CN109726239A - 一种对取证数据进行分析的方法、装置及可读存储介质 - Google Patents

Abstract

本发明公开了一种对取证数据进行分析的方法，包括如下步骤：S1：对取证数据通过ETL技术抽取以数据库方式存储的数据，通过python脚本抽取以文件方式存储的数据得出内容型数据，对文本内容中的数据通过正则表达式引擎或特征匹配引擎进行提取得出内容型数据；S2：对内容型数据进行有效性校验、归一化处理；S3：建立双向LSTM模型对归一化处理后的内容型数据进行处理得到最终的输出结果，根据最终的输出结果判断取证数据是否属于交易数据。根据不同的数据类型采用不同的技术手段进行数据提取，因此可以提高数据提取的准确度。并利用双向LSTM模型对取证数据进行分析判断，有效提高数据的识别率。

Description

一种对取证数据进行分析的方法、装置及可读存储介质

技术领域

本发明涉及手机取证领域，具体涉及一种对取证数据进行分析的方法、装置及可读存储介质。

背景技术

近年来，我国经济领域的违法犯罪行为的案发率和涉案金额有了很大幅度的增加，经济违法犯罪行为己经成为社会普遍关注的问题之一。这类违法活动呈现以下几个特点：1、越来越智能化、专业化和隐蔽化；2、涉案领域广泛且案情复杂；3、新型高智能违法类型大量涌现，如互联网金融行业犯罪集中爆发。如何快速、完整、准确地提取涉嫌人员手机中的数据，并对其进行有效分析取证成为是否能治理这类违法活动的工作重点。

由于该类群体的违法活动越来越隐蔽，如以集资、发行股票、众筹等各种名义从事违法活动，而且通过第三方电子平台等手段进行交易往来，通过传统手段提取的违法团伙的数据，难以满足实际需求。现有的技术包含以下不足：

1、完整性不足：完全依赖于已知模板来提取取证数据，遇到新格式或未知格式的数据就无法提取相应的交易数据；

2、准确性不高：无法自动识别币种、金额或交易类型等的关键要素，导致提取的数据准确性不高。

因此，提出一种对取证数据进行分析的方法对手机取证的数据进行分析，以快速、完整、准确地获取有效的***相关的数据，以及时调查取证得到预警，帮助取证人员快速定位和深挖幕后组织者和经营者。

发明内容

针对以上所述的手机取证数据完整性不足、准确度不高等问题，本发明提出了一种对取证数据进行分析的方法，包括如下步骤：

S1：对取证数据通过ETL技术抽取以数据库方式存储的数据，通过python脚本抽取以文件方式存储的数据得出内容型数据，对文本内容中的数据通过正则表达式引擎或特征匹配引擎进行提取得出内容型数据；根据不同的数据类型采用不同的技术手段进行数据提取，因此可以提高数据提取的准确度。

S2：对内容型数据进行有效性校验、归一化处理；进一步对提取的内容型数据进行处理，得到有效的数据。

S3：建立双向LSTM模型对归一化处理后的内容型数据进行处理得到最终的输出结果，根据最终的输出结果判断取证数据是否属于交易数据。

进一步地，步骤S1中的正则表达式引擎包括DFA引擎、传统型NFA引擎、POSIX NFA引擎。利用正则表达式通过事先定义好的一些特定字符、及这些特定字符的组合对字符串进行过滤，具有非常强的灵活性、逻辑性和功能性。

进一步地，步骤S1中的特征匹配引擎包括NPL引擎，用以对文本内容中的数据进行提取、智能分词，并通过建立特征模板进行匹配得到内容型数据。特征匹配引擎运行效率高，准确度高。

