异常用户的识别方法、装置、设备及存储介质制造方法及图纸

本发明专利技术涉及大数据技术领域，公开了异常用户的识别方法、装置、设备及存储介质，能够根据用户的动态行为信息计算行为轨迹风险概率，并结合静态的用户基础信息通过分类模型识别用户异常行为，提高了识别异常用户的准确性。本发明专利技术方法包括：通过预置的脚本和/或预置的日志采集接口从页面上获取目标用户的动态行为信息以及用户基础信息；将目标用户的动态行为信息以及用户基础信息进行筛选和编码，得到目标用户的当前操作序列以及基础属性特征集；通过预置评分模型计算目标用户的行为轨迹风险概率；根据目标用户的行为轨迹风险概率以及目标用户的基础属性特征集，通过预置分类模型识别目标用户是否为异常用户；输出识别结果。

Identification method, device, equipment and storage medium of abnormal users

【技术实现步骤摘要】
异常用户的识别方法、装置、设备及存储介质
本专利技术涉及大数据
领域，尤其涉及异常用户的识别方法、装置、设备及存储介质。
技术介绍
正常用户在企业主页网站、活动营销页面、广告页面等进行操作时，总会有意无意地形成有一定规律的行为轨迹，而异常用户比如与网络黑灰产相关的用户，则呈现出异常性，比如存在盗用账号、行为轨迹异常、登录时段或频次异常、登录地址或设备信息异常以及未认证等情况；异常用户的存在，既影响企业营销活动效果，也损害了正常用户的利益，严重时甚至影响企业以及用户的财产安全。目前对于识别网络黑灰产相关的异常用户，主要依赖于人工分析并设置异常用户的行为规则，比如基于用户画像形成的登录频次、登录设备以及其他常用信息设置判断规则，并根据用户行为与规则的匹配情况来分析用户是否为异常用户。此类手段在早期是直接且有效的，然而随着此类异常用户攻击手段更新以及黑灰产产业化，此类识别方案耗时耗力且依赖于人的经验知识，并且无法灵活应对黑灰产的新型手段。
技术实现思路
本专利技术提供了一种异常用户的识别方法、装置、设备及存储介质，能够根据用户的动态行为信息计算用户的行为轨迹风险概率，并结合静态的用户基础信息通过分类模型识别用户异常行为，提高了识别异常用户的准确性。本专利技术实施例的第一方面提供一种异常用户的识别方法，包括：通过预置的脚本和/或预置的日志采集接口从页面上获取目标用户的动态行为信息以及用户基础信息；将所述目标用户的动态行为信息以及用户基础信息进行筛选和编码，得到目标用户的当前操作序列以及基础属性特征集；根据所述目标用户的当前操作序列，通过预置评分模型计算目标用户的行为轨迹风险概率；根据所述目标用户的行为轨迹风险概率以及所述目标用户的基础属性特征集，通过预置分类模型识别目标用户是否为异常用户；输出识别结果，所述识别结果为用于区分异常用户的标识。可选的，在本专利技术实施例第一方面的第一种实现方式中，所述根据所述目标用户的当前操作序列，通过预置评分模型计算目标用户的行为轨迹风险概率，包括：获取通过预置评分模型得到的操作概率参数，所述操作概率参数包括各种操作的初始发生概率、转移概率以及观测概率；根据所述操作概率参数，通过预置概率公式计算目标用户的行为轨迹风险概率，所述预置概率公式为：其中，P(O/λ)表示在所述预置评分模型中所述目标用户的当前操作序列的发生概率，λ表示在所述预置评分模型的前置条件下，O为所述目标用户的当前操作序列，I表示所有可能发生O的操作序列，π为初始发生概率，a为转移概率，b为观测概率。可选的，在本专利技术实施例第一方面的第二种实现方式中，所述根据所述目标用户的行为轨迹风险概率以及所述目标用户的基础属性特征集，通过预置分类模型识别目标用户是否为风险用户，包括：将所述目标用户的行为轨迹风险概率以及所述目标用户的基础属性特征集，通过所述预置分类模型中的预置核函数映射到预置的多维特征空间，得到目标用户的特征坐标；获取所述目标用户在所述预置分类模型中的预置分类边界，所述预置分类边界为根据所述目标用户的预置历史时段数据，通过所述预置分类模型生成的多维特征空间分类边界，所述预置历史时段数据为所述目标用户在预置时段内的动态行为信息和用户基础信息；判断所述目标用户的特征坐标是否在所述预置分类边界内；若所述目标用户的特征坐标不在所述预置分类边界内，则确定目标用户是异常用户；若所述目标用户的特征坐标在所述预置分类边界内，则确定目标用户不是异常用户。