CN106355405A

CN106355405A - 风险识别方法、装置及风险防控***

Info

Publication number: CN106355405A
Application number: CN201510411704.2A
Authority: CN
Inventors: 吴东杏; 何慧梅; 王峰伟; 何帝君; 付敏
Original assignee: Alibaba Group Holding Ltd
Current assignee: Alibaba Group Holding Ltd
Priority date: 2015-07-14
Filing date: 2015-07-14
Publication date: 2017-01-25

Abstract

本申请公开一种网络环境下的风险识别方法、装置及风险防控***。该方法对网络环境中媒介网络设备节点进行聚类分析，将媒介网络划分为若干群组，识别为风险群组时重点进行防范；该方法可以识别非认证设备，能从复杂网络中区分正常群组和风险群组。该装置包括媒介网络构建模块、聚类群组划分模块及风险群组判定模块，可以通过对媒介网络设备节点进行聚类分析来进行群组划分，由此来识别风险群组。该***的风险识别装置可以较好地识别媒介网络中的风险群组，因而能针对风险群组中用户与设备重点防控，这有助于构建更安全的网络环境。

Description

风险识别方法、装置及风险防控***

技术领域

本申请涉及网络安全技术，尤其涉及一种基于网络环境的风险识别方法、装置及风险防控***。

背景技术

随着移动互联和电子商务的蓬勃发展，网上支付和移动支付已经成为了实现资金交易的主要渠道。但由于用户薄弱的安全意识和支付平台的***漏洞，让犯罪分子有了可乘之机。因此，如何在上亿笔的资金流动中更高效地防控监督有风险的交易，以在正常用户蒙受资金、信誉等损失前阻截交易，目前已经成为金融机构的首要问题。

目前，网络交易平台通常通过监控重点用户或重点设备来识别交易风险。例如，一个设备关联了很多的交易账户可以认为是风险设备，若某账户试图与该设备或该设备上的账户进行交易，***会判定为存在交易风险，由此会采取拦截交易或冻结数据等方式来进行防控，由此避免用户蒙受损失。

然而，不论是监控重点用户还是重点设备，都是针对单个用户或设备来识别风险，对于识别具有潜在聚集联系的网络犯罪者无能为力，由此导致网络交易风险防控的有效性大打折扣。此外，单个地识别风险用户或设备势必增加网络交易平台的运算负荷，对于网络交易环境中动辄上亿的用户和设备而言，往往因超出计算机运算能力极限而无法有效地进行风险识别。其它应用场景下的网络环境下也存在类似的问题。有鉴于现有技术存在的诸多不足，有必要提出一种更为有效的网络风险识别及防控方案。

发明内容

针对现有技术存在的缺陷，本申请的目的在于提供一种基于网络环境的风险识别方法、装置及风险防控***，以便有效地识别海量交易数据中的风险群组并进行防控，从而构建更安全的网络环境。

为解决以上技术问题，本申请提供一种风险识别方法，包括：

提取描述媒介网络拓扑结构的网络图，该媒介网络的用户和设备为图的节点，用户-设备关联关系为图的边；

通过对媒介网络的设备节点进行聚类分析，将媒介网络划分为以子图来描述具有相应聚类特征用户-设备关联关系的若干群组；

根据预设的风险评定规则，判断各群组是否为风险群组。

较优地，所述根据预设的风险评定规则，判断各群组是否为风险群组步骤中，根据群组中设备的关联用户数和/或发生过案件的设备比率来判定该群组是否为风险群组。

较优地，所述提取描述媒介网络拓扑结构的网络图，该媒介网络的用户和设备为图的节点，用户-设备关联关系为图的边步骤之后，所述通过对媒介网络的设备节点进行聚类分析，将媒介网络划分为以子图来描述具有相应聚类特征用户-设备关联关系的若干群组步骤之前，包括:

识别媒介网络中的非认证设备；

根据历史交易情况，确认需要剔除的非认证设备；

将需要剔除的非认证设备从媒介网络中予以过滤。

较优地，所述识别媒介网络中的非认证设备步骤中，包括：

获取设备关联用户数和设备聚类系数；

根据设备关联用户数和设备聚类系数，来识别媒介网络中的非认证设备。

较优地，所述获取设备关联用户数和设备聚类系数步骤中，基于分布式计算***的BSP架构消息传递机制计算设备关联用户数和设备聚类系数。

较优地，所述基于分布式计算***的BSP架构消息传递机制计算设备关联用户数和设备聚类系数步骤中，包括：

初始化媒介网络，其中将媒介网络中的用户节点标记为初始节点，以便触发BSP消息传递机制；

各用户节点发送消息，其中包括发送消息的用户节点信息以及该用户节点关联的其它设备信息；

在设备节点收到消息时，计算该设备节点的设备关联用户数和设备聚类系数，否则结束该设备节点的处理；

输出设备节点相关计算结果信息，其中包括设备关联用户数和设备聚类系数。

较优地，根据设备关联用户数和设备聚类系数，来识别媒介网络中的非认证设备之后，包括：

获取设备关联IP对应的活跃区域和设备关联手机号数；

结合设备关联IP对应的活跃区域和设备关联手机号数，来进一步识别媒介网络中的非认证设备。

较优地，所述根据历史交易情况，确认需要剔除的非认证设备步骤中，包括：

判断该非认证设备历史交易中是否发生案件；

若是，将该非认证设备确认为需要剔除的非认证设备；

若否，将该非认证设备确认为无需剔除的非认证设备。

较优地，所述获取以图来描述网络交易中用户-设备关联关系的媒介网络步骤中，以用户账号来标识用户，以设备识别码来标识设备。

同时，本申请还提供一种风险识别装置，包括：

媒介网络构建模块，提取描述媒介网络拓扑结构的网络图，该媒介网络的用户和设备为图的节点，用户-设备关联关系为图的边；

聚类群组划分模块，通过对媒介网络的设备节点进行聚类分析，将媒介网络划分为以子图来描述具有相应聚类特征用户-设备关联关系的若干群组；

风险群组判定模块，根据预设的风险评定规则，判断各群组是否为风险群组。

较优地，所述风险群组判定模块，根据群组中设备的关联用户数和/或发生过案件的设备比率来判定该群组是否为风险群组。

较优地，包括非认证设备处理模块，所述非认证设备处理模块具有：

非认证设备判定单元，用于识别媒介网络中的非认证设备，并根据历史交易情况，确认需要剔除的非认证设备；

非认证设备过滤单元，用于将需要剔除的非认证设备从媒介网络中予以过滤；

聚类群组划分单元，用于对已过滤非认证设备媒介网络的设备节点进行聚类分析，将已过滤非认证设备媒介网络划分为以子图来描述具有相应聚类特征用户-设备关联关系的若干群组。

