WO2014082484A1 - 一种用户登录监测设备和方法 - Google Patents

一种用户登录监测设备和方法 Download PDF

Info

Publication number
WO2014082484A1
WO2014082484A1 PCT/CN2013/083936 CN2013083936W WO2014082484A1 WO 2014082484 A1 WO2014082484 A1 WO 2014082484A1 CN 2013083936 W CN2013083936 W CN 2013083936W WO 2014082484 A1 WO2014082484 A1 WO 2014082484A1
Authority
WO
WIPO (PCT)
Prior art keywords
login
user
location
record
records
Prior art date
Application number
PCT/CN2013/083936
Other languages
English (en)
French (fr)
Inventor
刘菲
何威
Original Assignee
北京奇虎科技有限公司
奇智软件（北京）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京奇虎科技有限公司, 奇智软件（北京）有限公司 filed Critical 北京奇虎科技有限公司
Priority to US14/647,338 priority Critical patent/US9602526B2/en
Publication of WO2014082484A1 publication Critical patent/WO2014082484A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/63—Location-dependent; Proximity-dependent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/02—Services making use of location information
    • H04W4/021—Services related to particular areas, e.g. point of interest [POI] services, venue services or geofences

Definitions

  • the present invention relates to the field of Internet technologies, and more particularly to a user login monitoring device and method. Background technique
  • network clients In addition, the form of network clients is becoming more and more diverse. In addition to traditional PC clients and web interfaces, web application clients also have mobile clients such as smartphones and tablets. Users can log in to the web application through any kind of client and perform basically the same functions.
  • the present invention has been made in order to provide a user login monitoring apparatus and corresponding method that overcomes the above problems or at least partially solves the above problems.
  • a user login monitoring device including: a login record acquirer configured to acquire a user login record list of a user, the user login record list including a first predetermined number of user login records, Each user login record includes information associated with the user's login location;
  • the common login location determiner is configured to determine a common login location of the user according to the obtained user login record list, where the user login record with the same login location in the user login record list is counted, and has the same login location.
  • the login bit associated with the user login record when the number of user login records is not less than the first threshold Set as the user's common login location;
  • the abnormal login record marker is configured to mark a user login record with a different login location than the usual login location as an exception.
  • a user login monitoring method including the steps of:
  • the user login record list includes a first predetermined number of user login records, and each user login record includes information associated with the login location of the user;
  • the login location associated with the user login record is determined as the user's common login location
  • the user login monitoring device and method according to the present invention can automatically determine the common login location of the user without the user participating, and determine and mark the abnormal login record according to the common login location, so that the user can view or remind the user, thereby improving the user. Account security.
  • the user login monitoring device and method of the present invention can also accurately determine whether the user login is abnormal, thereby improving the accuracy and reducing the false positive rate.
  • Figure 1 shows a typical application field of the user login monitoring device and method of the present invention.
  • 2 is a block diagram showing the structure of an embodiment of a user login monitoring device in accordance with the present invention
  • Figure 3 is a flow chart showing one embodiment of a user login monitoring method in accordance with the present invention.
  • FIG. 4 shows a block diagram of a client or server performing a method in accordance with the present invention, in accordance with one embodiment of the present invention
  • Figure 5 illustrates a memory unit for holding or carrying program code implementing a method in accordance with the present invention, in accordance with one embodiment of the present invention. detailed description
  • Figure 1 illustrates a typical application of the user login monitoring device and method of the present invention.
  • the user can log in to the required network application system 130 through the Internet 120 through various suitable terminals, such as the mobile terminal 111, the Web terminal 113, or the desktop terminal 115, to use the provided by the network application system 130.
  • Various functions can be, for example, an e-mail, a network disk, a forum, an online banking, an online game, an online shopping mall, and the like.
  • these network application systems usually require their users to register to obtain the login account and password corresponding to the user, and also need to provide relevant information, such as real identity information, when the user registers.
  • such a network application system usually provides an account system 131 to complete the registration of the user login account, and verify the correctness of the login account, password, and other optional information when the user logs in to the network application system, and verify Users can use the various features provided by the web application.
  • the account system 131 can also be responsible for recording the user's login record data 133.
  • the login record data may include, for example, a login time and a login IP, and an optional post-login behavior type.
  • the types of behaviors after login can include, for example, changing the password, resetting the password, modifying the secret mailbox, modifying the secret mobile phone, modifying the secret security question, and modifying the personal information.
  • These login record data can be stored in the web application system in the form of a login record list. Medium.
  • the login log data 133 is viewed to check whether there is an abnormal login record, and then the account security is protected by modifying the login password, etc., but this is obviously very expensive for the ordinary user. Energetic and inconvenient.
  • the user login monitoring device 200 of the present invention can automatically determine and mark the abnormal login record by analyzing the login record data 133 recorded by the network application system without user participation. In this way, on the one hand, the user can focus on viewing these abnormal login records after logging in; on the other hand, the user can be notified by various communication means when an abnormal login record occurs, so that the user can take corresponding measures in time to avoid loss or avoidance. The expansion of the loss.
  • the user login monitoring device 200 of the present invention can be implemented by being embedded in the network application system 130.
  • the basic idea of the user login monitoring device and method of the present invention is to: determine the normal login location of the normal user, and determine the behavior of logging in from the very login location as abnormal.
  • the login location here refers to the actual geographic area, rather than a simple IP address.
  • IP addresses There are usually multiple different IP addresses in the same login location.
  • the unit of the login location can be selected as the district, county, city, etc. of the administrative division.
  • Each divided geographic area corresponds to a login location.
  • FIG. 2 illustrates an embodiment of a user login monitoring device in accordance with the present invention.
  • the user login monitoring device 200 can include a login record acquirer 201, a common login location determiner 203 and an abnormal login record marker 205, and an optional login location mapper 207 and login record remover 209.
  • the login record acquirer 201 is configured to acquire the user login record list 211 that is the user's most recent.
  • the user login record list 211 includes a first predetermined number of user login records, each user login record including information associated with the user's login location.
  • the login record acquirer 201 can obtain the required user login record list 211 from the login record data 133 recorded by the account system 131.
  • the most recent user registration record list is preferably a first predetermined number of user login records sequentially selected from the registration record acquirer 201 at the time of the acquisition operation.
  • the first predetermined number may be selected to be 10.
  • the information associated with the user's login location in the user login record may be the IP address used by the user to log in.
  • the login location mapper 207 can be used to map the IP address to the user's login location.
  • the login location mapper 207 can utilize the IP address mapping database to perform mapping operations from the IP address to the login location.
  • the login location mapper 207 may not be able to map the IP address to the login location of the user.
  • the login location mapper 207 may set the login location of the user. For "unknown". In some cases, for example, the login location of the user has been determined by the IP address mapping database or other means in the network application system 130 shown in FIG.
  • the login record acquirer 201 passes the login record.
  • the user login record acquired by the data 133 is a direct login location, and the login location mapper 207 can be omitted from the user login monitoring device 200.
  • Table 1 shows an exemplary embodiment of a user login record list 211 in which the column at the login location has been mapped to the corresponding location based on the IP address mapping.
  • the user login record list provides an optional login time and the actions the user can take on the login record. Table 1
  • the common login location determiner 203 can determine the user's common login location based on the obtained user login record list 211. When the operation is performed, the common login location determiner 203 may perform statistics on the user login records having the same login location in the user login record list 211, and when the number of user login records having the same login location is not less than the first threshold, The login location associated with the user login record is determined to be the user's usual login location.
  • the first threshold may be set to about 30% of the first predetermined amount. For example, when the first predetermined number is 10, the first threshold may be set to 3. In such a case, in the exemplary embodiment of the user login record list 211 shown in Table 1, the common login location determiner 203 can determine "Beijing" and "Baoding" as common login locations.
  • the abnormal login record marker 205 can mark the user login record whose login location is different from the usual login location as an exception.
  • the abnormality registration record marker 250 can mark the login record whose login position is "Changsha" as an abnormality.