更进一步地，步骤S2中的有效性校验包括通过正则表达式对内容型数据的属性进行校验。通过正则表达式进行有效性验证简单方便、高效便捷。

更进一步地，内容型数据的属性包括姓名、身份证号、银行名称、银行卡类型、银行***、交易对象、交易来源、交易***、交易类型、交易时间、交易金额、币种、用途、交易余额。根据这些内容型数据的属性获取相对应的内容型数据。所有内容型数据包括短信、公众号消息、第三方支付信息和通联内容等的数据。

更进一步地，步骤S2中的归一化处理包括标准化处理、属性值转换，标准化处理包括将内容型数据中的交易金额和币种通过汇率转换成统一的货币格式，属性值转换包括建立属性库，并将内容型数据中的交易时间、银行卡类型、银行属地、交易类型根据属性库规则转换成统一的格式。经过归一化处理后的内容型数据具有统一的格式，便于进一步的分析处理判断。

更进一步地，步骤S3中的双向LSTM模型包括输入层、隐含层、输出层，隐含层包括Forward层和Backward层。

更进一步地，将归一化处理后的内容型数据作为输入层的输入数据，在Forward层从1时刻到t时刻正向计算一遍，得到并保存每个时刻向前隐含层的输出，在Backward层沿着时刻t到时刻1反向计算一遍，得到并保存每个时刻向后隐含层的输出。通过双向LSTM匹配算法由前面若干输入和后面若干输入共同决定，使得最终的输出结果更加准确。

更进一步地，Forward层的参数集合包括内容型数据中的消息来源、交易主体、交易时间、交易对象、交易类型、交易金额，产生6个共享权值ω1-ω6，Backward层的参数集合包括所述内容型数据中的消息来源、交易余额、交易金额、交易类型、交易时间、交易对象，产生6个共享权值ω1-ω6。并且可以为网络提供额外的上下文，并导致更快，甚至更充分的学习问题。

更进一步地，在每个时刻结合Forward层和Backward层的相应时刻输出的结果得到最终的输出结果：

h_t＝f(ω₁x_t+ω₂h_t-1)

h′_t＝f(ω₃x_t+ω₅h′_t+1)

o_t＝g(ω₄h_t+ω₆h′_t)

其中，h_t为t时刻Forward层的输出值，h_t’为t时刻Backward层的输出值，x_t为输入值，o_t为最终的输出结果。

更进一步地，若最终的输出结果大于一定的阈值，则判断取证数据属于交易数据。

还提出了一种对取证数据进行分析的装置，包括：

数据提取模块，用以对取证数据通过ETL技术抽取以数据库方式存储的数据，通过python脚本抽取以文件方式存储的数据得出内容型数据，对文本内容中的数据通过正则表达式引擎或特征匹配引擎进行提取得出内容型数据；

数据处理模块，用以对内容型数据进行有效性校验、归一化处理；

数据分析模块，用以建立双向LSTM模型对归一化处理后的内容型数据进行处理得到最终的输出结果，根据最终的输出结果判断取证数据是否属于交易数据。

还提出了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述任意一项所述的方法。

本发明提出一种对取证数据进行分析的方法及装置，根据手机上不同类型的数据进行提取。通过ETL技术抽取以数据库方式存储的数据，通过python脚本抽取以文件方式存储的数据得出内容型数据，对文本内容中的数据通过正则表达式引擎或特征匹配引擎进行提取得出内容型数据，因此可以有效提高数据提取的有效性、完整性和准确性。并且利用双向LSTM匹配算法提高取证数据的识别率，通过分析数据特征实现自动提取内容型数据，及时预警，帮助取证人员快速定位和深挖幕后组织者和经营者、调查取证。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明的实施例的对取证数据进行分析的方法的流程示意图；