较优地，所述非认证设备判定单元获取设备关联用户数和设备聚类系数，来识别媒介网络中的非认证设备。

较优地，所述非认证设备判定单元分布式计算***，其通过BSP架构消息传递机制计算设备关联用户数和设备聚类系数。

较优地，所述分布式计算***具有：

主控服务器，用于初始化媒介网络，其中将媒介网络中的用户节点标记为初始节点，以便触发BSP消息传递机制；

若干工作服务器，用于各用户节点发送消息，其中包括发送消息的用户节点信息以及该用户节点关联的其它设备信息；以及，在设备节点收到消息时，计算该设备节点的设备关联用户数和设备聚类系数，否则结束该设备节点的处理；并且，输出设备节点相关计算结果信息至所述主控服务器，相关计算结果信息中包括设备关联用户数和设备聚类系数。

较优地，所述非认证设备判定单元获取设备关联IP对应的活跃区域和设备关联手机号数，来进一步识别媒介网络中的非认证设备。

较优地，所述非认证设备判定单元判断该非认证设备历史交易中是否发生案件；若是，将该非认证设备确认为需要剔除的非认证设备；若否，将该非认证设备确认为无需剔除的非认证设备。

在此基础上，本申请还相应提供一种网络交易的风险防控***，具有以上所述的风险识别装置、风险处理装置及风险数据库，其中：

所述风险识别装置，用于识别媒介网络中的风险群组，该风险群组中的相应用户及设备的信息可推送给所述风险处理装置；

所述风险处理装置，用于实时监控风险群组中的用户及设备，在正常用户尝试与该风险群组中的用户及设备进行交易时，拦截及冻结相应交易数据；

风险数据库，用于存放所述风险处理装置拦截及冻结的相应交易数据，以便所述风险处理装置进行核查及向所述风险识别装置提供历史交易信息。

较优地，包括风险学习装置，根据接收的风险设定参数及历史交易信息，形成相应的新的风险评定规则。

与现有技术相比，本申请通过构造媒介网络来表示网络环境中用户与设备的关联关系，并利用局部网络的聚类特征对用户和设备群组进行划分，从中识别出有潜在风险的用户和设备，并对高风险用户和设备群体进行防范和监控。由于网络犯罪者习惯于共用设备，因此这种基于设备的聚类性分析的风险识别方法，可以更容易地识别出高发案件风险的群组，对此群组中的用户与设备进行重点监控。显然，重点识别风险群组并进行防控，相对于单个监控用户或设备的风险而言，大大地提高了风险识别率，由此确保风险防控的有效性，最终有助于构建更安全的网络环境。

特别地，针对非认证设备带来的不利影响，本申请采用BSP架构消息传递机制计算基于设备的聚类特征，同时利用设备关联的IP、手机号等特征剔除非认证设备带来的无效连接。由此避免非认证设备加入时出现超大群组而无法区分出正常群组与风险群组的问题，从而保证在各种复杂的媒介网络中都能对用户和设备进行有效的群组划分，最终可靠地识别出有潜在风险的账号和设备，以达到构建更安全网络环境的目的。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本申请的限制。而且在整个附图中，用相同的参考符号来表示相同的部件。在附图中：

图1示出本申请一个实施例风险识别方法的流程图；

图2示出形成媒介网络的实例；

图3示出进行媒介网络群组划分的实例；

图4示出本申请另一实施例的风险识别方法的流程图；

图5示出利用BSP消息传递机制计算设备聚类系数的流程图；

图6示出设备聚类系数计算过程中消息传递的实例；

图7示出根据设备聚类系数区分正常设备与非认证设备的实例；

图8示出非认证设备和正常设备省市分布区域对比实例；

图9示出本申请实施例的风险识别装置的方框图；

图10示出非认证设备处理模块的方框图；

图11示出计算设备聚类系数的分布计算***架构图；

图12示出本申请实施例的风险防控***的方框图。

具体实施方式

在下面的描述中阐述了很多具体细节以便于充分理解本申请。但是本申请能够以很多不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本申请内涵的情况下做类似推广，因此本申请不受下面公开的具体实施例的限制。

为了便于理解本申请实施例中提及的技术方案，下面先对本申请中涉及的若干术语进行简要的说明。

媒介：用户在互联网中使用功能齐全的多媒体设备，包括台式机、笔记本、平板电脑、手机等。

MAC地址(Medium Access Control，物理地址)：用来表示互联网上每一个设备的标识符，目前的标准是采用十六进制数表示，共六个字节。

IMEI(International Mobile Equipment Identity，国际移动设备识别码)：手机设备的唯一识别号码，由15位数字组成，可用于辨识不同的手机。

设备码：或称设备标识码，为MAC地址和IMEI等的统称，一个标准的设备码对应一个设备，每一个正常设备的标识码可以经过官方或第三方权威机构的认证。

非认证设备：无法通过设备标识码认证的设备，山寨设备就是一类典型的非认证设备。山寨设备通常指嫌疑盗版、伪造或模仿知名品牌设备的功能和样式生产的设备。山寨设备的IMEI码和MAC地址通常是伪造的，一个设备码可能会对应上千台设备，因而也无法通过认证。

媒介网络：一种基于图的网络拓扑结构来描述用户账号与操作设备的关联关系。在媒介网络中，用网络中的用户账号来标识一个用户，用设备标识码来标识一个设备。本申请中，用户和设备都可以表示为图的顶点(简称用户节点和设备节点)，用户和设备的关联关系为图的边，整个图可以表达为一个矩阵。当然也可用其它方式来描述媒介网络的网络图，不再赘述。