  • the login location of the login record may not be obtained, and the login location may be set to "unknown".
  • the login record whose login location is "unknown” it can be deleted from the user login record list 211 using the login record remover 209, so that when the usual login location determiner 203 determines the common login location and the abnormal login record
  • the marker 205 performs an abnormality flag on the user registration record, it is possible to disregard the user registration records whose registration positions are unknown.
  • the user login records whose login location is unknown may also be retained in the user login record list 211, but the common login location determiner 203 and The abnormal login record marker 205 does not consider these login records at work.
  • the login record remover 209 can be omitted at the user login monitoring device 200.
  • the user login monitoring device 200 With the user login monitoring device 200 described above, it is possible to select and mark an abnormal user login record from the user login record list 211. Then, when there is an abnormal login record, the user can be notified by an various communication means such as a short message or an email.
  • the common login location determiner 203 may be configured to determine all the login locations as the user's common login location when the number of different login locations in each user login record in the user login record list 211 is not less than the second threshold. .
  • the second threshold can be set to about 40% of the first predetermined amount.
  • the second threshold may be set to 4.
  • the common login location determiner 203 determines "Baoding" and "Changsha” as common login locations.
  • Another improvement is for the special handling of users who use a common network that cannot determine the login location. For some users, because their popular network may be connected to the external network through the VPN virtual private network, or for other reasons, when the user logs into the network application system 130 using his usual network, the network application system 130 or user
  • the login location mapper 207 of the login monitoring device 200 cannot obtain its login location.
  • an exemplary implementation of its corresponding user login record list 211 is shown in Table 3. Since the login location corresponding to the common network cannot be obtained, the user login record list 211 shown in Table 3 has a large number of login records corresponding to the unknown address. table 3
  • the abnormal login record marker 205 may be further configured to: when the number of user login records after the user login record whose login location is unknown is deleted from the user login record list 211 is not greater than a third threshold, the login location is different from the user. The user login record at the place of registration is marked as abnormal.
  • the third threshold may be set to about 40% of the first predetermined amount. For example, when the first predetermined number is 10, the third threshold may be set to 4. In such a case, in the exemplary embodiment of the user login record list 211 shown in Table 3, since the user login record whose login address is "unknown" is deleted, the number of user login records is only three, which is smaller than the third. Threshold.
  • the abnormal login record marker 205 does not mark the user login record abnormally, if not the user registration place (for example, the user registration location is "Beijing") , the user login record corresponding to the login location "Changsha” is marked abnormally. This can improve the recognition rate of abnormal login records in the case where the user's common network has an abnormality.
  • Fig. 3 is a flow chart showing an embodiment of a user login detecting method in accordance with the present invention.
  • the user login detection method 300 is adapted to be executed in the aforementioned user login detection device 200.
  • the method may begin in step S301 and is used to obtain a list of recent user login records of the user.
  • the user login record list can include a first predetermined number of user login records, each user login record including information associated with the user's login location.
  • the user login record list 211 can be acquired by the login record acquirer 201 in the user login monitoring device 200 shown in Fig. 2.
  • step S307 When the information associated with the login location of the user included in the user login record acquired in step S301 is the IP address used by the user when logging in, the method 300 may proceed to step S307 to map the IP address when the user logs in.
  • Step 307 can be performed by the login location mapper 207 in the user login monitoring device 200 shown in FIG. 2.
  • step S307 may be omitted.
  • the login location in the user login record can be set to "unknown".
  • the method 300 may proceed to step S309 to delete the user login record whose login location is unknown from the user login record list 211.
  • the deletion of user login records for these unknown login locations is primarily for the convenience of decision making and marking in subsequent steps.
  • the user login records whose login location is unknown may also be retained in the user login record list 211, and these login records are not considered in the subsequent steps. In this case, the steps may be omitted.
  • S309. The step S309 It can be executed by the login record remover 209 in the user login monitoring device 200 shown in FIG. 2.
  • the method 300 may proceed to step S313 to determine whether the number of user login records after the user login record is deleted from the user login record list 211 or not considering the login location is unknown is not greater than a third threshold. If the result of the determination is YES, the process proceeds to step S315, and the user login record whose login location is different from the user registration location is marked as abnormal; otherwise, the process proceeds to step S303.
  • the place of registration of the user may be the place of registration of the user registered when the user registers in the network application system 130.
  • the steps S313 and S315 can be performed by the login log marker 205 in the user login monitoring device 200 shown in Fig. 2.
  • Steps S313 and S315 can also be omitted without considering this special case.
  • the method 300 may proceed to step S303 to determine a common login location of the user based on the user login record list 211.
  • the user login record having the same login location in the user login record list 211 may be counted.
  • the login location associated with the user login record is determined.
  • step S303 when the number of different login locations in each user login record in the user login record list 211 is not less than a second threshold, all the login locations are determined as the user's common login location. As described above in describing the user login to the monitoring device 200, such processing is primarily directed to special users with frequent migrations. This processing mode can also be omitted in step S303 without considering this special case. It should be noted that, in the case where step S309 is omitted, all the login locations herein do not include or do not consider the unknown login location.
  • This step S303 can be performed by the usual login location determiner 203 in the user login monitoring device 200 shown in FIG. 2.
  • step S305 can mark the user login record with a different login location than the usual login location as an exception. It should also be noted that, in the case where step S309 is omitted, the user registration record corresponding to the unknown login location is not considered or marked in step S305.
  • This step S305 can be performed by the login log marker 205 in the user login monitoring device 200 shown in FIG. 2.
  • the first threshold May be about 30% of the first predetermined amount
  • the second threshold may be about 40% of the first predetermined amount
  • the third threshold may be about 40% of the first predetermined number.
  • the first predetermined number may be, for example, 10.
  • the various component embodiments of the present invention may be implemented in hardware, or in a software module running on one or more processors, or in a combination thereof.
  • a microprocessor or digital signal processor may be used in practice to implement some or all of the functionality of some or all of the components of the device in accordance with embodiments of the present invention.
  • the invention can also be implemented as a device or device program (e.g., a computer program and a computer program product) for performing some or all of the methods described herein.
  • a program implementing the invention may be stored on a computer readable medium or may be in the form of one or more signals.
  • Such signals may be downloaded from an Internet website, provided on a carrier signal, or provided in any other form.
  • Figure 4 illustrates a client or server in which the present invention can be implemented.
  • the client or server conventionally includes a processor 410 and a computer program product or computer readable medium in the form of a memory 420.
  • Memory 420 can be an electronic memory such as flash memory, EEPROM (Electrically Erasable Programmable Read Only Memory), EPROM, hard disk or ROM.
  • Memory 420 has a memory space 430 for program code 431 for performing any of the method steps described above.
  • storage space 430 for program code can include various program code 431 for implementing various steps in the above methods, respectively.
  • the program code can be read from or written to one or more computer program products.
  • These computer program products include program code carriers such as hard disks, compact disks (CDs), memory cards or floppy disks. Such computer program products are typically portable or fixed storage units as described with reference to Figure 5.
  • the storage unit may have storage segments, storage spaces, and the like arranged similarly to the storage 420 in the client or server of FIG.
  • the program code can be compressed, for example, in an appropriate form.
  • the storage unit includes computer readable code 43A, i.e., code that can be read by a processor, such as 410, which, when executed by a server, causes the server to perform various steps in the methods described above.
  • an embodiment or “one or more embodiments” as used herein means that the particular features, structures, or characteristics described in connection with the embodiments are included in at least one embodiment of the invention.
  • the phrase “in one embodiment” herein does not necessarily refer to the same embodiment.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Information Transfer Between Computers (AREA)
  • Alarm Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种用户登录监测设备和方法，包括：获取用户最近的用户登录记录列表，每个用户登录记录包括与用户的登录位置相关联的信息；根据用户登录记录列表确定用户的常用登录位置，当具有相同登录位置的用户登录记录数量不小于第一阈值时，将与该登录位置确定为用户的常用登录位置；将登录位置不同于常用登录位置的用户登录记录标记为异常。利用本发明可以在用户不参与的情况下自动确定用户的常用登录位置，并判断并标记异常的登录记录，以方便用户查看或者提醒用户，从而提升用户帐号的安全性。另外，在一些特殊情况下，本发明也可以准确确定用户登录是否异常，从而提升了准确率并降低了误报率。