图2为本发明的实施例的对取证数据进行分析的方法的双向LSTM模型的示意图；

图3为本发明的实施例的对取证数据进行分析的装置的示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

取证数据主要存在于特定应用和文本内容两大类数据源中，主要包括短信、公众号消息、第三方支付信息和通联内容等的内容型数据，主要包括以数据库方式或文件方式存储的数据，例如手机APP，其次就是文本内容中的数据，包括短信、第三方支付信息。在优选的实施例中，内容型数据的属性包括姓名、身份证号、银行名称、银行卡类型、银行***、交易对象、交易来源、交易***、交易类型、交易时间、交易金额、币种、用途、交易余额。根据这些内容型数据的属性获取相对应的内容型数据。在其他实施例中，也可以选择其他的内容型数据的属性，以满足各种数据的获取需求。

本发明公开了一种对取证数据进行分析的方法，如图1所示，包括如下步骤：

S1：对取证数据通过ETL技术抽取以数据库方式存储的数据，通过python脚本抽取以文件方式存储的数据得出内容型数据，对文本内容中的数据通过正则表达式引擎或特征匹配引擎进行提取得出内容型数据；在优选的实施例中，正则表达式引擎包括DFA引擎、传统型NFA引擎、POSIX NFA引擎。特征匹配引擎包括NPL引擎，用以对文本内容中的数据进行提取、智能分词，并通过建立特征模板进行匹配得到内容型数据。如优先从银行通知短信、支付应用公众号推送信息比较可能出现经济行为信息的内容提取银行名称等信息。利用正则表达式通过事先定义好的一些特定字符、及这些特定字符的组合对字符串进行过滤，具有非常强的灵活性、逻辑性和功能性。NPL引擎运行效率高，准确度高。根据不同的数据类型采用不同的技术手段进行数据提取，因此可以提高数据提取的准确度。在其他可选的实施例中，也可以选择其他的技术手段的以数据库方式或文件方式存储的数据进行提取，并不限制于ETL技术或python脚本技术进行抽取。

S2：对内容型数据进行有效性校验、归一化处理；进一步对提取的内容型数据进行处理，得到有效的数据。有效性校验包括通过正则表达式对内容型数据的属性进行校验。通过正则表达式进行有效性验证简单方便、高效便捷。在优选的实施例中主要针对交易***、交易金额、身份证号等属性的校验。例如根据交易***、身份证的位数来判断所提取的数据是否正确。

归一化处理包括标准化处理、属性值转换，标准化处理包括将内容型数据中的交易金额和币种通过汇率转换成统一的货币格式。在优选的实施例中，统一将币种转成人民币，金额保留小位点后二位等。属性值转换包括建立属性库，并将内容型数据中的交易时间、银行卡类型、银行属地、交易类型根据属性库规则转换成统一的格式。在优选的实施例中，交易时间按“YYYYMMDDHH24MMSS”进行处理保存；交易金额/币种构建人民币对所有币种的汇和率库，根据时间、币种、金额和汇率，自动换算成人民币对应的金额保存；交易类型根据交易类型对应的字典表保存。在其他可选的实施例中，也可以选择其他的归一化处理规则，根据实际要求规定进行限定。经过归一化处理后的内容型数据具有统一的格式，便于进一步的分析处理判断。本方法根据特定应用和文本内容两大类数据源的特征，分别应用不同的提取方法，并对最终提取的数据进行归一化处理，提高经济行为数据的准确性。

S3：建立双向LSTM模型对归一化处理后的内容型数据进行处理得到最终的输出结果，根据最终的输出结果判断取证数据是否属于交易数据。

双向LSTM模型包括输入层、隐含层、输出层，隐含层包括Forward层和Backward层。如图2所示，将归一化处理后的内容型数据作为输入层的输入数据，在Forward层从1时刻到t时刻正向计算一遍，得到并保存每个时刻向前隐含层的输出，在Backward层沿着时刻t到时刻1反向计算一遍，得到并保存每个时刻向后隐含层的输出。在优选的实施例中，Forward层的参数集合包括内容型数据中的消息来源、交易主体、交易时间、交易对象、交易类型、交易金额，产生6个共享权值ω1-ω6，Backward层的参数集合包括所述内容型数据中的消息来源、交易余额、交易金额、交易类型、交易时间、交易对象，产生6个共享权值ω1-ω6。在每个时刻结合Forward层和Backward层的相应时刻输出的结果得到最终的输出结果：

h_t＝f(ω₁x_t+ω₂h_t-1)

h′_t＝f(ω₃x_t+ω₅h′_t+1)

o_t＝g(ω₄h_t+ω₆h′_t)

