：将行为数据输入全平台子模型，由全平台子模型输出行为数据的第一异常概率，其中，联合模型包括全平台子模型和多个单平台子模型，全平台子模型通过全平台训练样本进行训练得到，多个单平台子模型分别通过对应的单平台训练样本进行训练得到，其中，单平台训练样本包括一个平台记录的样本行为数据；将行为数据输入与目标平台匹配的目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率；根据第一异常概率和第二异常概率，确定目标异常概率。

作为一种可选的实施例，将行为数据输入与目标平台匹配的目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率，包括：根据行为数据包括的平台标识，在多个单平台子模型中确定目标单平台子模型；将行为数据输入目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率。

可选地，联合模型中包括多个子模型，其中有一个模型较为特殊，为全平台子模型，其他的多个子模型为多个单平台子模型。全平台子模型与单平台子模型是不同的，不同之处在于全平台子模型通过用户在多个平台上的行为数据训练得到，而单平台子模型则通过某一个用户在某一个平台上的行为数据训练得到。例如，如果总共关注的平台包括平台A、平台B和平台C，此时联合模型中包括四个子模型，一个为全平台子模型，通过用户在平台A、平台B和平台C中的行为数据训练得到，而剩下的三个单平台子模型分别对应平台A、B、C三个平台，每个单平台子模型只用用户在对应平台上的行为数据进行训练得到。

在应用联合模型进行异常概率确定的过程中，会将输入的行为数据交由全平台子模型进行预测，由全平台模型根据自身的参数确定行为数据的第一异常概率，因此，第一异常概率是考虑到用户在多个平台上的行为特征而得到的结果。但是各个平台之间仍然存在不同之处，用户在不同平台上可能表现出不同的行为特征，如果只用全平台子模型的输出结果，可能造成遗漏用户在某个平台上表现出的特殊的行为特征，最终导致的异常概率的准确性低。为了避免上述问题，可以在将行为数据交由全平台子模型进行预测的同时，也根据行为数据中标识出的该行为数据所属的平台标识，在多个单平台子模型中确定行为数据对应的目标单平台子模型，由目标单平台子模型根据自身的参数确定行为数据的第二异常概率，因此，第二异常概率是考虑到用户在某个特定的平台上的行为特征而得到的结果。

结合第一异常概率和第二异常概率，可以最终确定行为数据的目标异常概率。这样可以在全面考虑用户在多个平台上的行为特征的共性的前提下，也考虑到用户在某个平台上特殊的行为特征，综合做出判断，得到目标异常概率，保证了目标异常概率的准确性。

需要说明的是，结合第一异常概率和第二异常概率可以是简单地将第一异常概率和第二异常概率相加，也可以分别为第一异常概率和第二异常概率设置对应的权重之后再相加，还可以对第一异常概率和第二异常概率进行归一化处理，使得第一异常概率与第二异常概率的和仍然位于(0，1]范围内。当目标异常概率大于预定阈值的情况下，即可确定用户的行为出现异常。

作为一种可选的实施例，联合模型通过如下方式训练得到：获取全平台训练样本，其中，全平台训练样本包括第一样本行为数据，以及第一样本行为数据对应的第一样本异常标签；采用全平台训练样本，对原始全平台子模型进行训练，得到全平台子模型；获取多组单平台训练样本，其中，多组单平台训练样本中任意一组单平台训练样本包括第二样本行为数据，以及第二样本行为数据对应的第二样本异常标签，第二样本行为数据由一个平台记录得到；依次将多个原始单平台子模型与全平台子模型连接，得到多个中间联合模型，并分别采用多组单平台训练样本对中间联合模型进行训练，得到联合模型。

可选地，在训练联合模型时，需要收集多个平台上的行为数据，并且由标注人员确定好每条行为数据对应的标签，标签可以表明该条行为是否为异常数据。在收集多个平台上的行为数据之后，组合这些行为数据可以得到全平台训练样本；还可以按照行为数据来源的平台，将行为数据分组，得到多组单平台训练样本。需要说明的是，全平台训练样本最好和多组单平台训练样本不重叠，不会造成模型过拟合的问题。在训练时，可以先采用全平台训练样本对单独的原始全平台子模型进行训练，直到结果达到预期，完成对原始全平台子模型的训练过程，得到全平台子模型。然后，可以依次将多个原始单平台子模型连接，得到多个中间联合模型，其中，原始单平台子模型可以是结构相同的模型，分别采用不同的训练样本对其进行训练后，会得到不同的单平台子模型。