Description

一种用户登录监测设备和方法 技术领域
本发明涉及互联网技术领域， 更具体地， 涉及一种用户登录监测 设备和方法。 背景技术
随着互联网的快速发展， 出现了越来越多具有大量用户的网络应 用。 用户一般需要登录到网络应用系统中之后， 才可以使用网络应用 的更加完整功能。
另外， 网络客户端的形式也在日趋多样化， 网络应用的客户端除 了传统的 PC客户端和 web接口之外， 还出现了诸如智能手机和平板之 类的移动客户端。 用户可以通过任何一种客户端登录到网络应用中， 并执行基本相同的功能。
由于互联网应用的特点， 用户可以在任何时间， 任何位置登录网 络应用系统。 一些恶意人员通过窃取正常用户的密码， 然后在其它地 方登录网络应用系统， 窃取用户的信息， 给用户造成了严重的损失。 因此， 对用户的登录信息进行监测以便尽可能及时且准确地发现可能 的异常登录， 则能有效地提升用户帐号的安全性。 发明内容
鉴于上述问题， 提出了本发明以便提供一种克服上述问题或者至 少部分地解决上述问题的用户登录监测设备和相应的方法。
按照本发明的一个方面， 提供了一种用户登录监测设备， 包括： 登录记录获取器， 配置成获取用户最近的用户登录记录列表， 所 述用户登录记录列表包括第一预定数量个用户登录记录， 每个用户登 录记录包括与用户的登录位置相关联的信息；
常用登录位置确定器， 配置成根据所获取的用户登录记录列表来 确定用户的常用登录位置， 其中对所述用户登录记录列表中、 具有相 同登录位置的用户登录记录进行统计， 当具有相同登录位置的用户登 录记录数量不小于第一阈值时， 将与该用户登录记录相关联的登录位 置确定为用户的常用登录位置； 以及
异常登录记录标记器， 配置成将登录位置不同于常用登录位置的 用户登录记录标记为异常。
按照本发明的另一方面， 提供了一种用户登录监测方法， 包括步 骤：
获取用户最近的用户登录记录列表， 所述用户登录记录列表包括 第一预定数量个用户登录记录， 每个用户登录记录包括与用户的登录 位置相关联的信息；
根据所获取的用户登录记录列表来确定用户的常用登录位置， 其 中对所述用户登录记录列表中、 具有相同登录位置的用户登录记录进 行统计， 当具有相同登录位置的用户登录记录数量不小于第一阈值时， 将与该用户登录记录相关联的登录位置确定为用户的常用登录位置； 以及
将登录位置不同于常用登录位置的用户登录记录标记为异常。 根据本发明的用户登录监测设备和方法可以在用户不参与的情况 下自动确定用户的常用登录位置， 并根据常用登录位置判断并标记异 常的登录记录， 以方便用户查看或者提醒用户， 从而提升用户帐号的 安全性。 另外， 在用户出差、 旅游或者特定网络等特殊情况下， 本发 明的用户登录监测设备和方法也可以准确确定用户登录是否异常， 从 而提升了准确率并降低了误报率。
上述说明仅是本发明技术方案的概述， 为了能够更清楚了解本发 明的技术手段， 而可依照说明书的内容予以实施， 并且为了让本发明 的上述和其它目的、 特征和优点能够更明显易懂， 以下特举本发明的 具体实施方式。 附图说明
通过阅读下文优选实施方式的详细描述， 各种其他的优点和益处 对于本领域普通技术人员将变得清楚明了。 附图仅用于示出优选实施 方式的目的， 而并不认为是对本发明的限制。 而且在整个附图中， 用 相同的参考符号表示相同的部件。 在附图中：
图 1示出了本发明的用户登录监测设备和方法的一种典型应用场 图 2示出了按照本发明的用户登录监测设备的一个实施例的结构 示意图；
图 3示出了根据本发明的用户登录监测方法的一个实施例的流程 图；
图 4示出了根据本发明一个实施例的执行根据本发明的方法的客 户端或服务器的框图； 以及
图 5示出了根据本发明一个实施例的用于保持或者携带实现根据 本发明的方法的程序代码的存储单元。 具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。 虽然附图 中显示了本公开的示例性实施例， 然而应当理解， 可以以各种形式实 现本公开而不应被这里阐述的实施例所限制。 相反， 提供这些实施例 是为了能够更透彻地理解本公开， 并且能够将本公开的范围完整的传 达给本领域的技术人员。
图 1示出了本发明的用户登录监测设备和方法的一种典型应用场 合。如图 1所示， 用户可以通过各种合适的终端， 如移动终端 111、 Web 终端 113或桌面终端 115通过互联网 120登录到所需要的网络应用系 统 130， 以使用该网络应用系统 130的提供的各种功能。这样的网路应 用系统 130例如可以是电子邮箱、 网盘、 论坛、 网银、 网络游戏、 网 上商城等等。 出于区分不同用户身份或其它方面的考虑， 这些网络应 用系统通常需要其用户进行注册而获得与用户对应的登录帐号和密 码， 并且在用户注册时还需要用户提供一些相关信息， 如真实身份信 息、 住址、 注册地等等。 相应地， 这样的网络应用系统通常会提供帐 号系统 131， 以完成用户登录帐号的注册工作， 并且在用户登录该网络 应用系统时验证其登录帐号、 密码以及其它可选信息的正确性， 通过 验证的用户则可以使用该网络应用系统提供的各种功能。
此外， 帐号系统 131还可以负责记录用户的登录记录数据 133。该 登录记录数据例如可以包括登录时间和登录 IP以及可选的登录后行为 类型等。 登陆后行为类型例如可以包括： 修改密码， 重置密码， 修改 密保邮箱， 修改密保手机， 修改密保问题， 修改个人信息等类型。 这 些登录记录数据可以以登录记录列表的方式存储在该网络应用系统 中。
如果一些恶意人员窃取了正常用户的登录帐号和密码， 那么他就 可以通过登录网络应用系统而不当地获取到用户注册信息， 甚至冒用 正常用户使用该网络应用系统的各项功能， 从而给用户带来损失。
尽管用户可以经常登录该网络应用系统 130，通过阅览登录记录数 据 133来查看是否有异常的登录记录， 并进而通过修改登录密码等手 段保护账户的安全； 但这对普通用户来说显然是非常耗费精力且不方 便的。
本发明的用户登录监测设备 200则可以在无需用户参与的情况下， 通过分析网络应用系统所记录的登录记录数据 133， 自动判断并标记出 其中的异常登录记录。 这样， 一方面， 用户在登录后可以重点查看这 些异常登录记录； 另一方面， 也可以在有异常登录记录出现时通过各 种通信手段通知用户， 以便用户及时采取相应的手段来避免损失或避 免损失的扩大。 在一种实施方式中， 本发明的用户登录监测设备 200 可以内嵌在网络应用系统 130中来实现。