BSP(Bulk Synchronous Parallel)模型：以图顶点为中心的消息传递批处理的并行引擎，主要是基于所实现的并行图处理的软件包。BSP是由哈佛大学Viliant和牛津大学Bill McColl提出的并行计算模型。一个BSP模型由大量相互关联的处理器(processor)所组成，它们之间形成了一个通信网络。每个处理器都有快速的本地内存和不同的计算线程。一次BSP计算过程由一系列全局超步组成，超步就是计算中一次迭代。其中，每个超步主要包括三个组件：并发计算(Concurrent computation)，每个参与的处理器都有自身的计算任务，它们只读取存储在本地内存的值，其中这些计算都是异步并且独立的；通讯(Communication)，处理器群相互交换数据，其交换的形式为由一方发起推送(put)和获取(get)操作；栅栏同步(Barrier synchronisation)，当一个处理器遇到路障时，会等到其他所有处理器完成它们的计算步骤，其中每一次同步也是一个超步的完成和下一个超步的开始。

BSP消息传递机制：顶点之间的通信是直接通过发送消息，每条消息都包含了消息值和目标顶点的名称，其中：消息值的数据类型是由用户通过Vertex类的模版参数来指定；在一个超步中，一个顶点可以发送任意多的消息；在该迭代器中并不保证消息的顺序，但是可以保证消息一定会被传送并且不会重复；消息可以传给任意标识符已知的顶点。

本发明申请人通过对某电子支付平台交易中的海量数据进行数据分析与数据挖掘，发现了以下客观事实，并据此提出有效的解决方案：

1、通过观察所有该电子支付平台账号在使用资金交易业务中的设备信息，发现网络犯罪者的行为通常具有固定的模式，尤其在网络交易的设备环境会具有聚集特点。独立地分析每一笔交易的交易环境可能会丢失网络犯罪者间潜在的聚集联系，而利用图结构来挖掘交易之间的联系是一种非常有效的方法。实际上，一笔网上资金交易通常会涉及交易双方以及双方使用的设备信息，如MAC、IMEI、IP、手机号等。且用户通常会在多个设备上进行交易，基于用户与设备的交互记录就可以建立媒介网络。而基于媒介网络就可以对用户和设备进行群组划分，由此对高发案件的账号和设备群组进行监控以遏制犯罪分子的行为。

在媒介网络中对设备关联的该电子支付平台账号数进行分析发现，大部分正常设备关联的账号是比较少的，即用户出于隐私考虑通常不会与其它人共用设备或是在他人的设备上使用该电子支付平台业务。而网络犯罪者则会盗取其它用户的账号，使得网络犯罪者使用的设备会与大量的账号发生关联。当一个设备关联的账号数比较多时，这个设备很大可能是有问题的，出现案件的可能性和风险系数会比其它设备高。因此根据设备连接的用户数，可以区分局部媒介网络的异常度，监控***就只需重点关注异常网络内的交易行为。

这样，可以通过构建该电子支付平台账号与媒介设备间的关系网络来挖掘高危的风险群组，由此对有风险的账号和网络设备进行监控。当一个正常账号尝试在有风险的设备环境或与高风险账号进行交易时，***能够马上制止交易和监管账号以保护用户的资金安全，以构建更安全的网络环境。可以理解的是，其它应用场景下的网络环境也可采用这种方式来识别风险群组。2、由于非认证设备具有相同的设备码，导致一个非认证设备尤其是山寨设备码往往会对应上千台设备，在媒介网络中该设备码也就会与上千个该电子支付平台账号发生关联，这与犯罪分子在设备上的聚集性具有相同的特点，即非认证设备也会具有聚集特征。而在对媒介网络进行群组划分时由于非认证设备的存在会把80％以上的用户和设备划分为同一个群组，导致无法高效地识别定位网络犯罪者所在的群组。

在媒介网络中，设备是由设备码标记的，通常一个设备码会与多个该电子支付平台账号关联，即多个用户“共用”一个设备。正常设备和非认证设备的主要区别在于：“共用”正常设备的用户群通常还会共用其它设备，即用户群在现实生活中真正存在交集，因此可划分为同一个群组；而“共用”非认证设备的用户几乎不会再共用其它设备，只是由于非认证设备码的原因将这些用户联系在一起了。这些非认证设备的存在，严重影响了聚集性风险团伙的发现，因为非认证设备会将大量现实中毫无交集的用户和设备联系在一起，导致出现上亿用户群组而无法区分正常群组和风险群组。

设备聚类系数是用来标识一个设备的用户共享系数，因此可以利用该系数来识别非认证设备。更为有效的方式是，基于设备聚类系数、IP、手机号等多个特征来识别非认证设备，并从媒介网络中予以剔除，以减小非认证设备对群组划分的影响，以更有效地发现定位真正有风险的群组。

3、随着移动互联网的迅速发展和非认证设备的快速膨胀，基于该电子支付平台账号与用户设备构建的媒介网络结构复杂，节点多样性，由此增加了分析挖掘的困难，同时庞大的数据量也已经超出了单台计算机的处理能力。目前，由于媒介网络庞大的数据量，上亿的用户节点和设备节点的关联关系已经成为了计算设备聚类系数的瓶颈。因此，在实际应用中采用BSP(Bulk Synchronous Parallel)消息传递模型来构建媒介网络以计算每个设备码的聚类系数，就有着十分现实的意义。

4、在一笔网上交易中，交易环境信息通常还包括用户使用的IP信息和手机号，而通过解析IP可以定位用户所在的省市区地理位置。一个用户的活跃范围和使用的手机号通常是比较固定的，因此对于一个正常设备而言，其活跃区域和关联的手机号也会相对趋于稳定。但由于非认证设备的设备码一样，导致虽然多个用户使用的不是同一个设备，但在媒介网络中该非认证设备对应的设备码却会与多个手机号发生关联，同时根据关联IP解析出来的活跃区域也比普通的正常设备更广。在实际的研究中发现，遍布区域最广的非认证设备覆盖了34个国内省级行政区和342个市级行政区；同时有部分非认证设备关联的手机号数超过了2万，这明显区别于正常设备关联的手机号数。