可选的，在本专利技术实施例第一方面的第三种实现方式中，通过所述预置分类模型生成所述预置分类边界的步骤，包括：将所述目标用户的预置历史时段数据进行处理，得到所述目标用户的历史特征集合，所述历史特征集合包括多个历史行为轨迹风险概率以及与每个所述历史行为轨迹风险概率对应的历史基础属性特征集；将所述历史特征集合映射到所述多维特征空间，得到历史数据坐标集；计算所述历史数据坐标集的质心坐标，以及所述历史数据坐标集中每个历史数据坐标与所述质心坐标的距离；按照距离从小到大的顺序从所述历史数据坐标集中获取预置比例的坐标，作为所述目标用户的行为坐标；基于所述目标用户的行为坐标生成预置分类边界，所述行为坐标在所述预置分类边界之内。可选的，在本专利技术实施例第一方面的第四种实现方式中所述动态行为信息包括目标用户的页面信息、页面操作信息以及会话对象信息session信息，所述将所述目标用户的动态行为信息以及用户基础信息进行筛选和编码，得到目标用户的当前操作序列以及基础属性特征集，包括：对所述页面信息进行信息分类编码；根据所述session信息，将进行信息分类编码后的所述页面信息根据所述页面操作信息进行排序，得到目标用户的当前操作序列；将所述目标用户基础信息进行特征转换，得到目标用户的基础属性特征集。可选的，在本专利技术实施例第一方面的第五种实现方式中，所述对所述网址信息进行信息分类编码，包括：根据所述页面信息将不同的页面分类至不同的功能点，所述功能点用于区分页面的功能以及用户的操作；将各个所述功能点通过预置编码器转换成对应的预置数值。可选的，在本专利技术实施例第一方面的第六种实现方式中，所述将目标用户基础信息进行特征转换，得到目标用户的基础属性特征集，包括：将所述目标用户的用户基础信息离散化；根据离散化的所述用户基础信息提取基础属性特征；将所述基础属性特征通过哑变量变换转换为数值型特征，得到目标用户的基础属性特征集。本专利技术实施例的第二方面提供了一种异常用户的识别装置，包括：获取单元，用于通过预置的脚本和/或预置的日志采集接口从页面上获取目标用户的动态行为信息以及用户基础信息；处理单元，用于将所述目标用户的动态行为信息以及用户基础信息进行筛选和编码，得到目标用户的当前操作序列以及基础属性特征集；计算单元，用于根据所述目标用户的当前操作序列，通过预置评分模型计算目标用户的行为轨迹风险概率；识别单元，用于根据所述目标用户的行为轨迹风险概率以及所述目标用户的基础属性特征集，通过预置分类模型识别目标用户是否为异常用户；输出单元，用于输出识别结果，所述识别结果为用于区分异常用户的标识。可选的，在本专利技术实施例第二方面的第一种实现方式中，所述计算单元具体用于：获取通过预置评分模型得到的操作概率参数，所述操作概率参数包括各种操作的初始发生概率、转移概率以及观测概率；根据所述操作概率参数，通过预置概率公式计算目标用户的行为轨迹风险概率，所述预置概率公式为：其中，P(O/λ)表示在所述预置评分模型中所述目标用户的当前操作序列的发生概率，λ表示在所述预置评分模型的前置条件下，O为所述目标用户的当前操作序列，I表示所有可能发生O的操作序列，π为初始发生概率，a为转移概率，b为观测概率。可选的，在本专利技术实施例第二方面的第二种实现方式中，所述识别单元包括：映射模块，用于将所述目标用户的行为轨迹风险概率以及所述目标用户的基础属性特征集通过所述预置分类模型中的预置核函数映射到预置的多维特征空间，得到目标用户的特征坐标；获取模块，用于获取所述目标用户在所述预置分类模型中的预置本文档来自技高网...