本发明的用户登录监测设备和方法的基本思路是： 确定正常用户 的常用登录位置， 而将从非常用登录位置登录的行为判定为异常。 应 当理解，这里的登录位置指的是实际的地理区域，而非单纯的 IP地址， 同一登录位置通常会存在有多个不同的 IP地址。 例如， 该登录位置的 单位可以选择为行政区域划分的区、 县、 市等。 当然， 也可以选择更 大或更小的地理区域划分方式， 只要所划分出的区域中各个单位区域 彼此基本不重叠则可。 每个划分出的地理区域则对应一个登录位置。 当考虑到当前的用于反映 IP地址与登录位置之间关系的 IP地址映射 数据库的细化程度， 并考虑到正常用户的常规迀移特性时， 优选采用 行政区域划分的市 （包括地级市和直辖市） 来作为登录位置的单位。
图 2示出了按照本发明的用户登录监测设备的一个实施例。 该用 户登录监测设备 200可以包括登录记录获取器 201、常用登录位置确定 器 203和异常登录记录标记器 205，以及可选的登录位置映射器 207和 登录记录删除器 209。
登录记录获取器 201用于获取用户最近的用户登录记录列表 211。 该用户登录记录列表 211包括第一预定数量个用户登录记录， 每个用 户登录记录包括与用户的登录位置相关联的信息。 在例如图 1所示场 景中， 该登录记录获取器 201可以从帐号系统 131记录的登录记录数 据 133中获得所需要的用户登录记录列表 211。在这里， 最近的用户登 录记录列表最好是从该登录记录获取器 201进行获取操作时刻开始向 前顺序选取的第一预定数量的用户登录记录。 在一个示例性实施例中， 该第一预定数量可以选择为 10。
用户登录记录中与用户的登录位置相关联的信息可以是用户登录 时所使用的 IP地址。 可以使用登录位置映射器 207将该 IP地址映射 为用户的登录位置。 在一个实施例中， 登录位置映射器 207可以利用 IP地址映射数据库来完成从 IP地址到登录位置的映射操作。在一些情 况中， 例如当用户透过虚拟专用网络 VPN进行登录时， 登录位置映射 器 207可能无法将 IP地址映射为用户的登录位置， 此时， 登录位置映 射器 207可以将用户的登录位置设置为 "未知" 。 在一些情况中， 例 如图 1所示的网络应用系统 130中已经通过 IP地址映射数据库或其它 方式确定了用户的登录位置， 并记录在登录记录数据 133中， 那么登 录记录获取器 201通过登录记录数据 133所获取的用户登录记录中所 包含的就是直接的登录位置， 则可以在用户登录监测设备 200省去该 登录位置映射器 207。表 1示出了用户登录记录列表 211的一个示例性 实施例， 其中在登录位置这一列已经根据 IP地址映射得到了对应的登 录位置。 此外， 该用户登录记录列表还提供了可选的登录时间以及用 户可对该登录记录进行的操作。 表 1
登录位置 登录时间 操作 北京（125. 33. 50. *) 2012-07-04 忽略本条记录
10 : 52 : 24
未知 2012-07-04 忽略本条记录
14 : 22 : 22
长沙（220. 240. 88. *) 2012-07-04 忽略本条记录
22 : 01 : 00
北京 2012-07-05 忽略本条记录
(111. 193. 195. *) 09 : 12 : 02
保定（101. 7. 243. *) 2012-07-06 忽略本条记录 10:17:19
保定（101.7.243. *) 2012-07-06 忽略本条记录
11:08:58
保定（101.7.243. *) 2012-07-06 忽略本条记录
17:01:29
北京（125.33.50. *) 2012-07-08 忽略本条记录
09:32:55
北京（125.33.50. *) 2012-07-08 忽略本条记录
10:13:37
北京（125.33.50. *) 2012-07-08 忽略本条记录
13:43:34 常用登录位置确定器 203可以根据所获取的用户登录记录列表 211 来确定用户的常用登录位置。在进行操作时， 常用登录位置确定器 203 可以对用户登录记录列表 211中具有相同登录位置的用户登录记录进 行统计， 当具有相同登录位置的用户登录记录数量不小于第一阈值时， 将与该用户登录记录相关联的登录位置确定为用户的常用登录位置。 在一个实施例中，该第一阈值可以设定为第一预定数量的约 30%。例如， 当所述第一预定数量为 10时， 该第一阈值可设定为 3。 在这样的情况 下， 在表 1所示的用户登录记录列表 211的示例性实施例中， 常用登 录位置确定器 203可以确定 "北京"和 "保定"为常用登录位置。
异常登录记录标记器 205可以将登录位置不同于常用登录位置的 用户登录记录标记为异常。 例如在表 1所示实施例中， 异常登录记录 标记器 250可以将登录位置为 "长沙" 的登录记录标记为异常。
需要注意的是， 如前所述， 在一些情况下可能无法获得登录记录 的登录位置， 则可以登录记录列表将登录位置设定为 "未知" 。 对于 这种登录位置为 "未知" 的登录记录， 可以使用登录记录删除器 209 将其从用户登录记录列表 211中删除， 这样， 在常用登录位置确定器 203确定常用登录位置时以及在异常登录记录标记器 205对用户登录记 录进行异常标记时， 就可以不考虑这些登录位置为未知的用户登录记 录。 在另一种实施方式中， 也可以将这些登录位置为未知的用户登录 记录保留在用户登录记录列表 211中， 但常用登录位置确定器 203和 异常登录记录标记器 205在工作时不考虑这些登录记录。 此时， 则可 以在用户登录监测设备 200省去该登录记录删除器 209。
利用上文描述的用户登录监测设备 200可以实现从用户登录记录 列表 211中选择出异常的用户登录记录， 并对其进行标记。 随后， 还 可以在有异常登录记录出现时通过各种通信手段， 如短信、 邮件等方 式通知用户进行报警。
尽管如此， 本申请人的发明人发现， 可以通过对上述方案进一步 改进来实现更好的技术效果， 例如大大降低误标记或误报警的可能性 和频率。
一种改进方式主要是针对迀徙频繁的用户提供的特殊处理方式。 对于一些用户来说， 由于其职业或者个人生活的需求， 如需要在全国 各个城市进行商业活动的人士、 或者在一段时间内在多个城市进行旅 游的人士， 他们会进行频繁的地理位置的迀徙， 并且在这个过程中登 录网络应用系统。 对于这种迀徙频繁的用户， 对应的用户登录记录列 表 211的一个示例性实施例如表 2所示。 表 2