作为一种可选的实施例，依次将多个原始单平台子模型与全平台子模型连接，得到多个中间联合模型，并分别采用多组单平台训练样本对中间联合模型进行训练，得到联合模型，包括：将第一原始单平台子模型与全平台子模型连接，得到第一中间联合模型；采用与第一原始单平台子模型对应的单平台训练样本对第一中间联合模型进行训练，得到训练好的第一中间联合模型；在未连接的原始单平台子模型中选取第二原始单平台子模型，将第二原始单平台子模型与训练好的第一中间联合模型连接，得到第二中间联合模型；采用与第二原始单平台子模型对应的单平台训练样本对第二中间联合模型进行训练，得到训练好的第二中间联合模型；采用上述得到训练好的第二中间联合模型的方式，依次得到训练好的多个中间联合模型，直至多个原始单平台子模型与全平台子模型连接，得到联合模型。

可选地，在训练好全平台子模型之后，可以分别将待训练的多个原始单平台子模型与全平台子模型连接，得到某个中间联合模型，然后采用任意一组单平台训练样本(之前未训练过的)对该中间联合模型中的原始单平台子模型进行训练，得到训练好的中间联合模型，再将下一个要训练的原始单平台子模型连接至刚训练好的中间联合模型上，最终，等所有原始单平台子模型都与全平台子模型连接完毕并训练完毕后，即可得到最终的联合模型。需要说明的是，原始单平台子模型个数应该与单平台训练样本的个数对应。

例如，如果总共关注的平台包括平台A、平台B和平台C，先采用包括了平台A、平台B和平台C的行为数据的全平台训练样本对原始全平台子模型进行训练，得到训练好的全平台子模型，然后将任意一个原始单平台子模型与全平台子模型连接，得到第一个中间模型，然后采用平台A的单平台训练样本对第一个中间模型进行训练，得到训练好的第一中间模型，此时，第一个中间模型中的单平台子模型与平台A对应；然后将另一个原始单平台与第一中间模型连接，得到第二个中间模型，然后采用平台B的单平台训练样本对第二个中间模型进行训练，得到训练好的第二中间模型，此时，第二个中间模型中刚连接的单平台子模型与平台B对应；最后将最后一个原始单平台与第二中间模型连接，得到第三个中间模型，然后采用平台C的单平台训练样本对第三个中间模型进行训练，得到训练好的联合模型，此时，第三个中间模型中刚连接的单平台子模型与平台C对应。

作为一种可选的实施例，采用与第二原始单平台子模型对应的单平台训练样本对第二中间联合模型进行训练，得到训练好的第二中间联合模型，包括：将目标样本行为数据输入第二中间联合模型，由第二中间联合模型输出样本异常概率，其中，目标样本行为数据为与第二原始单平台子模型对应的单平台训练样本包括的样本行为数据；基于预先设定的损失函数，根据样本异常概率，以及与目标样本行为数据对应的样本异常标签，调整第二中间联合模型中的第二原始单平台子模型的参数，得到训练好的第二中间联合模型。

可选地，在对某个中间联合模型进行训练时，可以根据损失函数调整对应的单平台子模型的参数，而不调整全平台子模型的参数和其他单平台子模型的参数。例如，采用平台B的单平台训练样本对第二个中间模型进行训练时，根据输入的平台B的单平台训练样本，调整第二个中建模型中刚连接的单平台子模型的参数，得到训练好的第二个中间模型。

作为一种可选的实施例，损失函数包括参数空间正交约束，其中，参数空间正交约束用于调整第二中间联合模型中的第一原始单平台子模型的参数与第二原始单平台子模型的参数正交。

可选地，在对某个中间联合模型进行训练时，调整对应的单平台子模型的参数时，损失函数和这个中间联合模型中已经存在的单平台子模型的参数相关。具体地，损失函数包括参数空间正交约束，参数空间正交约束用于使第二中间联合模型中的后连接的单平台子模型的参数与之前连接的所有单平台子模型的参数正交。例如，采用平台B的单平台训练样本对第二个中间模型进行训练时，根据输入的平台B的单平台训练样本，调整第二个中建模型中刚连接的单平台子模型的参数，并根据损失函数，保证刚连接的单平台子模型的参数与之前已经连接的单平台子模型的参数正交。