因此，根据设备关联的IP所对应的活跃区域(常用城市表示)和关联的手机号数可以区分非认证设备和正常设备，避免在媒介网络中由于非认证设备而将大量的用户和设备连接成为超大群组。

5、利用设备的异常度、聚类系数、活跃的省市区区域、关联的手机号数等特征就可以有效地区分非认证设备与正常设备。在媒介网络中，用户与非认证设备对应的设备码的连接可以认为是无效的，可暂时剔除这种连接(具体在判定设备是否是非认证设备时，需结合聚类系数和设备的案发情况等指标来进行判定，如果是发生过案件，则不会剔除这种连接)。

在过滤非认证设备后的媒介网络中，对媒介网络中的用户和设备进行群组划分，会发现发生过案件的设备具有聚集性，即其所在的群组的设备几乎都发生过案件，因此该群组内的账号和设备都具有较高的风险系数。因此，在实际的业务中，***就可以重点监控这些有风险的设备和账号群组，当正常账号尝试在这些风险环境中进行交易时可以马上拦截交易的进行。

为了识别隐藏在海量资金交易操作中的风险操作和风险群组，本申请人发明人基于发现的以上客观事实，提出了利用BSP架构的消息传递机制计算媒介设备的异常度(设备关联用户数)和聚类系数以筛选出有风险的媒介网络，基于媒介网络对该电子支付平台账号和媒介设备进行群组划分，从而识别出有潜在风险的用户群和网络设备的技术构思，其包括以下两个层面内容：

第一层面，基本技术构思是对媒介网络进行聚类分析，相应划分群组来识别风险。技术要点是：以图来描述网络环境中用户-设备关联关系的媒介网络；对媒介网络的设备节点进行聚类分析，得到以子图来描述具有相应聚类特征用户-设备关联关系的若干群组；对得到的群组进行风险评定，判断其否为风险群组。这样，基于媒介网络挖掘网络犯罪者在网络媒介设备上的聚集性和关联性，对有风险的账户和网络设备进行控制和防范，可以构建更安全的网络环境。

第二层面，改进的技术构思是在群组划分前识别并剔除非认证设备。技术要点是：采用BSP架构消息传递机制计算基于设备的聚类特征，同时利用设备关联的IP、手机号等特征剔除非认证设备带来的无效连接。在识别并剔除非认证设备后，可消除非认证设备的不利影响，防止因非认证设备的存在而严重影响聚集性风险团伙的发现。

上述技术构思来源于本申请发明人对某电子支付平台的海量数据进行数据分析与数据挖掘的结果，同时，本申请以下实施例也以该电子支付平台为例来进行阐述。但需要说明的是，本申请的技术方案并不仅仅局限于该电子支付平台。也就是说，本申请所指“交易”是一个广义的概念，其并不仅仅限于各种电子支付平台等存在资金和货物转移的商务行为，各种网络应用中用户与交易平台之间、不同用户之间进行的数据交换也都属于本申请“交易”的范畴，如社交网站的登陆事件就属于本申请所指的“交易”。

基于上述的技术构思，本申请构建了一种适应网络环境下的风险识别方法、装置及风险防控***的技术方案，其可以在复杂的媒介网络中对用户账号和媒介设备有效地进行群组划分，从而识别出有潜在风险的用户账号和网络设备。对这些风险群组中的用户与设备进行重点监控，有助于提高风险识别率，确保风险防控的有效性，以便构建更安全的网络环境。

为了进一步理解本申请的技术方案，下面结合附图与具体实施例来进行详细描述。

参见图1，示出本申请一个实施例的风险识别方法的流程图。该实施例基于设备发现团伙的聚集性，对媒介网络中账号和媒介设备的节点进行群组划分，由此来识别隐藏在海量资金操作中的风险操作和风险群组，以便构建更安全的网络环境，下面进一步详细描述。

如图1所示，该风险识别方法包括S110～S130等步骤，以下具体对各步骤进行详细说明。

S110、获取以图来描述网络中用户-设备关联关系的媒介网络。

在网络环境中，会涉及到海量的用户设备及其关联关系，通常这些用户会以用户账号来标识，设备会以设备识别码来标识。为方便起见，在下文中用户、用户账号、用户节点指向媒介网络的用户类节点对象，设备、设备标识码、设备节点指向媒介网络的设备类节点对象；这些概念在用于本申请所指的媒介网络表达相同概念，因而有时不做严格区分，请阅读时予以注意。

为了恰当地表达媒介网络中用户、设备以及用户与设备的关联关系，本申请将媒介网络用拓扑图形式的结构来表达，具体可以采用矩阵的形式来描述。其中用户、设备为图顶点，这些顶点作为矩阵的行和列；用户-设备关联关系为图的边，其作为矩阵中的元素，若某个用户关联到某设备，在矩阵中以“1”表示，否则以“0”表示，这样得到的矩阵就可以作为“源图”来进行处理。

图2为形成媒介网络的实例。在一笔用户资金交易中，资金流出方为甲方，资金流入方为乙方。这笔资金从甲方关联设备1(以IP1或手机号1表示)流向乙方关联设备2(以IP2或手机号2表示)的路径中，存在诸多设备节点和用户节点，这些节点之间存在较为复杂的关联关系，由此构成一个媒介网络，其中不同设备关联的用户数存在差异。基于这个媒介网络，可以通过分析其聚类特征来进行群组划分，进一步的细节如下所述。

S120、通过对媒介网络的设备节点进行聚类分析，将媒介网络划分为以子图来描述具有相应聚类特征用户-设备关联关系的若干群组。

此步骤S120通过对媒介网络进行聚类分析，来对媒介网络划分群组。实际上，媒介网络的图可以划分为若干子图，其中每个连通图可以作为一个群组来监控。即，通过对设备节点进行聚类分析，将媒介网络划分为以子图来描述具有相应聚类特征用户-设备关联关系的若干群组。按此方式划分出的这些群组若关联用户数较多或发生过案件，将被认定为风险群组予以重点监控。