登录位置 登录时间 操作 北京（125.33.50. *) 2012-07-04 忽略本条记录
10:52:24
北京（125.33.50. *) 2012-07-04 忽略本条记录
14:22:22
保定（101.7.243. *) 2012-07-05 忽略本条记录
10:17:19
保定（101.7.243. *) 2012-07-05 忽略本条记录
17:01:29
太原（218.26.120. *) 2012-07-06 忽略本条记录
10:17:19
太原（218.26.120. *) 2012-07-06 忽略本条记录
11:08:58
太原（218.26.120. *) 2012-07-06 忽略本条记录
17:01:29 长沙（220. 240. 88. *) 2012-07-08 忽略本条记录
13 : 43 : 34
长沙（220. 240. 88. *) 2012-07-08 忽略本条记录
22 : 01 : 00
北京 2012-07-10 忽略本条记录
(111. 193. 195. *) 09 : 12 : 02 对于如表 2所示的用户登录记录列表 211，如果按照前述的一般处 理方式， 则 "北京"和 "太原"会被确定为常用登录位置， 而对应于 登录位置为 "保定"和 "长沙" 的登录记录则为被标记为异常。 对于 频繁进行地理位置迀徙的人士来说， 其登录记录可能会经常被标记异 常， 并且会被频繁通知有异常登录， 这显然是不好的用户体验。 为此， 常用登录位置确定器 203可以配置成当用户登录记录列表 211中的各 用户登录记录中的不同登录位置的数量不小于第二阈值时， 将所有登 录位置都确定为用户的常用登录位置。 在一个实施例中， 该第二阈值 可以设定为第一预定数量的约 40%。 例如， 当所述第一预定数量为 10 时， 该第二阈值可设定为 4。 在这样的情况下， 在表 2所示的用户登录 记录列表 211的示例性实施例中， 由于共有 "北京"、 "保定"、 "太 原"和 "长沙" 四个不同的登录位置， 因此， 除了 "北京"和 "太原" 之外， 常用登录位置确定器 203还将 "保定"和 "长沙"确定为常用 登录位置。 这样， 异常登录记录标记器 205在工作时， 对于该用户登 录记录列表 211中所有的登录记录都不会标记异常。 按照这样的处理 方式， 经测算， 可以降低约 50%的误标记率和误报警率。
另一种改进方式是针对使用无法确定登录位置的常用网络的用户 的特殊处理方式。对于一些用户来说， 由于其常用网络可能是透过 VPN 虚拟专用网络连接到外部网络的， 或者是由于其它原因， 当用户使用 其常用网络登录网络应用系统 130时， 该网络应用系统 130或者用户 登录监测设备 200的登录位置映射器 207无法获取其登录位置。 对于 这种类型的用户， 其对应的用户登录记录列表 211的一个示例性实施 例如表 3所示。 由于无法获取常用网络所对应的登录位置， 因此表 3 所示用户登录记录列表 211存在大量的对应于未知地址的登录记录。 表 3
Figure imgf000011_0001
对于如表 3所示的用户登录记录列表 211，如果按照前述的一般处 理方式， 则 "长沙"会被确定为常用登录位置， 那么登录地址对应于 "长沙" 的登录记录都不会被标记为异常。 而实际上， 非常有可能是 用户的真实常用登录位置是被隐藏在了未知地址中，而登录位置为 "长 沙" 的登录记录很可能是异常的。 为此， 异常登录记录标记器 205还 可以配置成当从用户登录记录列表 211中删除了登录位置为未知的用 户登录记录之后的用户登录记录数量不大于第三阈值时， 将登录位置 不同于用户注册地的用户登录记录标记为异常。 其中， 用户注册地可 以是用户在网络应用系统 130中进行用户注册时所登记的自己的注册 地。 在一个实施例中， 该第三阈值可以设定为第一预定数量的约 40%。 例如， 当所述第一预定数量为 10时， 该第三阈值可设定为 4。 在这样 的情况下， 在表 3所示的用户登录记录列表 211的示例性实施例中， 由于去掉登录地址为 "未知" 的用户登录记录后， 用户登录记录的数 量只有 3个， 小于第三阈值。 此时， 剩余的用户登录记录中的登录位 置 "长沙"如果就是用户注册地， 则异常登录记录标记器 205不对用 户登录记录标记异常， 如果不是用户注册地 （例如用户注册地为 "北 京" ） ， 则将与登录位置 "长沙"所对应的用户登录记录标记异常。 这可以在用户常用网络有异常的情况下提高异常登录记录的识别率。
图 3示出了按照本发明的用户登录检测方法的一个实施例的流程 图。 该用户登录检测方法 300适合于在前述的用户登录检测设备 200 中执行。
该方法可以始于步骤 S301， 用于获取用户最近的用户登录记录列 表。 该用户登录记录列表可以包括第一预定数量个用户登录记录， 每 个用户登录记录包括与用户的登录位置相关联的信息。 在该步骤 301 中可以由图 2所示的用户登录监测设备 200中的登录记录获取器 201 获取用户登录记录列表 211。
当步骤 S301中所获取的用户登录记录所包括的与用户的登录位置 相关联的信息是用户登录时所使用的 IP地址时， 该方法 300可以进入 到步骤 S307， 将用户登录时的 IP地址映射为用户的登录位置。 步骤 307可以由图 2所示的用户登录监测设备 200中的登录位置映射器 207 来执行。 当在步骤 S301中所获取的用户登录记录已经直接包含了登录 位置时， 也可以省去步骤 S307。 当无法获取到用户的登录位置， 例如 当无法将用户登录时的 IP地址映射为用户的登录位置时， 可以将用户 登录记录中的登录位置设置为 "未知" 。
随后， 该方法 300可以进入步骤 S309， 从用户登录记录列表 211 中删除登录位置为未知的用户登录记录。 如下文将会看到， 删除这些 未知登录位置的用户登录记录主要是为了方便于后续步骤中进行判定 和标记的方便。 在另一个实施例中， 也可以将这些登录位置为未知的 用户登录记录保留在用户登录记录列表 211中， 而在后续步骤中不考 虑这些登录记录，在这样的情况下，也可以省去步骤 S309。该步骤 S309 可以由图 2所示的用户登录监测设备 200中的登录记录删除器 209来 执行。
