CN105227532B - 一种恶意行为的阻断方法及装置 - Google Patents

Abstract

本申请公开了一种恶意行为的阻断方法及装置，用以解决现有技术中提取恶意行为的特征的效率和准确性较低，不能有效阻断恶意行为的问题。该方法监控方设备预先生成测试账号，并注册在该监控方设备和服务提供方设备上，当监控方设备接收到通过该测试账号发来的操作请求时，将本次的发送特征记录为恶意特征，针对待定行为，则根据记录的恶意特征判断该待定行为是否为恶意行为，若是，则阻断该待定行为，否则放行该待定行为。上述方法无需分析海量的历史数据即可得到恶意行为的特征，从而可有效提高获得恶意行为的特征的效率，而且准确性也较高，可有效阻断恶意行为，避免出现漏判和误判。

Description

一种恶意行为的阻断方法及装置

技术领域

本申请涉及计算机技术领域，尤其涉及一种恶意行为的阻断方法及装置。

背景技术

随着计算机和网络技术的不断发展，用户已经可以通过在网站上注册账号来得到网站所提供的各种服务。但随之而来的就是不法分子盗取并使用他人的账号进行恶意行为。

例如，用户在某电子商务网站上注册了账号，并为该账号的余额进行了充值，用以使用该账号的余额购买商品，但如果不法分子盗取了该用户的账号，则可通过该用户的账号中的余额非法牟取利益，也即，对于不法分子通过盗取的账号购买商品的行为而言，这个行为就是恶意行为。

尤其是目前很多用户在各个不同的网站上都使用相同的账号和密码，这样，一旦其中一个网站的账号被盗，就相当于其他网站的账号均被盗，会造成巨大损失。

在现有技术中，为了辨识出用户在网站上的行为是普通用户的合法行为还是不法分子的恶意行为，一般需要预先对大量的历史数据进行分析，以提取出恶意行为的特征，再针对待定行为，判断该待定行为的特征是否符合恶意行为的特征，若符合，则判定该待定行为是恶意行为并阻止，否则允许该待定行为的进行。

但是，由于历史数据是海量的，而且其中恶意行为所占的比重毕竟很小，分析这些海量的历史数据不仅效率低下，会消耗服务器大量的计算资源，而且提取的恶意行为的特征的准确性也很低，容易造成漏判和误判。

发明内容

本申请实施例提供一种恶意行为的阻断方法及装置，用以解决现有技术中提取恶意行为的特征的效率和准确性较低，不能有效阻断恶意行为的问题。

本申请实施例提供的一种恶意行为的阻断方法，包括：

监控方设备预先生成无人使用的测试账号；并

在所述监控方设备和服务提供方设备上注册所述测试账号；

所述监控方设备在接收到通过所述测试账号发来的操作请求时，记录所述操作请求的发送特征，作为恶意特征；以及

针对待定行为，根据记录的恶意特征判断所述待定行为是否为恶意行为；

若是，则阻断所述待定行为；

否则，允许执行所述待定行为。

本申请实施例提供的一种恶意行为的阻断装置，包括：

生成模块，用于预先生成无人使用的测试账号；

注册模块，用于在所述装置和服务提供方设备上注册所述测试账号；

监控模块，用于在接收到通过所述测试账号发来的操作请求时，记录所述操作请求的发送特征，作为恶意特征；

阻断模块，用于针对待定行为，根据记录的恶意特征判断所述待定行为是否为恶意行为，若是，则阻断所述待定行为，否则，允许执行所述待定行为。

本申请实施例提供一种恶意行为的阻断方法及装置，该方法监控方设备预先生成测试账号，并注册在该监控方设备和服务提供方设备上，当监控方设备接收到通过该测试账号发来的操作请求时，将本次的发送特征记录为恶意特征，针对待定行为，则根据记录的恶意特征判断该待定行为是否为恶意行为，若是，则阻断该待定行为，否则放行该待定行为。上述方法无需分析海量的历史数据即可得到恶意行为的特征，从而可有效提高获得恶意行为的特征的效率，而且准确性也较高，可有效阻断恶意行为，避免出现漏判和误判。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例提供的恶意行为的阻断过程；