其中，h_t为t时刻Forward层的输出值，h_t’为t时刻Backward层的输出值，x_t为输入值，o_t为最终的输出结果。

若最终的输出结果大于一定的阈值，则判断取证数据属于交易数据。在优选的实施例中，阈值取70％，若最终的输出结果大于70％，则判断取证数据属于交易数据。通过双向LSTM匹配算法由前面若干输入和后面若干输入共同决定，使得最终的输出结果更加准确，并且可以为网络提供额外的上下文，并导致更快，甚至更充分的学习问题。本发明利用双向LSTM模型自动识别手机取证中的数据特征，经测试能自动识别出手机取证中95％以上的数据；利用交易过程中的关键特征，提取数据的准确性，通过对比测试，比传统方法提取的准确性提升了近20％。

本发明还提出了一种对取证数据进行分析的装置，如图3所示，包括：

数据提取模块1，用以对取证数据通过ETL技术抽取以数据库方式存储的数据，通过python脚本抽取以文件方式存储的数据得出内容型数据，对文本内容中的数据通过正则表达式引擎或特征匹配引擎进行提取得出内容型数据；

数据处理模块2，用以对内容型数据进行有效性校验、归一化处理；

数据分析模块3，用以建立双向LSTM模型对归一化处理后的内容型数据进行处理得到最终的输出结果，根据最终的输出结果判断取证数据是否属于交易数据。

取证数据通过数据提取模块1对内容型数据进行提取，再经过数据处理模块2对提取的内容型数据进行处理，最后经过数据分析模块3进行分析判断取证数据是否为交易数据。

还提出了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述任意一项所述的方法。

本发明提出一种对取证数据进行分析的方法及装置，根据手机上不同类型的数据进行提取。通过ETL技术抽取以数据库方式存储的数据，通过python脚本抽取以文件方式存储的数据得出内容型数据，对文本内容中的数据通过正则表达式引擎或特征匹配引擎进行提取得出内容型数据，因此可以有效提高数据提取的有效性、完整性和准确性。并且对提取的数据进一步进行有效性验证和归一化处理。另外利用双向LSTM匹配算法提高取证数据的识别率，通过分析数据特征实现自动提取内容型数据，及时预警，帮助取证人员快速定位和深挖幕后组织者和经营者。

另外，本领域普通技术人员可以理解实现上述各实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，相应的程序可以存储于一计算机可读取存储介质中，所述的存储介质，如ROM/RAM、磁盘或光盘等。

显然，本领域技术人员在不偏离本发明的精神和范围的情况下可以做出对本发明的实施例的各种修改和改变。以该方式，如果这些修改和改变处于本发明的权利要求及其等同形式的范围内，则本发明还旨在涵盖这些修改和改变。词语“包括”不排除未在权利要求中列出的其它元件或步骤的存在。某些措施记载在相互不同的从属权利要求中的简单事实不表明这些措施的组合不能被用于获利。权利要求中的任何附图标记不应当被认为限制范围。

Claims (13)

1.一种对取证数据进行分析的方法，其特征在于，包括如下步骤：

S1：对取证数据通过ETL技术抽取以数据库方式存储的数据，通过python脚本抽取以文件方式存储的数据得出内容型数据，对文本内容中的数据通过正则表达式引擎或特征匹配引擎进行提取得出内容型数据；