随后， 可选地， 该方法 300可以进入到步骤 S313， 判断从用户登 录记录列表 211中删除了或者不考虑登录位置为未知的用户登录记录 之后的用户登录记录数量是否不大于第三阈值。 如果判断结果为是， 则进入步骤 S315， 将登录位置不同于用户注册地的用户登录记录标记 为异常； 否则进入步骤 S303。 用户注册地可以是用户在网络应用系统 130中进行用户注册时所登记的自己的注册地。该步骤 S313和 S315可 以由图 2所示的用户登录监测设备 200中的登录记录标记器 205来执 行。 如前文在描述用户登录监测设备 200时所说明的， 这样的处理方 式主要是针对使用无法确定登录位置的常用网络的用户的特殊情况。 在不考虑这种特殊情况时， 也可以省去步骤 S313和 S315。
随后，该方法 300可以进入步骤 S303，根据用户登录记录列表 211 来确定用户的常用登录位置。 其中， 可以对用户登录记录列表 211中 具有相同登录位置的用户登录记录进行统计， 当具有相同登录位置的 用户登录记录数量不小于第一阈值时， 将与该用户登录记录相关联的 登录位置确定为用户的常用登录位置。
可选地， 在步骤 S303中， 还可以在用户登录记录列表 211中的各 用户登录记录中的不同登录位置的数量不小于第二阈值时， 将所有登 录位置都确定为用户的常用登录位置。 如前文在描述用户登录监测设 备 200时所说明的， 这样的处理方式主要是针对迀徙频繁的特殊用户 的。 在不考虑这种特殊情况时， 在步骤 S303中也可以省略这种处理方 式。 需要注意的是， 在省略了步骤 S309的情况下， 这里的所有登录位 置不包括或者说不考虑未知的登录位置。
该步骤 S303可以由图 2所示的用户登录监测设备 200中的常用登 录位置确定器 203来执行。
最后， 该方法 300可以进入步骤 S305， 将登录位置不同于常用登 录位置的用户登录记录标记为异常。 同样需要注意的是， 在省略了步 骤 S309的情况下， 在步骤 S305中也不考虑或者说不标记未知登录位 置对应的用户登录记录。 该步骤 S305可以由图 2所示的用户登录监测 设备 200中的登录记录标记器 205来执行。
类似于在结合图 2描述用户登录监测设备 200的那样， 第一阈值 可以为所述第一预定数量的约 30%，第二阈值可以为所述第一预定数量 的约 40%， 和 /或第三阈值可以为所述第一预定数量的约 40%。 其中， 第一预定数量例如可以为 10。
本发明的各个部件实施例可以以硬件实现， 或者以在一个或者多 个处理器上运行的软件模块实现， 或者以它们的组合实现。 本领域的 技术人员应当理解， 可以在实践中使用微处理器或者数字信号处理器 ( DSP )来实现根据本发明实施例的设备中的一些或者全部部件的一些 或者全部功能。 本发明还可以实现为用于执行这里所描述的方法的一 部分或者全部的设备或者装置程序 （例如， 计算机程序和计算机程序 产品） 。 这样的实现本发明的程序可以存储在计算机可读介质上， 或 者可以具有一个或者多个信号的形式。 这样的信号可以从因特网网站 上下载得到， 或者在载体信号上提供， 或者以任何其他形式提供。
例如， 图 4示出了可以实现根据本发明的客户端或服务器。 该客 户端或服务器传统上包括处理器 410和以存储器 420形式的计算机程 序产品或者计算机可读介质。存储器 420可以是诸如闪存、 EEPR0M (电 可擦除可编程只读存储器）、 EPR0M、硬盘或者 ROM之类的电子存储器。 存储器 420 具有用于执行上述方法中的任何方法步骤的程序代码 431 的存储空间 430。例如， 用于程序代码的存储空间 430可以包括分别用 于实现上面的方法中的各种步骤的各个程序代码 431。这些程序代码可 以从一个或者多个计算机程序产品中读出或者写入到这一个或者多个 计算机程序产品中。这些计算机程序产品包括诸如硬盘，紧致盘（CD )、 存储卡或者软盘之类的程序代码载体。 这样的计算机程序产品通常为 如参考图 5 所述的便携式或者固定存储单元。 该存储单元可以具有与 图 4的客户端或服务器中的存储器 420类似布置的存储段、 存储空间 等。 程序代码可以例如以适当形式进行压缩。 通常， 存储单元包括计 算机可读代码 43Γ ，即可以由例如诸如 410之类的处理器读取的代码， 这些代码当由服务器运行时， 导致该服务器执行上面所描述的方法中 的各个步骤。
在此提供的算法和显示不与任何特定计算机、 虚拟系统或者其它 设备固有相关。 各种通用系统也可以与基于在此的示教一起使用。 根 据上面的描述， 构造这类系统所要求的结构是显而易见的。 此外， 本 发明也不针对任何特定编程语言。 应当明白， 可以利用各种编程语言 实现在此描述的本发明的内容， 并且上面对特定语言所做的描述是为 了披露本发明的最佳实施方式。
本文中所称的 "一个实施例" 、 "实施例"或者 "一个或者多个 实施例" 意味着， 结合实施例描述的特定特征、 结构或者特性包括在 本发明的至少一个实施例中。此外， 请注意， 这里 "在一个实施例中" 的词语例子不一定全指同一个实施例。
在此处所提供的说明书中， 说明了大量具体细节。 然而， 能够理 解， 本发明的实施例可以在没有这些具体细节的情况下被实践。 在一 些实例中， 并未详细示出公知的方法、 结构和技术， 以便不模糊对本 说明书的理解。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行 限制， 并且本领域技术人员在不脱离所附权利要求的范围的情况下可 设计出替换实施例。 在权利要求中， 不应将位于括号之间的任何参考 符号构造成对权利要求的限制。 单词 "包含" 不排除存在未列在权利 要求中的元件或步骤。 位于元件之前的单词 "一" 或 "一个" 不排除 存在多个这样的元件。 本发明可以借助于包括有若干不同元件的硬件 以及借助于适当编程的计算机来实现。 在列举了若干装置的单元权利 要求中， 这些装置中的若干个可以是通过同一个硬件项来具体体现。 单词第一、 第二、 以及第三等的使用不表示任何顺序。 可将这些单词 解释为名称。
此外， 还应当注意， 本说明书中使用的语言主要是为了可读性和 教导的目的而选择的， 而不是为了解释或者限定本发明的主题而选择 的。 因此， 在不偏离所附权利要求书的范围和精神的情况下， 对于本 技术领域的普通技术人员来说许多修改和变更都是显而易见的。 对于 本发明的范围， 对本发明所做的公开是说明性的， 而非限制性的， 本 发明的范围由所附权利要求书限定。