图2为本申请实施例提供的恶意行为的阻断装置结构示意图。

具体实施方式

由于现有技术中需要对海量的历史数据进行分析，以提取出恶意行为的特征，这种方法过于被动，需要从大量正常行为中筛选出恶意行为并提取特征，因此不仅效率低下，而且准确性也很低。而本申请实施例通过在服务提供方设备(例如，网站服务器、应用服务器等)上注册无人使用的测试账号来对恶意行为进行监控，一旦发现有人通过该测试账号发送了操作请求，即可确定该操作一定是恶意行为，从而直接将该操作请求的发送特征记录为恶意特征，可有效提高获得恶意行为的特征的效率，而且准确性也较高，后续则可根据记录的该恶意特征对待定行为进行判定，当将待定行为判定为恶意行为时，则阻断该待定行为，也可有效阻断恶意行为，避免漏判和误判。

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

图1为本申请实施例提供的恶意行为的阻断过程，具体包括以下步骤：

S101：监控方设备预先生成测试账号。

在本申请实施例中，所述的监控方设备既可以是某个服务提供方设备本身，也可以是单独的一个设备，例如，可以将某个网站(如电子商务网站)或某个应用的服务器作为监控方设备，也可以独立于任何网站和应用单独设立监控方设备。

具体的，监控方设备可预先生成并没有实际用户使用的测试账号，生成的测试账号也可称之为虚拟账号。

S102：在监控方设备和服务提供方设备上注册该测试账号。

生成了没有实际用户使用的测试账号后，监控方设备则可在服务提供方设备上注册该测试账号。本申请实施例中所述的服务提供方设备可以是网站或应用的服务器。例如，监控方设备可将该测试账号注册在该监控方设备自身上，并在已知的钓鱼网站上注册该测试账号，还可在一些知名的网站上注册该测试账号，也可在一些应用上注册该测试账号。

其中，注册在监控方设备自身以及其他服务提供方设备上的该测试账号对应的密码可以相同，也可以不同。

S103：监控方设备在接收到通过该测试账号发来的操作请求时，记录该操作请求的发送特征，作为恶意特征。

在本申请实施例中，由于监控方设备生成的测试账号是没有实际用户使用的账号，因此，当监控方设备将该测试账号注册在该监控方设备自身和服务提供方设备上后，如果后续接收到通过该测试账号发来的操作请求，则可确定通过该测试账号发来的操作请求一定是恶意行为，因此记录该操作请求的发送特征，作为恶意特征。

例如，假设将某电商网站的服务器A作为监控方设备，则服务器A生成测试账号1，该测试账号1并没有用户使用，服务器A将该测试账号1注册在服务器A自身上，并将该测试账号注册在钓鱼网站的服务器B、某知名网站的服务器C、以及某个应用的服务器D上。这是为了模拟实际应用场景中很多用户在不同服务提供方设备上注册账号时均使用相同的账号的场景。

由于测试账号1是该服务器A生成的，实际上并没有任何用户去使用该测试账号1，而不法分子在服务器B、服务器C、服务器D上盗取了测试账号1后，一般会逐个在其他网站的服务器上试用该测试账号1进行登录并进行恶意操作，因此，服务器A将该测试账号1注册在服务器B、服务器C和服务器D上后，如果接收到通过该测试账号1发来的登录请求(该登录请求即为操作请求)，则说明一定有不法分子在服务器A～D之一上盗取了该测试账号1，并试图通过该测试账号1登录服务器A，由此可确定本次通过该测试账号1进行的登录操作就是恶意操作，因此，可将本次接收到的该操作请求的发送特征记录为恶意特征。

由于在实际应用场景中，不法分子在盗号并通过盗来的账号进行恶意操作时，其通常会在固定的地点、固定的时间、使用固定的设备，因此，在本申请实施例中，监控方设备在接收到通过生成的测试账号发来的操作请求后，可记录该操作请求的发送方的互联网协议(Internet Protocol，IP)地址、介质访问控制(Media Access Control，MAC)地址、地理位置信息、发送时间中的一种或几种的组合，作为恶意特征。其中，发送方的地理位置信息可以根据预先保存的IP地址与地理位置信息的对应关系得到。