作为一种具体的实施例，图3是根据本发明可选实施例提供的联合模型的结构的示意图，联合模型的结构如图3所示，对联合模型的训练过程如下：

步骤1：数据收集。记录各个平台用户的行为日志记录，包括行为类型、时间、交互内容等。同时，由运维人员对历史异常用户进行标注。

步骤2：将用户在各个平台的行为记录生成序列数据进行建模，以构建所有用户在平台上的行为序列模型，即全平台子模型。它用自注意力机制来处理输入序列和输出序列，可以更好的处理用户行为序列的模式，同时可以并行计算，极大地提高了计算效率。其中，自注意力机制是核心部分，它允许模型在处理序列时，将输入序列中的每个元素与其他元素比较，以便在不同上下文中正确地处理每个元素。

步骤3：将步骤2中训练的全平台子模型作为预训练模型，再使用各个平台的标注数据进行微调，得到联合模型。鉴于各个平台间的数据已在步骤2中进行了融合，在每个平台训练单独的异常检测模型时，需要将各个平台的数据进行高效区域隔离，故使用联合训练的方式如下：

基于平台A的样本标注数据，在预训练的全平台子模型基础上，旁挂一个参数量较小的模型(单平台子模型)进行微调。

其中全平台子模型的参数在微调过程中不做变动，仅使用梯度下降方式更新单平台子模型的参数。因为单平台的样本量较小，如果对全平台子模型进行全参数更新可能会对其造成较大影响。同时，由于单平台子模型的参数量较小，这样可以更快的完成模型更新和在线推断。

基于平台B、C、D等的样本标注数据，同样使用平台A的微调方法进行旁挂模型的训练。

考虑到各个平台间的数据已在步骤2中进行了融合建模，相互之间的信息已进行了互通，所以在各个平台数据进行单独训练时，需将各个平台参数的样本空间尽量区隔开，即使各个平台的参数空间尽可能成正交，可以用通过损失函数进行约束。如在平台A的模型已微调完毕的基础上，再对平台B的模型进行微调训练时，损失函数需加上A和B参数空间正交的约束。如有多个平台依次类推。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的风险识别方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

根据本发明实施例，还提供了一种用于实施上述风险识别方法的风险识别装置，图4是根据本发明实施例提供的风险识别装置的结构框图，如图4所示，该风险识别装置包括：获取模块42、识别模块44和确定模块46，下面对该风险识别装置进行说明。

获取模块42，用于获取目标账户在目标平台上的行为数据。

识别模块44，与获取模块42连接，用于将行为数据输入预先训练的联合模型中，由联合模型输出行为数据的目标异常概率，其中，联合模型通过全平台训练样本进行训练得到，全平台训练样本包括多个平台各自记录的样本行为数据。

确定模块46，与识别模块44连接，用于根据目标异常概率，确定目标账户的安全风险。

此处需要说明的是，上述获取模块42、识别模块44和确定模块46对应于实施例中的步骤S202至步骤S206，多个模块与对应的步骤所实现的实例和应用场景相同，但不限于上述实施例所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例提供的计算机终端10中。

可选地，识别模块还用于：将行为数据输入全平台子模型，由全平台子模型输出行为数据的第一异常概率，其中，联合模型包括全平台子模型和多个单平台子模型，全平台子模型通过全平台训练样本进行训练得到，多个单平台子模型分别通过对应的单平台训练样本进行训练得到，其中，单平台训练样本包括一个平台记录的样本行为数据；将行为数据输入与目标平台匹配的目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率；根据第一异常概率和第二异常概率，确定目标异常概率。

可选地，将行为数据输入与目标平台匹配的目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率，包括：根据行为数据包括的平台标识，在多个单平台子模型中确定目标单平台子模型；将行为数据输入目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率。