Claims

权 利 要 求
1、 一种用户登录监测设备， 包括：
登录记录获取器， 配置成获取用户最近的用户登录记录列表， 所 述用户登录记录列表包括第一预定数量个用户登录记录， 每个用户登 录记录包括与用户的登录位置相关联的信息；
常用登录位置确定器， 配置成根据所获取的用户登录记录列表来 确定用户的常用登录位置， 其中对所述用户登录记录列表中、 具有相 同登录位置的用户登录记录进行统计， 当具有相同登录位置的用户登 录记录数量不小于第一阈值时， 将与该用户登录记录相关联的登录位 置确定为用户的常用登录位置； 以及
异常登录记录标记器， 配置成将登录位置不同于常用登录位置的 用户登录记录标记为异常。
2、 如权利要求 1所述的监测设备， 所述常用登录位置确定器还配 置成当所述用户登录记录列表中的各用户登录记录中的不同登录位置 的数量不小于第二阈值时， 将所有登录位置都确定为用户的常用登录 位置。
3、 如权利要求 1或者 2所述的监测设备， 其中与用户的登录位置 相关联的信息为用户登录时的 IP地址， 所述监测设备还包括：
登录位置映射器， 配置成将用户登录时的 IP地址映射为用户的登 录位置； 当无法将用户登录时的 IP地址映射为用户的登录位置时， 将 用户的登录位置设置为未知；
登录记录删除器， 配置成从所述用户登录记录列表中删除登录位 置为未知的用户登录记录。
4、 如权利要求 3所述的监测设备， 其中每个用户在用户注册时登 记与该用户相关联的用户注册地， 所述异常登录记录标记器还配置成 当从所述用户登录记录列表中删除了登录位置为未知的用户登录记录 之后的用户登录记录数量不大于第三阈值时， 将登录位置不同于用户 注册地的用户登录记录标记为异常。
5、 如权利要求 1-4中任一项所述的监测设备， 其中所述第一阈值 为所述第一预定数量的约 30%。
6、 如权利要求 1-5中任一项所述的监测设备， 其中所述第二阈值 为所述第一预定数量的约 40%。
7、 如权利要求 1-6中任一项所述的监测设备， 其中所述第三阈值 为所述第一预定数量的约 40%。
8、 如权利要求 1-7中任一项所述的监测设备， 其中所述第一预定 数量为 10。
9、 如权利要求 1-8中任一项所述的监测设备， 其中登录位置的单 位为市。
10、 一种用户登录监测方法， 包括步骤：
获取用户最近的用户登录记录列表， 所述用户登录记录列表包括 第一预定数量个用户登录记录， 每个用户登录记录包括与用户的登录 位置相关联的信息；
根据所获取的用户登录记录列表来确定用户的常用登录位置， 其 中对所述用户登录记录列表中、 具有相同登录位置的用户登录记录进 行统计， 当具有相同登录位置的用户登录记录数量不小于第一阈值时， 将与该用户登录记录相关联的登录位置确定为用户的常用登录位置； 以及
将登录位置不同于常用登录位置的用户登录记录标记为异常。
11、 如权利要求 10所述的监测方法， 所述确定用户的常用登录位 置的步骤还包括：
当所述用户登录记录列表中的各用户登录记录中的不同登录位置 的数量不小于第二阈值时， 将所有登录位置都确定为用户的常用登录 位置。
12、 如权利要求 10或者 11所述的监测方法， 其中与用户的登录 位置相关联的信息为用户登录时的 IP地址，所述监测方法还包括步骤: 将用户登录时的 IP地址映射为用户的登录位置；
当无法将用户登录时的 IP地址映射为用户的登录位置时， 将用户 的登录位置设置为未知， 并且从所述用户登录记录列表中删除登录位 置为未知的用户登录记录。
13、 如权利要求 12所述的监测方法， 其中每个用户在用户注册时 登记与该用户相关联的用户注册地， 当从所述用户登录记录列表中删 除了登录位置为未知的用户登录记录之后的用户登录记录数量不大于 第三阈值时， 将登录位置不同于用户注册地的用户登录记录标记为异 常。
14、 如权利要求 10-13 中任一项所述的监测方法， 其中所述第一 阈值为所述第一预定数量的约 30%。
15、 如权利要求 10-14 中任一项所述的监测方法 其中所述第二 阈值为所述第一预定数量的约 40%。
16、 如权利要求 10-15 中任一项所述的监测方法 其中所述第三 阈值为所述第一预定数量的约 40%。
17、 如权利要求 10-16 中任一项所述的监测方法 其中所述第一 预定数量为 10。
18、 如权利要求 10-17 中任一项所述的监测方法 其中登录位置 的单位为市。
19、 一种计算机程序， 包括计算机可读代码， 当所述计算机可读 代码在客户端或服务器上运行时， 导致所述客户端或所述服务器执行 根据权利要求 10-18中的任一个所述的监测方法。
20、 一种计算机可读介质， 其中存储了如权利要求 19所述的计算 机程序。
PCT/CN2013/083936 2012-11-29 2013-09-22 一种用户登录监测设备和方法 WO2014082484A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/647,338 US9602526B2 (en) 2012-11-29 2013-09-22 User login monitoring device and method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210500724.3 2012-11-29
CN201210500724.3A CN103023718B (zh) 2012-11-29 2012-11-29 一种用户登录监测设备和方法

Publications (1)

Publication Number Publication Date
WO2014082484A1 true WO2014082484A1 (zh) 2014-06-05

Family

ID=47971870

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/083936 WO2014082484A1 (zh) 2012-11-29 2013-09-22 一种用户登录监测设备和方法

Country Status (3)

Country Link
US (1) US9602526B2 (zh)
CN (1) CN103023718B (zh)
WO (1) WO2014082484A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114465977A (zh) * 2022-01-05 2022-05-10 广东盈世计算机科技有限公司 一种邮箱登录异常的检测方法、装置、设备及存储介质
CN114679488A (zh) * 2021-12-30 2022-06-28 北京致远互联软件股份有限公司 一种用户在多产品线中登录状态管理的方法