值得注意的是，由于非认证设备(如山寨设备)的存在，往往导致媒介网络中节点很多，最终导致无法区分正常群组与风险群组。这需要进一步通过识别非认证设备并剔除相应连接关系来解决，其实质上是将图进一步划分为节点更少的子图，通过剔除无关联的用户节点、设备节点及它们之间的关联关系，使得群组内部的用户、设备及它们的关联关系简单化，由此避免出现超大群组。这样，针对每个群组来识别风险更为容易，可以减少出现风险识别失效的问题。

群组划分的意思是：比如A和B共用了设备M，B和C共用了设备C，则A、B、C以及设备M、N可划分为一个群组。有了群组划分，就可以根据群组里面的设备的异常度(即连接用户数)以及发生过案件的设备比率等指标来判定该群组是不是高发案件群组。

图3为进行媒介网络群组划分的实例。图3中，该媒介网络初始状态为一个较大的图；剔除非认证设备并进行群组划分之后，得到5个子图，每个子图中的用户节点和设备节点存在一定的关联关系，即每个子图也就是一个群组。针对这些群组来识别风险并进行监控，比监控整个媒介网络中各用户节点和设备节点更为有效。

值得注意的是，该图3中剔除了非认证设备，由此得到5个群组。如果不剔除该非认证设备，则整个媒介网络就是一个较大的群组。因此，为防止超大群组的出现，识别并剔除非认证设备将是一个比较重要的环节。关于如何识别非认证设备并剔除的详细描述，请参见后续部分更详细的描述内容。

S130、根据预设的风险评定规则，判断各群组是否为风险群组。

经上述聚类分析后，得到的群组需要根据预设好的风险评定规则进行评分，若评分超过设定的阈值，则认为其实高风险(潜在风险)群组，否则认为是正常群组。对于高风险群组的用户、设备及与这些用户和设备之间的交易需要重点进行防控，必要时进行拦截交易或冻结数据，防止用户产生财产或其它损失。

可以理解的是此步骤中的风险评定规则可以根据交易的性质预先设定，例如根据群组中设备的关联用户数和/或发生过案件的设备比率来判定该群组是否为风险群组，若关联用户数或发生过案件设备比率超过设定的预设的阈值，则认定该群组为高风险群组，否则认为其为正常群组。认定为风险群组之后，可以重点对该群组进行监控，如有该群组之外的正常用户与该风险群组中的用户或设备进行交易，则认为是风险交易，此时采取拦截交易等措施来避免正常用户的损失。

另外，风险规则并不是一成不变的。实际上，本申请的技术方案可以通过风险规则学习(智能识别)来更新风险规则，即根据接收的风险设定参数及历史交易信息，来形成相应的新的风险评定规则。之后，对划分出来的群组相应进行评分，以识别出群组是否为风险群组，不再赘述。

根据步骤S110～步骤S130对媒介网络进行聚类分析划分群组，并过滤出高风险群组之后，可以对这些高风险群组重点防控，对于其它正常群组的监控力度大大减小。相对于监控整个媒介网络中单个用户或设备而言，通过群组来识别风险的提升度大大增加，由此减轻了***处理压力，有利于更有效地防控网络环境中存在的风险。

如前文所述，上述实施例中由于非认证设备带来的影响，可能导致几乎所有的用户和设备都会聚集在一个群组里，这不利于识别真正的高风险群组。为此，有必要对媒介网络中的非认证设备进行识别，并根据该非认证设备的具体情况确定是否需要将该非认证设备过滤出该媒介网络。

本申请的以下较优实施例中可以进一步识别出非认证设备，并根据历史情况来确认需要剔除的非认证设备，在将需剔除的非认证设备从媒介网络中予以过滤之后，再按前述方法来对设备节点进行聚类分析，将剔除非认证设备之后的媒介网络划分具有相应聚类特征的若干群组，进一步描述如下。

参见图4，示出本申请另一实施例的风险识别方法的流程图。该实施例包括步骤S210～步骤S240，与图1所示实施例的区别在于加入了步骤S220来预先识别并剔除非认证设备，而步骤S210、S230、240与前一实施例的对应步骤相同，以下进行说明。

如图4所示，步骤S220用以对媒介网络中的非认证设备进行处理，以便避免后续群组划分步骤S230中出现超大群组。该步骤S220的优化流程如下：

S221、识别媒介网络中的非认证设备。

在获得步骤S210构建好的媒介网络数据之后，通过本步骤S221来识别非认证设备，避免在媒介网络中由于非认证设备而将大量的用户和设备连接成为超大群组，具体的识别方法分为两类：

其一，通过获取设备关联用户数(异常度)和设备聚类系数，来识别媒介网络中的非认证设备。通过设备聚类系数可以判断一个设备是不是一个非认证设备，这是因为一个非认证设备通常会与大量用户关联，但这些用户却很少同时关联其它设备，因此其聚类系数值会很小，据此可根据聚类系数的大小来确认非认证设备。关于计算聚类系数的方法，将在下文进一步阐述，此处先不展开。

其二，通过设备关联的IP所对应的活跃区域和关联的手机号数来区分非认证设备和正常设备。这是因为各个非认证设备的设备码一样，导致虽然多个用户使用的不是同一个设备，但在媒介网络中该非认证设备对应的设备码却会与多个手机号发生关联，同时根据关联IP解析出来的活跃区域也比普通的正常设备更广。

在实际实施过程中，将上述两方面的因素结合起来识别，有利于更准确地识别出非认证设备，识别效果也更精确更稳定。

S222、根据历史情况，确认需要剔除的非认证设备。

此步骤S222根据历史情况，确认需要剔除的非认证设备。在某些情况下，非认证设备也不应该剔除。例如，某个非认证设备曾发生过案件，若将其剔除，无疑会造成漏判。针对这种情形，需要进一步判断该非认证设备历史中是否发生案件；若是，将该非认证设备确认为需要剔除的非认证设备；若否，将该非认证设备确认为无需剔除的非认证设备。这样，有助于避免将发生过案件的非认证设备剔除后导致遗漏风险群组的问题。

