CN110414987A - 账户集合的识别方法、装置和计算机*** - Google Patents

Abstract

本公开提供了一种账户集合的识别方法，包括：基于多个历史恶意账户的关键信息，构建第一知识图谱；基于所述第一知识图谱，确定每个历史恶意账户所属的账户集合信息；获取待识别账户的关键信息；基于所述第一知识图谱、每个历史恶意账户所属的账户集合信息、以及所述待识别账户的关键信息，构建第二知识图谱；以及，基于所述第二知识图谱，确定所述待识别账户所属的账户集合信息。本公开还提供了一种账户集合的识别装置和计算机***。

Description

账户集合的识别方法、装置和计算机***

技术领域

本公开涉及计算机技术领域，更具体地，涉及一种账户集合的识别方法、装置和计算机***。

背景技术

在互联网发展日趋多元化的今天，恶意交易行为以各种形式出现。例如，网络欺诈产业发展迅猛，骗保、盗刷、薅羊毛等诱骗用户资金、攫取金融公司优惠补贴的施诈手段层出不穷，且多呈环环相扣的产业链形式。客户在互联网环境中面对的威胁对手不再是各自为营的攻击者，更多的是分工明确、协同合作、深度隐蔽的恶意团伙。面对攻击手段多样化和攻击团队专业化、组织化的威胁形势，现有安全威胁发现能力迎来了新的挑战。发现进行交易行为的账户所属的账户团伙(即所谓“账户集合”)主要面临以下两点困难：

1)传统安全溯源手段多依赖于对已发生恶意交易事件的逆向溯源，通过人工排查的方式找出作案源头，无法完全覆盖恶意团伙内的全部个体(包括用户、账户、手机号等)，数据仍以离散形式存在，难于窥探团伙内的潜在联系。

2)对于发现的恶意交易行为的账户，往往通过添加黑名单的方式对其进行屏蔽监控，缺乏继续检测未知攻击、有价值的模式或规律等过程，无法从整个攻击链上进行主动式防御，防御智能性低。

发明内容

本公开的一个方面提供了一种账户集合的识别方法，包括：基于多个历史恶意账户的关键信息，构建第一知识图谱。基于第一知识图谱，确定每个历史恶意账户所属的账户集合信息。然后获取待识别账户的关键信息，并基于第一知识图谱、每个历史恶意账户所属的账户集合信息、以及待识别账户的关键信息，构建第二知识图谱。接着基于第二知识图谱，确定待识别账户所属的账户集合信息。

可选地，上述关键信息包括：属性信息和交易行为信息。上述基于多个历史恶意账户的关键信息，构建第一知识图谱包括：根据多个历史恶意账户的属性信息构建第一知识图谱中的多个节点，以使第一知识图谱中的一个节点表征一个历史恶意账户的属性信息。并且，根据多个历史恶意账户的交易行为信息构建第一知识图谱中节点之间的边，以使第一知识图谱中的一个边表征两个历史恶意账户之间的交易行为。

可选地，上述基于所述第一知识图谱、每个历史恶意账户所属的账户集合信息、以及待识别账户的关键信息，构建第二知识图谱包括：将任一历史恶意账户所属的账户集合信息添加至第一知识图谱中与任一历史恶意账户信息对应的节点的属性信息，得到更新的第一知识图谱。接着，根据待识别账户的属性信息在更新的第一知识图谱中增加节点，并根据待识别账户的交易行为信息在更新的第一知识图谱中增加边，得到第二知识图谱。其中，第二知识图谱中的一个节点表征一个历史恶意账户或一个待识别账户，第二知识图谱中的一个边表征两个历史恶意账户之间的、两个待识别账户之间的、或者一个历史恶意账户与一个待识别账户之间的交易行为。

可选地，上述基于第一知识图谱，确定每个历史恶意账户所属的账户集合信息包括：基于第一知识图谱，确定每个历史恶意账户的第一特征向量；接着通过对多个历史恶意账户的第一特征向量进行聚类处理，确定每个历史恶意账户所属的账户集合信息。

可选地，上述基于第二知识图谱，确定待识别账户所属的账户集合信息包括：基于第二知识图谱，确定每个历史恶意账户的第二特征向量和待识别账户的第三特征向量。然后通过利用多个历史恶意账户的第二特征向量进行监督学习，得到优化识别模型。接着将待识别账户的第三特征向量输入至优化识别模型，基于优化识别模型的输出确定待识别账户所属的账户集合信息。

可选地，上述基于优化识别模型的输出确定待识别账户所属的账户集合信息包括：确定待识别账户所属的账户集合信息为多个历史恶意账户所属的账户集合信息中的任意一个。或者，确定待识别账户所属的账户集合信息为善意账户集合信息。