可选地，联合模型通过如下方式训练得到：获取全平台训练样本，其中，全平台训练样本包括第一样本行为数据，以及第一样本行为数据对应的第一样本异常标签；采用全平台训练样本，对原始全平台子模型进行训练，得到全平台子模型；获取多组单平台训练样本，其中，多组单平台训练样本中任意一组单平台训练样本包括第二样本行为数据，以及第二样本行为数据对应的第二样本异常标签，第二样本行为数据由一个平台记录得到；依次将多个原始单平台子模型与全平台子模型连接，得到多个中间联合模型，并分别采用多组单平台训练样本对中间联合模型进行训练，得到联合模型。

可选地，依次将多个原始单平台子模型与全平台子模型连接，得到多个中间联合模型，并分别采用多组单平台训练样本对中间联合模型进行训练，得到联合模型，包括：将第一原始单平台子模型与全平台子模型连接，得到第一中间联合模型；采用与第一原始单平台子模型对应的单平台训练样本对第一中间联合模型进行训练，得到训练好的第一中间联合模型；在未连接的原始单平台子模型中选取第二原始单平台子模型，将第二原始单平台子模型与训练好的第一中间联合模型连接，得到第二中间联合模型；采用与第二原始单平台子模型对应的单平台训练样本对第二中间联合模型进行训练，得到训练好的第二中间联合模型；采用上述得到训练好的第二中间联合模型的方式，依次得到训练好的多个中间联合模型，直至多个原始单平台子模型与全平台子模型连接，得到联合模型。

可选地，采用与第二原始单平台子模型对应的单平台训练样本对第二中间联合模型进行训练，得到训练好的第二中间联合模型，包括：将目标样本行为数据输入第二中间联合模型，由第二中间联合模型输出样本异常概率，其中，目标样本行为数据为与第二原始单平台子模型对应的单平台训练样本包括的样本行为数据；基于预先设定的损失函数，根据样本异常概率，以及与目标样本行为数据对应的样本异常标签，调整第二中间联合模型中的第二原始单平台子模型的参数，得到训练好的第二中间联合模型。

可选地，损失函数包括参数空间正交约束，其中，参数空间正交约束用于调整第二中间联合模型中的第一原始单平台子模型的参数与第二原始单平台子模型的参数正交。

本发明的实施例可以提供一种计算机设备，可选地，在本实施例中，上述计算机设备可以位于计算机网络的多个网络设备中的至少一个网络设备。该计算机设备包括存储器和处理器。

其中，存储器可用于存储软件程序以及模块，如本发明实施例中的风险识别方法和装置对应的程序指令/模块，处理器通过运行存储在存储器内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的风险识别方法。存储器可包括高速随机存储器，还可以包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器可进一步包括相对于处理器远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

处理器可以通过传输装置调用存储器存储的信息及应用程序，以执行下述步骤：获取目标账户在目标平台上的行为数据；将行为数据输入预先训练的联合模型中，由联合模型输出行为数据的目标异常概率，其中，联合模型通过全平台训练样本进行训练得到，全平台训练样本包括多个平台各自记录的样本行为数据；根据目标异常概率，确定目标账户的安全风险。

可选地，上述处理器还可以执行如下步骤的程序代码：将行为数据输入预先训练的联合模型中，由联合模型输出行为数据的目标异常概率，包括：将行为数据输入全平台子模型，由全平台子模型输出行为数据的第一异常概率，其中，联合模型包括全平台子模型和多个单平台子模型，全平台子模型通过全平台训练样本进行训练得到，多个单平台子模型分别通过对应的单平台训练样本进行训练得到，其中，单平台训练样本包括一个平台记录的样本行为数据；将行为数据输入与目标平台匹配的目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率；根据第一异常概率和第二异常概率，确定目标异常概率。

可选地，上述处理器还可以执行如下步骤的程序代码：将行为数据输入与目标平台匹配的目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率，包括：根据行为数据包括的平台标识，在多个单平台子模型中确定目标单平台子模型；将行为数据输入目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率。

可选地，上述处理器还可以执行如下步骤的程序代码：联合模型通过如下方式训练得到：获取全平台训练样本，其中，全平台训练样本包括第一样本行为数据，以及第一样本行为数据对应的第一样本异常标签；采用全平台训练样本，对原始全平台子模型进行训练，得到全平台子模型；获取多组单平台训练样本，其中，多组单平台训练样本中任意一组单平台训练样本包括第二样本行为数据，以及第二样本行为数据对应的第二样本异常标签，第二样本行为数据由一个平台记录得到；依次将多个原始单平台子模型与全平台子模型连接，得到多个中间联合模型，并分别采用多组单平台训练样本对中间联合模型进行训练，得到联合模型。