S104：针对待定行为，根据记录的恶意特征判断该待定行为是否为恶意行为，若是，执行步骤S105，否则执行步骤S106。

通过上述步骤S101～S103得到恶意特征后，监控方设备后续在针对一个待定行为，判断该待定行为是否是恶意行为，则可根据记录的恶意特征判断该待定行为是否为恶意行为。也即，判断该待定行为的特征是否与记录的恶意特征匹配，若匹配，则确定该待定行为是恶意行为，从而阻断该恶意行为，否则，可确定该待定行为不是恶意行为，允许执行该待定行为。

例如，假设记录的恶意特征包括IP地址、MAC地址、地理位置信息、发送时间这4个维度上的特征，则在判断一个待定行为的特征是否与恶意特征匹配时，可先确定发送该待定行为对应的操作请求的发送方的IP地址、MAC地址、地理位置信息、发送时间，并通过公式确定该待定行为的风险值。其中，Q为风险值，i表示待定行为在第i个维度上的特征是与记录的第i个维度上的恶意特征匹配的，q_i表示预设的第i维度的特征对应的风险权值，n表示待定特征共有n个维度上的特征是与记录的恶意特征匹配的。

确定出待定行为的风险值Q后，则可判断风险值Q是否大于预设的风险阈值，若大于，则确定该待定行为是恶意行为并予以阻断，否则，确定该待定行为不是恶意行为并予以放行。

S105：阻断该待定行为。

S106：允许执行该待定行为。

由上述方法可见，上述方法无需分析海量的历史数据，通过在监控方设备和服务提供方设备上注册相同的无用户使用的测试账号，即可得到恶意行为的特征，从而可有效提高获得恶意行为的特征的效率，而且由于本应无人使用的测试账号发出了操作请求时，则可确定其行为一定是恶意行为，因此通过上述方法记录的恶意特征的准确性也较高，可有效阻断恶意行为，避免出现漏判和误判。

进一步的，在图1所示的步骤S101中，监控方设备在生成测试账号时，可预先生成多个测试账号，则步骤S102中，监控方设备在自身和服务提供方设备上注册测试账号时，可针对每个测试账号，将该测试账号注册在该监控方设备和一个服务提供方设备上。

例如，假设监控方设备生成了30个测试账号，分别为测试账号10～19、测试账号20～29、测试账号30～39，则针对测试账号10～19，监控方设备可该测试账号10～19注册在自身和某钓鱼网站的服务器B上；针对测试账号20～29，监控方设备可将测试账号20～29注册在自身和某知名网站的服务器C上；针对测试账号30～39，监控方设备可将该测试账号30～39注册在自身和某知名应用的服务器D上。

这样注册了生成的各测试账号后，监控设备则可针对每个测试账号，在接收到通过该测试账号发来的操作请求时，除了将该操作请求的发送特征记录为恶意特征以外，还可将该测试账号标记为被盗账号，再针对每个服务提供方设备，确定在指定时间长度内将注册在该服务提供方设备上的测试账号标记为被盗账号的数量，当确定的数量大于设定数量时，发出针对该服务提供方设备的风险预警。

继续沿用上例，假设针对某知名网站的服务器C，监控方设备确定在一天(即，指定时间为一天)之内注册在该服务器C上的测试账号20～29中，共有5个测试账号被标记为被盗账号，假设设定数量为3，则监控设备可发出针对该知名网站的风险预警，以提示用户该知名网站的账号可能已经被大量泄露，如果用户在其他服务提供方设备上注册的账号对应的密码与注册在该知名网站的账号对应的密码相同，则应尽快修改账号和密码。