S223、将需要剔除的非认证设备从媒介网络中予以过滤。

确认需要剔除的非认证设备之后，就可以暂时性地将其从媒介网络中过滤，然后进入步骤S230，通过对已过滤非认证设备媒介网络的设备节点进行聚类分析，将已过滤非认证设备媒介网络划分为以子图来描述具有相应聚类特征用户-设备关联关系的若干群组。

之后，在步骤S230对过滤后的网络进行聚类分析，获得相应的群组之后，即进入步骤S240，根据预设的风险评定规则，判断各群组是否为风险群组，具体请参见图1所示实施例，不再重复说明。

在图4实施例中，通过步骤220识别媒介网络中的非认证设备并予以剔除，可避免出现超级群组。如前述，在识别非认证设备时需要计算设备聚类系数。然而，媒介网络庞大的数据量，上亿的用户节点和设备节点的关联关系将成为计算设备聚类系数的瓶颈，为此需要采用合适的解决方案。

本申请采用BSP消息传递模型来构建媒介网络以计算每个设备码的聚类系数，阐述如下。图5为利用BSP消息传递机制计算设备聚类系数的流程图。该图5基于分布式计算***的BSP架构消息传递机制计算设备关联用户数和设备聚类系数，解决了单台计算机的计算瓶颈问题。

图5在利用BSP初始化媒介网络的过程中，采用下述流程：

通过执行step0将媒介网络的图初始化，其中将用户节点标记为起始节点，由起始节点来触发BSP消息传递机制。此后可执行相应的超步，其中每个超步中采用并发计算方式来提高效率。

先执行超步superstep0，起始节点将消息传递给下游节点。在这第一轮消息迭代过程中，只有用户节点会发送消息，消息中会包含该用户节点关联的其它设备。

再执行超步superstep1，判断设备节点是否收到消息并具有下游节点，若是，计算该设备节点的聚类系数，并输出设备节点的相关信息；若否，则该设备节点结束处理。在这第二轮消息迭代过程中，设备节点会根据消息中其所关联的用户使用的其它设备信息计算本节点的聚类系数，直至各设备节点处理完成为止。

图6为设备聚类系数计算过程中消息传递的实例。以下结合该实例，来对图5所示设备聚类系数计算过程进一步进行说明。在该图6中，a、b、c、d是起始节点，1、2、3是设备节点，在初始化图之后，将执行以下超步：

在第0个超步superstep0，用户节点会将关联的设备信息传递给下游设备节点。每个节点传递的消息如下：

节点a给设备1传递的消息内容为“[]”，即用户a没有关联其它设备；

节点b给设备节点1传递的消息内容为“[b:3]”，表示b关联了另一个设备3；同时节点b给设备节点3传递的消息内容为“[b:1]”，表示b关联了另一个设备1；

节点c同时关联了设备1、设备2、设备3，因此节点c分别给设备节点1、设备节点2、设备节点3传递的消息内容为：“[c:2,3]”、“[c:1,3]”、“[c:1,2]”；

节点d只关联了设备2，因此给设备节点2发送的消息内容为“[]”。

在第1个超步superstep1，设备节点1、2、3都会收到消息，根据消息内容即可计算该设备节点的聚类系数，计算方法如下：

γ = \frac{k}{C_{n}^{2}}

其中n表示与该设备关联的用户数，k表示除了本设备外这些用户群中有多少对用户使用了其它的相同设备。因此设备1、设备2、设备3的聚类系数为：

设备1，

γ = \frac{k}{C_{n}^{2}} = \frac{1}{3 \underset{2}{*} 2} = \frac{1}{3}

(设备1关联用户a、b、c，其中a和b共用设备3)

设备2，

γ = \frac{k}{C_{n}^{2}} = \frac{0}{\frac{2 + 1}{2}} = 0

(设备2关联用户c、d，但c和无其它共用设备)

设备3，

γ = \frac{k}{C_{n}^{2}} = \frac{1}{\frac{2 + 1}{2}} = 1

(设备3关联用户b、c，其中b和c共用设备1)

得到上述设备节点的聚类系数k和γ后，就可以选择合适的阈值来区分非认证设备与正常设备。对于用户与非认证设备码的连接，即认为是无效的连接，可暂时剔除。

图7为根据设备聚类系数区分正常设备与非认证设备的实例。其中，非认证设备关联了4个账号，其聚类系数k＝0，γ＝0；而正常设备“1”的关联了3个账号，其聚类系数k＝1，发生过案件的设备“2”关联了5个账号，其聚类系数为k＝2，因此，同时结合设备关联的用户数和聚类系数两个特征，就可以更精准地定位风险群组。

根据图5的计算方法，各设备节点输出相关计算结果信息，通常包括设备关联用户数和设备聚类系数，这些指标可以较好地区分非认证设备。除此之外，还可以根据设备关联的IP所对应的城市区域和关联的手机号数也可以区分非认证设备和正常设备。

图8示出非认证设备和正常设备省市分布区域对比实例。可以看出：正常设备的活跃区域和关联的手机号也会相对趋于稳定；而非认证设备会与多个手机号发生关联，同时根据关联IP解析出来的活跃区域也比普通的正常设备更广。因此，根据设备的活跃区域和关联的手机号可以进一步判断设备是否为非认证设备。

综上所述，利用设备的异常度(关联用户数)、聚类系数、活跃的省市区域、关联的手机号数等特征可以有效地区分非认证设备与正常设备。在媒介网络中，用户与非认证设备对应的设备码的连接可以认为是无效的，可暂时剔除这种连接。这样，在对媒介网络进行群组划分时，消除了非认证设备的干扰，可以避免在媒介网络中由于非认证设备而将大量的用户和设备连接成为超大群组。

这样，通过上述方式识别非认证设备并过滤后，再进一步对媒介网络进行群组划分，之后根据设备的关联用户数、发生过案件的设备比率来判定该群组是否为风险群组，以便对风险群组中的用户和设备节点进行重点监控，当正常账号尝试在这些风险环境中进行时可以马上拦截的进行，这有助于构建更安全的网络环境。