【技术保护点】
1.一种异常用户的识别方法，其特征在于，包括：/n通过预置的脚本和/或预置的日志采集接口从页面上获取目标用户的动态行为信息以及用户基础信息；/n将所述目标用户的动态行为信息以及用户基础信息进行筛选和编码，得到目标用户的当前操作序列以及基础属性特征集；/n根据所述目标用户的当前操作序列，通过预置评分模型计算目标用户的行为轨迹风险概率；/n根据所述目标用户的行为轨迹风险概率以及所述目标用户的基础属性特征集，通过预置分类模型识别目标用户是否为异常用户；/n输出识别结果，所述识别结果为用于区分异常用户的标识。/n

【技术特征摘要】
1.一种异常用户的识别方法，其特征在于，包括：
通过预置的脚本和/或预置的日志采集接口从页面上获取目标用户的动态行为信息以及用户基础信息；
将所述目标用户的动态行为信息以及用户基础信息进行筛选和编码，得到目标用户的当前操作序列以及基础属性特征集；
根据所述目标用户的当前操作序列，通过预置评分模型计算目标用户的行为轨迹风险概率；
根据所述目标用户的行为轨迹风险概率以及所述目标用户的基础属性特征集，通过预置分类模型识别目标用户是否为异常用户；
输出识别结果，所述识别结果为用于区分异常用户的标识。


2.根据权利要求1所述的异常用户的识别方法，其特征在于，所述根据所述目标用户的当前操作序列，通过预置评分模型计算目标用户的行为轨迹风险概率，包括：
获取通过预置评分模型得到的操作概率参数，所述操作概率参数包括各种操作的初始发生概率、转移概率以及观测概率；
根据所述操作概率参数，通过预置概率公式计算目标用户的行为轨迹风险概率，所述预置概率公式为：



其中，P(O/λ)表示在所述预置评分模型中所述目标用户的当前操作序列的发生概率，λ表示在所述预置评分模型的前置条件下，O为所述目标用户的当前操作序列，I表示所有可能发生O的操作序列，π为初始发生概率，a为转移概率，b为观测概率。


3.根据权利要求1所述的异常用户的识别方法，其特征在于，所述根据所述目标用户的行为轨迹风险概率以及所述目标用户的基础属性特征集，通过预置分类模型识别目标用户是否为风险用户，包括：
将所述目标用户的行为轨迹风险概率以及所述目标用户的基础属性特征集，通过所述预置分类模型中的预置核函数映射到预置的多维特征空间，得到目标用户的特征坐标；
获取所述目标用户在所述预置分类模型中的预置分类边界，所述预置分类边界为根据所述目标用户的预置历史时段数据，通过所述预置分类模型生成的多维特征空间分类边界，所述预置历史时段数据为所述目标用户在预置时段内的动态行为信息和用户基础信息；
判断所述目标用户的特征坐标是否在所述预置分类边界内；
若所述目标用户的特征坐标不在所述预置分类边界内，则确定目标用户是异常用户；
若所述目标用户的特征坐标在所述预置分类边界内，则确定目标用户不是异常用户。


4.根据权利要求3所述的异常用户的识别方法，其特征在于，通过所述预置分类模型生成所述预置分类边界的步骤，包括：
将所述目标用户的预置历史时段数据进行处理，得到所述目标用户的历史特征集合，所述历史特征集合包括多个历史行为轨迹风险概率以及与每个所述历史行为轨迹风险概率对应的历史基础属性特征集；
将所述历史特征集合映射到所述多维特征空间，得到历史数据坐标集；
计算所述历史数据坐标集的质心坐标，...

【专利技术属性】
技术研发人员：刘玉洁，杨冬艳，
申请(专利权)人：平安科技深圳有限公司，
类型：发明
国别省市：广东;44