更进一步的，监控方设备在将生成的测试账号注册在自身和其他服务提供方设备上时，可将该测试账号在该监控方设备自身上对应的密码和该测试账号在其他服务提供方设备上的密码设置为相同，这样不法分子通过其他服务提供方设备盗取该测试账号以及相应的密码后，可顺利的通过该测试账号和相应的密码登录到该监控方设备上。而由于在实际应用场景中，针对某个网站来说，不法分子通过盗取的账号登录到某个网站上后，其通过该账号所进行的恶意行为往往是固定的，即，不法分子使用其盗取的账号的使用习惯往往也是固定的，因此，监控方设备在接收到通过该测试账号发送的登录请求后，可暂时允许其登录，并当其通过该测试账号执行预设的操作时，再阻断该操作，借此记录更多的恶意行为的特征，如，记录不法分子的使用习惯。

例如，假设该监控方设备为某个电商网站的服务器，在实际应用场景中，不法分子通过盗取的账号登录到该电商网站后，一般会直接通过该账号在该电商网站上购买固定类型的商品(如游戏点卡等虚拟物品)，甚至在固定的卖家处购买商品，用以借此“销赃”，因此，该电商网站的服务器在接收到通过测试账号发来的登录请求后，可记录发送该登录请求的发送方的IP地址、MAC地址、地理位置信息、发送时间，作为记录的恶意特征，并暂时允许其登录，借此确定不法分子后续使用其盗取的账号的使用习惯，即，记录通过该测试账号所购买的商品的类型信息、卖家信息，也作为记录的恶意特征。假设预设的操作为付款操作，则该电商的服务器当接收到通过该测试账号发来的付款操作时，可阻断该操作。

由此，作为监控方设备的该电商网站的服务器不仅记录的不法分子的IP地址、MAC地址、地理位置信息、发送时间，还记录了不法分子“销赃”时所购买的商品的类型和所在的卖家，后续在判断一个待定行为是否为恶意行为时，则可更加准确的进行判断。

另外，在本申请实施例中，还可在监控方设备中预设可信特征，例如，将预设的可信特征保存在白名单中，则监控方设备在针对一个待定行为，判断其是否为恶意行为时，可先根据预设的可信特征，判断该待定行为的特征是否与该可信特征匹配，若匹配，则可直接允许执行该待定行为，若不匹配，则根据记录的恶意特征，判断该待定行为是否为恶意行为，即，判断该待定行为的特征是否与恶意特征匹配，如果该待定行为的特征与恶意特征匹配，则阻断该待定行为，如果该待定行为的特征与恶意特征不匹配，则可暂时阻断该待定行为，并向执行该待定行为的用户发送账号询问信息(如，密码保护问题等)，如果用户返回的账号确认信息正确，则允许执行该待定行为，如果用户返回的账号确认信息错误，则阻断该待定行为。

进一步的，当监控方设备确定一个待定行为是恶意行为时，除了阻断该待定行为以外，还可冻结执行该待定行为的账号。

以上为本申请实施例提供的恶意行为的阻断方法，基于同样的思路，本申请实施例还提供了一种恶意行为的阻断装置，如图2所示。

图2为本申请实施例提供的恶意行为的阻断装置结构示意图，具体包括：

生成模块201，用于预先生成测试账号；

注册模块202，用于在所述装置和服务提供方设备上注册所述测试账号；

监控模块203，用于在接收到通过所述测试账号发来的操作请求时，记录所述操作请求的发送特征，作为恶意特征；

阻断模块204，用于针对待定行为，根据记录的恶意特征判断所述待定行为是否为恶意行为，若是，则阻断所述待定行为，否则，允许执行所述待定行为。

所述生成模块201具体用于，预先生成多个测试账号；

所述注册模块202具体用于，针对每个测试账号，将该测试账号注册在所述装置和一个服务提供方设备上。

所述监控模块203还用于，针对每个测试账号，在接收到通过该测试账号发来的操作请求时，将该测试账号标记为被盗账号，针对每个服务提供方设备，确定在指定时间长度内将注册在该服务提供方设备上的测试账号标记为被盗账号的数量，当确定的数量大于设定数量时，发出针对该服务提供方设备的风险预警。