以上对网络的风险识别方法(以下简称方法)进行了详细描述。在此基础上，本申请还相应地提供一种网络的风险识别装置(以下简称装置)，以下进行详细的描述。

顺便指出的是，本实施例装置中如有描述不尽之处，请参见前文方法部分的描述内容；同样地，前述方法部分中如涉及到装置的结构，也可以引见以下的描述内容。

参见图9，示出本申请实施例的风险识别装置的方框图。该装置100采用BSP架构消息传递机制计算基于设备的聚类特征，同时利用设备关联的IP、手机号等特征剔除非认证设备带来的无效连接，因而可以在复杂的媒介网络中对用户和设备进行群组划分，从而识别出有潜在风险的用户和设备。

如图9所示，该装置100由媒介网络构建模块110、聚类群组划分模块130、风险群组判定模块140等部分组成，以下对各部分进行说明。

媒介网络构建模块110，可以获取以图来描述网络中用户-设备关联关系的媒介网络。通常，媒介网络是以用户账号来标识用户，以设备识别码来标识设备的。该媒介网络构建模块110对表示媒介网络的图初始化之后，即可用来识别非认证设备，之后再进行群组划分。

非认证设备处理模块120，可以用于识别媒介网络中的非认证设备，并请其从媒介网络中剔除，从而避免出现超大模组。如图10示出的非认证设备处理模块120的方框图，非认证设备处理模块120具体由非认证设备判定单元121、非认证设备过滤单元122等部分组成，其中：非认证设备判定单元121用于识别媒介网络中的非认证设备，并根据历史情况来确认需要剔除的非认证设备；非认证设备过滤单元122用于将需要剔除的非认证设备从媒介网络中予以过滤，以便消除因非认证设备导致出现超大群组的问题。

聚类群组划分单元130，可以对已过滤非认证设备媒介网络的设备节点进行聚类分析，将已过滤非认证设备媒介网络划分为以子图来描述具有相应聚类特征用户-设备关联关系的若干群组。识别出的这些群组若关联用户数较多或发生过案件，将被认定为风险群组予以重点监控。可以理解的是，若没有过滤非认证设备，则针对的是整个媒介网络来进行群组划分，不再赘述。

风险群组判定模块140，可以根据预设的风险评定规则，判断各群组是否为风险群组。具体地，是根据群组中设备的关联用户数和/或发生过案件的设备比率来判定该群组是否为风险群组，若设备的关联用户数过大或发生过案件，则认为该群组为高风险群组，此时需要对该风险群组中的用户和设备进行重点监控。在正常用户视图与该风险群组中的用户或设备进行时，及时对进行拦截。

上述装置100设置有非认证设备处理模块120，其中的非认证设备判定单元121是一个比较重要的单元，其可以通过获取设备关联用户数和设备聚类系数，来识别媒介网络中的非认证设备的。此处，计算聚类系数的目的是为了区分设备节点是不是一个非认证设备。通常一个非认证设备会与大量用户关联，但这些用户却很少同时关联其它设备，因此其聚类系数值会很小。

为了计算各设备聚类系数，该非认证设备判定单元121在架构上分布式计算***，其通过BSP架构消息传递机制计算设备关联用户数和设备聚类系数，这样可以克服单台计算机的计算能力瓶颈问题。

图11示出的计算设备聚类系数的分布计算***架构图中，分布式计算***具有主控服务器和若干工作服务器，其中主服务器用来调度工作服务器，而不参加超步(迭代)计算；各工作服务器则可并发地执行超步计算，且超步之间独立进行。

所述的主控服务器，用于初始化媒介网络，其中将媒介网络中的用户节点标记为初始节点，以便触发BSP消息传递机制。

所述的工作服务器，用于独立地执行超步，以便计算各设备的聚类系数，具体工作过程如下：

超步superstep0：各用户节点发送消息，其中包括发送消息的用户节点信息以及该用户节点关联的其它设备信息，具体的消息结构参见前文，也可根据需要调整；

超步superstep1：在设备节点收到消息时，计算该设备节点的设备关联用户数和设备聚类系数，否则结束该设备节点的处理；

输出设备节点相关计算结果信息至主控服务器，相关计算结果信息中包括设备关联用户数和设备聚类系数，这两个指标用来识别非认证设备，识别稳定性较好。

此外，上述非认证设备判定单元121还可以通过获取设备关联IP对应的活跃区域和设备关联手机号数，来进一步识别媒介网络中的非认证设备。这是由于正常设备其活跃区域和关联的手机号相对趋于稳定，而非认证设备会与多个手机号发生关联，同时根据关联IP解析出来的活跃区域更广的缘故。

因此，本实施例中综和利用设备的异常度(关联用户数)、聚类系数、活跃的省市区域、关联的手机号数等特征来区分非认证设备与正常设备，识别非认证设备的效果也更稳定更突出。在识别出非认证设备之后，该非认证设备判定单元121还可以根据非认证设备历史中是否发生案件来确定过滤的策略；若是，将该非认证设备确认为需要剔除的非认证设备；若否，将该非认证设备确认为无需剔除的非认证设备。这样剔除媒介网络中的非认证设备之后，可以避免在媒介网络中由于非认证设备而将大量的用户和设备连接成为超大群组，由此保证在复杂媒介网络中区分出正常群组和风险群组。

上述装置100基于网络设备媒介挖掘风险团伙潜在的聚集行为，在不考虑用户与设备关联关系的动态变化对模型自适应和预测能力的影响的前提下，通过构造媒介网络来表示账号与网络设备的操作关系，并利用局部网络的聚类特征对用户和设备群组进行划分，从中筛选出有潜在风险的用户和网络设备，可对高风险群体进行实时、有效的防范和监控。

以上对本申请网络的风险识别装置进行了描述，其具有较好的风险识别区分能力，且风险识别稳定性较好。在此基础上，本申请相应构建网络的风险防控***(以下简称***)，以下进行简要进行描述。

参见图12，为本申请实施例的风险防控***。该***具有风险识别装置100、风险处理装置200、风险数据库300及风险学习装置400，各部分协同工作，达到实时监控网络风险的目的，进一步说明如下。