S2：对所述内容型数据进行有效性校验、归一化处理；

S3：建立双向LSTM模型对所述归一化处理后的内容型数据进行处理得到最终的输出结果，根据所述最终的输出结果判断所述取证数据是否属于交易数据。

2.根据权利要求1所述的对取证数据进行分析的方法，其特征在于，所述步骤S1中的所述正则表达式引擎包括DFA引擎、传统型NFA引擎、POSIX NFA引擎。

3.根据权利要求1所述的对取证数据进行分析的方法，其特征在于，所述步骤S1中的所述特征匹配引擎包括NPL引擎，用以对所述文本内容中的数据进行提取、智能分词，并通过建立特征模板进行匹配得到所述内容型数据。

4.根据权利要求1所述的对取证数据进行分析的方法，其特征在于，所述步骤S2中的所述有效性校验包括通过正则表达式对所述内容型数据的属性进行校验。

5.根据权利要求4所述的对取证数据进行分析的方法，其特征在于，所述内容型数据的属性包括姓名、身份证号、银行名称、银行卡类型、银行***、交易对象、交易来源、交易***、交易类型、交易时间、交易金额、币种、用途、交易余额。

6.根据权利要求5所述的对取证数据进行分析的方法，其特征在于，所述步骤S2中的所述归一化处理包括标准化处理、属性值转换，所述标准化处理包括将所述内容型数据中的交易金额和币种通过汇率转换成统一的货币格式，所述属性值转换包括建立属性库，并将所述内容型数据中的交易时间、银行卡类型、银行属地、交易类型根据属性库规则转换成统一的格式。

7.根据权利要求1所述的对取证数据进行分析的方法，其特征在于，所述步骤S3中的所述双向LSTM模型包括输入层、隐含层、输出层，所述隐含层包括Forward层和Backward层。

8.根据权利要求7所述的对取证数据进行分析的方法，其特征在于，将所述归一化处理后的内容型数据作为所述输入层的输入数据，在所述Forward层从1时刻到t时刻正向计算一遍，得到并保存每个时刻向前隐含层的输出，在所述Backward层沿着时刻t到时刻1反向计算一遍，得到并保存每个时刻向后隐含层的输出。

9.根据权利要求7所述的对取证数据进行分析的方法，其特征在于，所述Forward层的参数集合包括所述内容型数据中的消息来源、交易主体、交易时间、交易对象、交易类型、交易金额，产生6个共享权值ω1-ω6，所述Backward层的参数集合包括所述内容型数据中的消息来源、交易余额、交易金额、交易类型、交易时间、交易对象，产生6个共享权值ω1-ω6。

10.根据权利要求8所述的对取证数据进行分析的方法，其特征在于，在每个时刻结合所述Forward层和Backward层的相应时刻输出的结果得到最终的输出结果：

h_t＝f(ω₁x_t+ω₂h_t-1)

h′_t＝f(ω₃x_t+ω₅h′_t+1)

o_t＝g(ω₄h_t+ω₆h′_t)

其中，h_t为t时刻所述Forward层的输出值，h_t’为t时刻所述Backward层的输出值，x_t为输入值，o_t为最终的输出结果。

11.根据权利要求7所述的对取证数据进行分析的方法，其特征在于，若所述最终的输出结果大于一定的阈值，则判断所述取证数据属于交易数据。

12.一种对取证数据进行分析的装置，其特征在于，包括：

数据提取模块，用以对取证数据通过ETL技术抽取以数据库方式存储的数据，通过python脚本抽取以文件方式存储的数据得出所述内容型数据，对文本内容中的数据通过正则表达式引擎或特征匹配引擎进行提取得出所述内容型数据；

数据处理模块，用以对所述内容型数据进行有效性校验、归一化处理；

数据分析模块，用以建立双向LSTM模型对所述归一化处理后的内容型数据进行处理得到最终的输出结果，根据所述最终的输出结果判断所述取证数据是否属于交易数据。

13.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现权利要求1-11中任意一项所述的方法。