可选地，上述处理器还可以执行如下步骤的程序代码：依次将多个原始单平台子模型与全平台子模型连接，得到多个中间联合模型，并分别采用多组单平台训练样本对中间联合模型进行训练，得到联合模型，包括：将第一原始单平台子模型与全平台子模型连接，得到第一中间联合模型；采用与第一原始单平台子模型对应的单平台训练样本对第一中间联合模型进行训练，得到训练好的第一中间联合模型；在未连接的原始单平台子模型中选取第二原始单平台子模型，将第二原始单平台子模型与训练好的第一中间联合模型连接，得到第二中间联合模型；采用与第二原始单平台子模型对应的单平台训练样本对第二中间联合模型进行训练，得到训练好的第二中间联合模型；采用上述得到训练好的第二中间联合模型的方式，依次得到训练好的多个中间联合模型，直至多个原始单平台子模型与全平台子模型连接，得到联合模型。

可选地，上述处理器还可以执行如下步骤的程序代码：采用与第二原始单平台子模型对应的单平台训练样本对第二中间联合模型进行训练，得到训练好的第二中间联合模型，包括：将目标样本行为数据输入第二中间联合模型，由第二中间联合模型输出样本异常概率，其中，目标样本行为数据为与第二原始单平台子模型对应的单平台训练样本包括的样本行为数据；基于预先设定的损失函数，根据样本异常概率，以及与目标样本行为数据对应的样本异常标签，调整第二中间联合模型中的第二原始单平台子模型的参数，得到训练好的第二中间联合模型。

可选地，上述处理器还可以执行如下步骤的程序代码：损失函数包括参数空间正交约束，其中，参数空间正交约束用于调整第二中间联合模型中的第一原始单平台子模型的参数与第二原始单平台子模型的参数正交。

采用本发明实施例，提供了一种风险识别的方案。采用多个平台分别记录的样本行为数据来训练联合模型的方式，通过获取目标账户在目标平台上的行为数据；将行为数据输入预先训练的联合模型中，由联合模型输出行为数据的目标异常概率，其中，联合模型通过全平台训练样本进行训练得到，全平台训练样本包括多个平台各自记录的样本行为数据；根据目标异常概率，确定目标账户的安全风险，达到了全面考虑用户在多个平台上的行为特征来判断用户的行为是否会带来安全风险的目的，从而实现了提高安全风险判断的准确度的技术效果，进而解决了由于在对数据进行安全防护时只分析用户在单个平台上的行为，造成的用户行为分析具有局限性，导致对数据安全防护的效果不好的技术问题。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令终端设备相关的硬件来完成，该程序可以存储于一非易失性存储介质中，存储介质可以包括：闪存盘、只读存储器(Read-Only Memory，ROM)、随机存取器(RandomAccess Memory，RAM)、磁盘或光盘等。

本发明的实施例还提供了一种非易失性存储介质。可选地，在本实施例中，上述非易失性存储介质可以用于保存上述实施例所提供的风险识别方法所执行的程序代码。

可选地，在本实施例中，上述非易失性存储介质可以位于计算机网络中计算机终端群中的任意一个计算机终端中，或者位于移动终端群中的任意一个移动终端中。

可选地，在本实施例中，非易失性存储介质被设置为存储用于执行以下步骤的程序代码：获取目标账户在目标平台上的行为数据；将行为数据输入预先训练的联合模型中，由联合模型输出行为数据的目标异常概率，其中，联合模型通过全平台训练样本进行训练得到，全平台训练样本包括多个平台各自记录的样本行为数据；根据目标异常概率，确定目标账户的安全风险。

可选地，在本实施例中，非易失性存储介质被设置为存储用于执行以下步骤的程序代码：将行为数据输入预先训练的联合模型中，由联合模型输出行为数据的目标异常概率，包括：将行为数据输入全平台子模型，由全平台子模型输出行为数据的第一异常概率，其中，联合模型包括全平台子模型和多个单平台子模型，全平台子模型通过全平台训练样本进行训练得到，多个单平台子模型分别通过对应的单平台训练样本进行训练得到，其中，单平台训练样本包括一个平台记录的样本行为数据；将行为数据输入与目标平台匹配的目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率；根据第一异常概率和第二异常概率，确定目标异常概率。