风险识别装置100，其具体的结构及功能请参见前文，其可以用于识别媒介网络中的风险群组，该风险群组中的相应用户及设备的信息可推送给风险处理装置200。

风险处理装置200，用于实时监控风险群组中的用户及设备，在正常用户尝试与该风险群组中的用户及设备进行时，拦截及冻结相应数据。

风险数据库300，用于存放风险处理装置200拦截及冻结的相应数据，以便风险处理装置200进行核查及向风险识别装置100提供历史信息。

风险学习装置400，可以根据接收的风险设定参数及历史信息，形成相应的新的风险评定规则。

该***100通过采用BSP架构消息传递机制计算基于设备的聚类特征，同时利用设备关联的IP、手机号等特征剔除非认证设备带来的无效连接，在复杂的媒介网络中对和设备进行群组划分，从而识别有潜在风险的网络用户和设备，可以有效地防控网络风险，有利于构建更为安全的网络环境。

本申请的上述技术方案可使用基于分布式计算平台的Hive SQL以及图计算Graph架构来实现，对软件和硬件没有特殊的要求，适应性较广，具有较好的市场前景。

本申请虽然以较佳实施例公开如上，但其并不是用来限定本申请，任何本领域技术人员在不脱离本申请的精神和范围内，都可以做出可能的变动和修改，因此本申请的保护范围应当以本申请权利要求所界定的范围为准。

在一个典型的配置中，计算设备包括一个或多个处理模块(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储模块，随机存取存储模块(RAM)和/或非易失性内存等形式，如只读存储模块(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

1、计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何***或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储模块(SRAM)、动态随机存取存储模块(DRAM)、其他类型的随机存取存储模块(RAM)、只读存储模块(ROM)、电可擦除可编程只读存储模块(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储模块(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括非暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

2、本领域技术人员应明白，本申请的实施例可提供为***、***或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储模块、CD-ROM、光学存储模块等)上实施的计算机程序产品的形式。

Claims

1.一种风险识别方法，其特征在于，包括：

通过对媒介网络的设备节点进行聚类分析，将媒介网络划分为以子图来描述具有相应聚类特征用户-设备关联关系的至少一个群组；

根据预设的风险评定规则，判断各群组是否为风险群组。

2.如权利要求1所述的方法，其特征在于，所述根据预设的风险评定规则，判断各群组是否为风险群组步骤中，根据群组中设备的关联用户数和/或发生过案件的设备比率来判定该群组是否为风险群组。

3.如权利要求1所述的方法，其特征在于，所述提取描述媒介网络拓扑结构的网络图步骤之后，所述通过对媒介网络的设备节点进行聚类分析，将媒介网络划分为以子图来描述具有相应聚类特征用户-设备关联关系的若干群组步骤之前，包括:

识别媒介网络中的非认证设备；

根据历史交易情况，确认需要剔除的非认证设备；

将需要剔除的非认证设备从媒介网络中予以过滤。

4.如权利要求3所述的方法，其特征在于，所述识别媒介网络中的非认证设备步骤中，包括：

获取设备关联用户数和设备聚类系数；

5.如权利要求4所述的方法，其特征在于，所述获取设备关联用户数和设备聚类系数步骤中，基于分布式计算***的BSP架构消息传递机制计算设备关联用户数和设备聚类系数。

6.如权利要求5所述的方法，其特征在于，所述基于分布式计算***的BSP架构消息传递机制计算设备关联用户数和设备聚类系数步骤中，包括：

7.如权利要求4所述的方法，其特征在于，所述根据设备关联用户数和设备聚类系数，来识别媒介网络中的非认证设备之后，包括：

获取设备关联IP对应的活跃区域和设备关联手机号数；

8.如权利要求3所述的方法，其特征在于，所述根据历史交易情况，确认需要剔除的非认证设备步骤中，包括：

判断该非认证设备历史交易中是否发生案件；

若是，将该非认证设备确认为需要剔除的非认证设备；

若否，将该非认证设备确认为无需剔除的非认证设备。

9.如权利要求1-8任所述的方法，其特征在于，所述获取描述媒介网络拓扑结构的网络图步骤中，以用户账号来标识用户，以设备识别码来标识设备。

10.一种风险识别装置，其特征在于，包括：

11.如权利要求10所述的装置，其特征在于，所述风险群组判定模块，根据群组中设备的关联用户数和/或发生过案件的设备比率来判定该群组是否为风险群组。

12.如权利要求10所述的装置，其特征在于，包括非认证设备处理模块，所述非认证设备处理模块具有：

非认证设备过滤单元，用于将需要剔除的非认证设备从媒介网络中予以过滤。

13.如权利要求12所述的装置，其特征在于，所述非认证设备判定单元获取设备关联用户数和设备聚类系数，来识别媒介网络中的非认证设备。

14.如权利要求13所述的装置，其特征在于，所述非认证设备判定单元分布式计算***，其通过BSP架构消息传递机制计算设备关联用户数和设备聚类系数。

15.如权利要求14所述的装置，其特征在于，所述分布式计算***具有：

16.如权利要求13所述的装置，其特征在于，所述非认证设备判定单元获取设备关联IP对应的活跃区域和设备关联手机号数，来进一步识别媒介网络中的非认证设备。

17.如权利要求12所述的装置，其特征在于，所述非认证设备判定单元判断该非认证设备历史交易中是否发生案件；若是，将该非认证设备确认为需要剔除的非认证设备；若否，将该非认证设备确认为无需剔除的非认证设备。

18.如权利要求10-17任一项所述的装置，其特征在于，所述媒介网络构建模块以用户账号来标识用户，以设备识别码来标识设备。

19.一种网络交易的风险防控***，其特征在于，包括：

如权利要求10～18任一项所述的风险识别装置，用于识别媒介网络中的风险群组，该风险群组中的相应用户及设备的信息可推送给所述风险处理装置；

20.如权利要求19所述的***，其特征在于，包括风险学习装置，根据接收的风险设定参数及历史交易信息，形成相应的新的风险评定规则。