所述监控模块203具体用于，记录所述操作请求的发送方的互联网协议IP地址、介质访问控制MAC地址、地理位置信息、发送时间中的一种或几种的组合，作为恶意特征。

所述阻断模块204还用于，在根据记录的恶意特征判断所述待定行为是否为恶意行为之前，根据预设的可信特征，确定所述待定行为的特征与所述可信特征不匹配。

具体的上述如图2所示的装置可以位于服务器中。

本申请实施例提供一种恶意行为的阻断方法及装置，该方法监控方设备预先生成测试账号，并注册在该监控方设备和服务提供方设备上，当监控方设备接收到通过该测试账号发来的操作请求时，将本次的发送特征记录为恶意特征，针对待定行为，则根据记录的恶意特征判断该待定行为是否为恶意行为，若是，则阻断该待定行为，否则放行该待定行为。上述方法无需分析海量的历史数据即可得到恶意行为的特征，从而可有效提高获得恶意行为的特征的效率，而且准确性也较高，可有效阻断恶意行为，避免出现漏判和误判。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、***或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种恶意行为的阻断方法，其特征在于，包括：

监控方设备预先生成无人使用的测试账号；并

在所述监控方设备和服务提供方设备上注册所述测试账号；

所述监控方设备在接收到通过所述测试账号发来的操作请求时，记录所述操作请求的发送特征，作为恶意特征；以及

针对待定行为，根据记录的恶意特征判断所述待定行为是否为恶意行为；

若是，则阻断所述待定行为；

否则，允许执行所述待定行为。

2.如权利要求1所述的方法，其特征在于，预先生成测试账号，具体包括：

预先生成多个测试账号；

在所述监控方设备和服务提供方设备上注册所述测试账号，具体包括：

针对每个测试账号，将该测试账号注册在所述监控方设备和一个服务提供方设备上。

3.如权利要求2所述的方法，其特征在于，所述方法还包括：

针对每个测试账号，所述监控方设备在接收到通过该测试账号发来的操作请求时，将该测试账号标记为被盗账号；

针对每个服务提供方设备，确定在指定时间长度内将注册在该服务提供方设备上的测试账号标记为被盗账号的数量，当确定的数量大于设定数量时，发出针对该服务提供方设备的风险预警。

4.如权利要求1所述的方法，其特征在于，记录所述操作请求的发送特征，作为恶意特征，具体包括：

记录所述操作请求的发送方的互联网协议IP地址、介质访问控制MAC地址、地理位置信息、发送时间中的一种或几种的组合，作为恶意特征。

5.如权利要求1所述的方法，其特征在于，根据记录的恶意特征判断所述待定行为是否为恶意行为之前，所述方法还包括：

根据预设的可信特征，确定所述待定行为的特征与所述可信特征不匹配。

6.一种恶意行为的阻断装置，其特征在于，包括：

生成模块，用于预先生成无人使用的测试账号；

注册模块，用于在所述装置和服务提供方设备上注册所述测试账号；

监控模块，用于在接收到通过所述测试账号发来的操作请求时，记录所述操作请求的发送特征，作为恶意特征；

阻断模块，用于针对待定行为，根据记录的恶意特征判断所述待定行为是否为恶意行为，若是，则阻断所述待定行为，否则，允许执行所述待定行为。

7.如权利要求6所述的装置，其特征在于，所述生成模块具体用于，预先生成多个测试账号；

所述注册模块具体用于，针对每个测试账号，将该测试账号注册在所述装置和一个服务提供方设备上。

8.如权利要求7所述的装置，其特征在于，所述监控模块还用于，针对每个测试账号，在接收到通过该测试账号发来的操作请求时，将该测试账号标记为被盗账号，针对每个服务提供方设备，确定在指定时间长度内将注册在该服务提供方设备上的测试账号标记为被盗账号的数量，当确定的数量大于设定数量时，发出针对该服务提供方设备的风险预警。

9.如权利要求6所述的装置，其特征在于，所述监控模块具体用于，记录所述操作请求的发送方的互联网协议IP地址、介质访问控制MAC地址、地理位置信息、发送时间中的一种或几种的组合，作为恶意特征。

10.如权利要求6所述的装置，其特征在于，所述阻断模块还用于，在根据记录的恶意特征判断所述待定行为是否为恶意行为之前，根据预设的可信特征，确定所述待定行为的特征与所述可信特征不匹配。