可选地，在本实施例中，非易失性存储介质被设置为存储用于执行以下步骤的程序代码：将行为数据输入与目标平台匹配的目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率，包括：根据行为数据包括的平台标识，在多个单平台子模型中确定目标单平台子模型；将行为数据输入目标单平台子模型，由目标单平台子模型输出行为数据的第二异常概率。

可选地，在本实施例中，非易失性存储介质被设置为存储用于执行以下步骤的程序代码：联合模型通过如下方式训练得到：获取全平台训练样本，其中，全平台训练样本包括第一样本行为数据，以及第一样本行为数据对应的第一样本异常标签；采用全平台训练样本，对原始全平台子模型进行训练，得到全平台子模型；获取多组单平台训练样本，其中，多组单平台训练样本中任意一组单平台训练样本包括第二样本行为数据，以及第二样本行为数据对应的第二样本异常标签，第二样本行为数据由一个平台记录得到；依次将多个原始单平台子模型与全平台子模型连接，得到多个中间联合模型，并分别采用多组单平台训练样本对中间联合模型进行训练，得到联合模型。

可选地，在本实施例中，非易失性存储介质被设置为存储用于执行以下步骤的程序代码：依次将多个原始单平台子模型与全平台子模型连接，得到多个中间联合模型，并分别采用多组单平台训练样本对中间联合模型进行训练，得到联合模型，包括：将第一原始单平台子模型与全平台子模型连接，得到第一中间联合模型；采用与第一原始单平台子模型对应的单平台训练样本对第一中间联合模型进行训练，得到训练好的第一中间联合模型；在未连接的原始单平台子模型中选取第二原始单平台子模型，将第二原始单平台子模型与训练好的第一中间联合模型连接，得到第二中间联合模型；采用与第二原始单平台子模型对应的单平台训练样本对第二中间联合模型进行训练，得到训练好的第二中间联合模型；采用上述得到训练好的第二中间联合模型的方式，依次得到训练好的多个中间联合模型，直至多个原始单平台子模型与全平台子模型连接，得到联合模型。

可选地，在本实施例中，非易失性存储介质被设置为存储用于执行以下步骤的程序代码：采用与第二原始单平台子模型对应的单平台训练样本对第二中间联合模型进行训练，得到训练好的第二中间联合模型，包括：将目标样本行为数据输入第二中间联合模型，由第二中间联合模型输出样本异常概率，其中，目标样本行为数据为与第二原始单平台子模型对应的单平台训练样本包括的样本行为数据；基于预先设定的损失函数，根据样本异常概率，以及与目标样本行为数据对应的样本异常标签，调整第二中间联合模型中的第二原始单平台子模型的参数，得到训练好的第二中间联合模型。

可选地，在本实施例中，非易失性存储介质被设置为存储用于执行以下步骤的程序代码：损失函数包括参数空间正交约束，其中，参数空间正交约束用于调整第二中间联合模型中的第一原始单平台子模型的参数与第二原始单平台子模型的参数正交。

本发明的实施例还提供了一种计算机程序产品，包括计算机程序，计算机程序被处理器执行时实现本申请各个实施例中风险识别方法的步骤。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，可以为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个非易失性取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (10)

1.一种风险识别方法，其特征在于，包括：

获取目标账户在目标平台上的行为数据；

将所述行为数据输入预先训练的联合模型中，由所述联合模型输出所述行为数据的目标异常概率，其中，所述联合模型通过全平台训练样本进行训练得到，所述全平台训练样本包括多个平台各自记录的样本行为数据；

根据所述目标异常概率，确定所述目标账户的安全风险。

2.根据权利要求1所述的方法，其特征在于，所述将所述行为数据输入预先训练的联合模型中，由所述联合模型输出所述行为数据的目标异常概率，包括：

将所述行为数据输入全平台子模型，由所述全平台子模型输出所述行为数据的第一异常概率，其中，所述联合模型包括全平台子模型和多个单平台子模型，所述全平台子模型通过全平台训练样本进行训练得到，所述多个单平台子模型分别通过对应的单平台训练样本进行训练得到，其中，所述单平台训练样本包括一个平台记录的样本行为数据；