Families Citing this family (41)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103023718B (zh) * 2012-11-29 2015-12-23 北京奇虎科技有限公司 一种用户登录监测设备和方法
CN103001826B (zh) * 2012-11-29 2015-09-30 北京奇虎科技有限公司 用于监测用户登录的设备和方法
CN104219206B (zh) * 2013-05-31 2018-11-23 腾讯科技（深圳）有限公司 互联网身份辅助校验方法、装置和系统
CN104426835B (zh) * 2013-08-20 2020-03-20 深圳市腾讯计算机系统有限公司 一种登录检测的方法、服务器、登录检测装置及其系统
CN104426885B (zh) * 2013-09-03 2019-04-16 深圳市腾讯计算机系统有限公司 异常账号提供方法及装置
CN103532797B (zh) * 2013-11-06 2017-07-04 网之易信息技术（北京）有限公司 一种用户登录异常监测方法和装置
CN104796275B (zh) * 2014-01-21 2019-11-15 腾讯科技（深圳）有限公司 异常状态处理方法、系统及装置
CN104917643B (zh) * 2014-03-11 2019-02-01 腾讯科技（深圳）有限公司 异常账号检测方法及装置
CN105516915B (zh) * 2014-09-24 2019-05-07 阿里巴巴集团控股有限公司 获取用户活动范围的方法和装置
US20160105801A1 (en) * 2014-10-09 2016-04-14 Microsoft Corporation Geo-based analysis for detecting abnormal logins
CN105763505B (zh) * 2014-12-15 2019-02-26 阿里巴巴集团控股有限公司 基于用户账号的操作方法及装置
US10015175B2 (en) * 2015-04-16 2018-07-03 Los Alamos National Security, Llc Detecting anomalous behavior via user authentication graphs
CN106295349B (zh) 2015-05-29 2020-06-05 阿里巴巴集团控股有限公司 账号被盗的风险识别方法、识别装置及防控系统
CN106572057A (zh) * 2015-10-10 2017-04-19 百度在线网络技术（北京）有限公司 检测用户登录异常信息的方法和装置
CN105491028B (zh) * 2015-11-25 2019-01-25 四川诚品电子商务有限公司 电商平台账户的身份认证方法
CN106656480B (zh) * 2016-10-31 2020-04-03 美的智慧家居科技有限公司 家用电器的客户端的密钥协商方法和装置
CN106453006B (zh) * 2016-10-31 2020-08-04 美的智慧家居科技有限公司 家用电器的绑定控制方法、装置和云服务器
US10333944B2 (en) 2016-11-03 2019-06-25 Microsoft Technology Licensing, Llc Detecting impossible travel in the on-premise settings
CN108076012B (zh) * 2016-11-14 2021-08-20 百度在线网络技术（北京）有限公司 异常登录判断方法及装置
CN106780064B (zh) * 2016-12-02 2021-01-05 腾讯科技（深圳）有限公司 一种区域划分方法、装置及网络设备
CN106657073A (zh) * 2016-12-26 2017-05-10 北京五八信息技术有限公司 筛选异常登录用户的方法及系统
CN107046550B (zh) * 2017-06-14 2020-07-07 微梦创科网络科技（中国）有限公司 一种异常登录行为的检测方法及装置
CN107395450B (zh) * 2017-06-15 2018-11-06 腾讯科技（深圳）有限公司 应用登录情况的监测方法和装置、存储介质、电子装置
CN107657524A (zh) * 2017-08-14 2018-02-02 广东网金控股股份有限公司 一种基于风控管理的数据处理方法、装置及用户终端
US11979422B1 (en) 2017-11-27 2024-05-07 Lacework, Inc. Elastic privileges in a secure access service edge
US11792284B1 (en) 2017-11-27 2023-10-17 Lacework, Inc. Using data transformations for monitoring a cloud compute environment
US10581891B1 (en) 2017-11-27 2020-03-03 Lacework Inc. Using graph-based models to identify datacenter anomalies
US20220232024A1 (en) 2017-11-27 2022-07-21 Lacework, Inc. Detecting deviations from typical user behavior
US10594716B2 (en) * 2018-01-26 2020-03-17 Connecticut Information Security LLC System and method for detecting computer network intrusions
CN109409902A (zh) * 2018-09-04 2019-03-01 平安普惠企业管理有限公司 风险用户识别方法、装置、计算机设备及存储介质
CN109150894A (zh) * 2018-09-12 2019-01-04 珠海豆饭科技有限公司 一种鉴定恶意用户的方法及系统
CN109951449A (zh) * 2019-02-01 2019-06-28 国美网安科技有限公司 一种异常登录检测方法、装置、电子设备及存储介质
CN110191097B (zh) * 2019-05-05 2023-01-10 平安科技（深圳）有限公司 登录页面安全性的检测方法、系统、设备及存储介质
US10873592B1 (en) 2019-12-23 2020-12-22 Lacework Inc. Kubernetes launch graph
US11201955B1 (en) 2019-12-23 2021-12-14 Lacework Inc. Agent networking in a containerized environment
US11188571B1 (en) 2019-12-23 2021-11-30 Lacework Inc. Pod communication graph
IT202000006343A1 (it) 2020-03-25 2021-09-25 Cleafy Spa Metodo per monitorare e proteggere l’accesso ad un servizio online
IT202000006265A1 (it) * 2020-03-25 2021-09-25 Cleafy Spa Metodo per monitorare e proteggere l’accesso ad un servizio online
CN112016081B (zh) * 2020-08-31 2021-09-21 贝壳找房(北京)科技有限公司 标识映射的实现方法、装置、介质和电子设备
CN112115479A (zh) * 2020-09-08 2020-12-22 恩善(厦门)信息科技有限公司 一种基于移动终端行为的信息安全能力评测方法及系统
CN112165466B (zh) * 2020-09-16 2022-06-17 杭州安恒信息技术股份有限公司 一种误报识别的方法、装置、电子装置和存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040221047A1 (en) * 2003-04-30 2004-11-04 Grover Rajiv K System and method for processing fibre channel (FC) layer service requests in an FC network
CN102045634A (zh) * 2010-11-12 2011-05-04 深圳市爱贝信息技术有限公司 基于移动终端地理位置异常的用户安全控制方法及装置
CN102325062A (zh) * 2011-09-20 2012-01-18 北京神州绿盟信息安全科技股份有限公司 异常登录检测方法及装置
CN103001826A (zh) * 2012-11-29 2013-03-27 北京奇虎科技有限公司 用于监测用户登录的设备和方法
CN103023718A (zh) * 2012-11-29 2013-04-03 北京奇虎科技有限公司 一种用户登录监测设备和方法

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080222706A1 (en) * 2007-03-06 2008-09-11 Martin Renaud Globally aware authentication system
US10410220B2 (en) * 2008-06-12 2019-09-10 Guardian Analytics, Inc. Fraud detection and analysis system
US9576119B2 (en) * 2008-12-26 2017-02-21 Facebook, Inc. Preventing phishing attacks based on reputation of user locations
US8307219B2 (en) * 2009-07-13 2012-11-06 Satyam Computer Services Limited Enterprise black box system and method for data centers
US8863258B2 (en) * 2011-08-24 2014-10-14 International Business Machines Corporation Security for future log-on location

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040221047A1 (en) * 2003-04-30 2004-11-04 Grover Rajiv K System and method for processing fibre channel (FC) layer service requests in an FC network
CN102045634A (zh) * 2010-11-12 2011-05-04 深圳市爱贝信息技术有限公司 基于移动终端地理位置异常的用户安全控制方法及装置
CN102325062A (zh) * 2011-09-20 2012-01-18 北京神州绿盟信息安全科技股份有限公司 异常登录检测方法及装置
CN103001826A (zh) * 2012-11-29 2013-03-27 北京奇虎科技有限公司 用于监测用户登录的设备和方法
CN103023718A (zh) * 2012-11-29 2013-04-03 北京奇虎科技有限公司 一种用户登录监测设备和方法

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114679488A (zh) * 2021-12-30 2022-06-28 北京致远互联软件股份有限公司 一种用户在多产品线中登录状态管理的方法
CN114679488B (zh) * 2021-12-30 2024-05-14 北京致远互联软件股份有限公司 一种用户在多产品线中登录状态管理的方法
CN114465977A (zh) * 2022-01-05 2022-05-10 广东盈世计算机科技有限公司 一种邮箱登录异常的检测方法、装置、设备及存储介质

Also Published As

Publication number Publication date
CN103023718B (zh) 2015-12-23
US9602526B2 (en) 2017-03-21
CN103023718A (zh) 2013-04-03
US20150326595A1 (en) 2015-11-12

Similar Documents

Publication Publication Date Title
WO2014082484A1 (zh) 一种用户登录监测设备和方法
WO2017071551A1 (zh) 一种防止恶意访问登录/注册接口的行为的方法和装置
JP6431169B2 (ja) 信頼チェーンを介した無線メッシュネットワークのセキュア化
WO2015043491A1 (zh) 一种用于对互联网账号的登录进行安全验证的方法及系统
US20180343110A1 (en) Method and System for Implementing Scaling and Distribution of Blockchains without Ledger Limitations
US20150135282A1 (en) Methods and systems for secure internet access and services
CN105516133B (zh) 用户身份的验证方法、服务器及客户端
US9888035B2 (en) Systems and methods for detecting man-in-the-middle attacks
WO2015169158A1 (zh) 信息保护的方法和系统
WO2015051720A1 (zh) 检测可疑dns的方法、装置和可疑dns的处理方法、系统
WO2017113677A1 (zh) 处理用户行为数据的方法和系统
US10657971B1 (en) Systems and methods for detecting suspicious voice calls
WO2018196546A1 (zh) 一种确定应用账号的方法及设备
US8875253B2 (en) Trust metrics on shared computers
CN105323210A (zh) 一种检测网站安全的方法、装置及云服务器
US8914864B1 (en) Temporary virtual identities in a social networking system
CN104866770B (zh) 敏感数据扫描方法和系统
US8719794B2 (en) Fake check-in entries posted on behalf of social network users
CN103617393A (zh) 一种基于支持向量机的移动互联网恶意应用软件检测方法
WO2016091085A1 (zh) 数据传输方法、装置和服务器
US9686277B2 (en) Unique identification for an information handling system
CN107872440A (zh) 身份鉴权方法、装置和系统
US20220141252A1 (en) System and method for data filtering in machine learning model to detect impersonation attacks
CN113497807A (zh) 检测用户登录风险的方法、装置及计算机可读存储介质
CN106301979B (zh) 检测异常渠道的方法和系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13859449

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14647338

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13859449

Country of ref document: EP

Kind code of ref document: A1