将所述行为数据输入与所述目标平台匹配的目标单平台子模型，由所述目标单平台子模型输出所述行为数据的第二异常概率；

根据所述第一异常概率和所述第二异常概率，确定所述目标异常概率。

3.根据权利要求2所述的方法，其特征在于，所述将所述行为数据输入与所述目标平台匹配的目标单平台子模型，由所述目标单平台子模型输出所述行为数据的第二异常概率，包括：

根据所述行为数据包括的平台标识，在所述多个单平台子模型中确定所述目标单平台子模型；

将所述行为数据输入所述目标单平台子模型，由所述目标单平台子模型输出所述行为数据的第二异常概率。

4.根据权利要求1所述的方法，其特征在于，所述联合模型通过如下方式训练得到：

获取所述全平台训练样本，其中，所述全平台训练样本包括第一样本行为数据，以及所述第一样本行为数据对应的第一样本异常标签；

采用所述全平台训练样本，对原始全平台子模型进行训练，得到所述全平台子模型；

获取多组单平台训练样本，其中，所述多组单平台训练样本中任意一组单平台训练样本包括第二样本行为数据，以及所述第二样本行为数据对应的第二样本异常标签，所述第二样本行为数据由一个平台记录得到；

依次将多个原始单平台子模型与所述全平台子模型连接，得到多个中间联合模型，并分别采用所述多组单平台训练样本对所述中间联合模型进行训练，得到所述联合模型。

5.根据权利要求4所述的方法，其特征在于，所述依次将多个原始单平台子模型与所述全平台子模型连接，得到多个中间联合模型，并分别采用所述多组单平台训练样本对所述中间联合模型进行训练，得到所述联合模型，包括：

将第一原始单平台子模型与所述全平台子模型连接，得到第一中间联合模型；

采用与所述第一原始单平台子模型对应的单平台训练样本对所述第一中间联合模型进行训练，得到训练好的第一中间联合模型；

在未连接的原始单平台子模型中选取第二原始单平台子模型，将所述第二原始单平台子模型与所述训练好的第一中间联合模型连接，得到第二中间联合模型；

采用与所述第二原始单平台子模型对应的单平台训练样本对所述第二中间联合模型进行训练，得到训练好的第二中间联合模型；

采用上述得到所述训练好的第二中间联合模型的方式，依次得到训练好的多个中间联合模型，直至所述多个原始单平台子模型与所述全平台子模型连接，得到所述联合模型。

6.根据权利要求5所述的方法，其特征在于，所述采用与所述第二原始单平台子模型对应的单平台训练样本对所述第二中间联合模型进行训练，得到训练好的第二中间联合模型，包括：

将目标样本行为数据输入所述第二中间联合模型，由所述第二中间联合模型输出样本异常概率，其中，所述目标样本行为数据为与所述第二原始单平台子模型对应的单平台训练样本包括的样本行为数据；

基于预先设定的损失函数，根据所述样本异常概率，以及与所述目标样本行为数据对应的样本异常标签，调整所述第二中间联合模型中的所述第二原始单平台子模型的参数，得到所述训练好的第二中间联合模型。

7.根据权利要求6所述的方法，其特征在于，所述损失函数包括参数空间正交约束，其中，所述参数空间正交约束用于调整所述第二中间联合模型中的所述第一原始单平台子模型的参数与所述第二原始单平台子模型的参数正交。

8.一种风险识别装置，其特征在于，包括：

获取模块，用于获取目标账户在目标平台上的行为数据；

识别模块，用于将所述行为数据输入预先训练的联合模型中，由所述联合模型输出所述行为数据的目标异常概率，其中，所述联合模型通过全平台训练样本进行训练得到，所述全平台训练样本包括多个平台各自记录的样本行为数据；

确定模块，用于根据所述目标异常概率，确定所述目标账户的安全风险。

9.一种非易失性存储介质，其特征在于，所述非易失性存储介质包括存储的程序，其中，在所述程序运行时控制所述非易失性存储介质所在设备执行权利要求1至7中任意一项所述风险识别方法。

10.一种计算机设备，其特征在于，包括：存储器和处理器，

所述存储器存储有计算机程序；

所述处理器，用于执行所述存储器中存储的计算机程序，所述计算机程序运行时使得所述处理器执行权利要求1至7中任意一项所述风险识别方法。