可选地，上述基于第一知识图谱，确定每个历史恶意账户的第一特征向量包括：利用图表示学习算法将所述第一知识图谱转换为每个历史恶意账户的第一特征向量。附加地或备选地，上述基于第二知识图谱，确定每个历史恶意账户的第二特征向量和待识别账户的第三特征向量包括：利用图表示学习算法将所述第二知识图谱转换为每个历史恶意账户的第二特征向量和每个待识别账户的第三特征向量。

可选地，上述利用多个历史恶意账户的第二特征向量进行监督学习，得到优化识别模型包括：利用多个历史恶意账户的第二特征向量构建并优化梯度下降树模型，得到优化识别模型。

本公开的另一方面提供了一种账户集合的识别装置，包括：第一构建模块、账户集合划分模块、获取模块、第二构建模块以及识别模块。第一构建模块用于基于多个历史恶意账户的关联信息，构建第一知识图谱。账户集合划分模块用于基于所述第一知识图谱，确定每个历史恶意账户所属的账户集合信息。获取模块用于获取待识别账户的关键信息。第二构建模块用于基于所述第一知识图谱、每个历史恶意账户所属的账户集合信息、以及所述待识别账户的关键信息，构建第二知识图谱。以及，识别模块用于基于所述第二知识图谱，确定所述待识别账户所属的账户集合信息。

本公开的另一方面提供了一种计算机***，包括：存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时用于实现如上所述的方法。

本公开的另一方面提供了一种计算机可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

本公开的另一方面提供了一种计算机程序，所述计算机程序包括计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

根据本公开的实施例，利用知识图谱能够表达实体之间关联性的特点，基于表达历史恶意账户之间关联的第一知识图谱为历史恶意账户划分账户集合，再基于表达历史恶意账户、账户集合、以及待识别账户之间关联的第二知识图谱识别待识别账户所属的账户集合，能够识别出恶意账户所在的恶意团伙，进而关联性地对一个或多个恶意团伙发起的恶意交易行为进行防范。

附图说明

为了更完整地理解本公开及其优势，现在将参考结合附图的以下描述，其中：

图1示意性示出了根据本公开实施例的应用账户集合的识别方法和装置的示例性***架构；

图2示意性示出了根据本公开实施例的账户集合的识别方法的流程图；

图3示意性示出了根据本公开实施例的账户集合的识别***的架构图；

图4示意性示出了根据本公开实施例的账户集合的识别装置的框图；以及

图5示意性示出了根据本公开实施例的适于实现账户集合的识别方法的计算机***的框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的***”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的***等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的***”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的***等)。

本公开的实施例提供了一种账户集合的识别方法、装置以及计算机***。该方法包括第一构建过程、账户集合划分过程、获取过程、第二构建过程以及识别过程。在第一构建过程，基于多个历史恶意账户的关键信息构建第一知识图谱(Knowledge Graph)。然后进行账户集合划分过程，基于第一知识图谱确定每个历史恶意账户所属的账户集合信息，则多个历史恶意账户会被划分至一个或多个账户集合信息。接着在获取过程，获取待识别账户的关键信息，并基于第一知识图谱、每个历史恶意账户所属的账户集合信息、以及待识别账户的关键信息进行第二构建过程，构建得到第二知识图谱。最后在识别过程，基于第二知识图谱，确定待识别账户所属的账户集合信息。

图1示意性示出了根据本公开实施例的可以应用账户集合的识别方法和装置的示例性***架构100。需要注意的是，图1所示仅为可以应用本公开实施例的***架构的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、***、环境或场景。

如图1所示，根据该实施例的***架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

终端设备101、102、103上可以安装有各种客户端应用，例如银行类应用、购物类应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。终端设备101、102、103可以通过以上各种客户端应用与服务器105进行交互，以向服务器105发送各种请求或接收服务器105返回的结果。

终端设备101、102、103可以是各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器105可以是提供各种服务支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)反馈给终端设备。

需要说明的是，本公开实施例所提供的账户集合的识别方法一般可以由服务器105执行。相应地，本公开实施例所提供的账户集合的识别装置一般可以设置于服务器105中。本公开实施例所提供的账户集合的识别方法也可以由不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群执行。相应地，本公开实施例所提供的账户集合的识别装置也可以设置于不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群中。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实际需要，可以具有任意数目的终端设备、网络和服务器。

图2示意性示出了根据本公开实施例的账户集合的识别方法的流程图。

如图2所示，该方法可以包括以下操作S201～S205。

在操作S201，基于多个历史恶意账户的关键信息，构建第一知识图谱。

知识图谱本质上是语义网络(Semantic Network)的知识库，用于迅速描述物理世界中的概念及其相互关系。可以将知识图谱理解为一种基于图的数据结构，由节点和边组成，其中节点表示实体(Entity)，边表示节点之间的关系(Relation)。在本操作S201中，以账户为节点，账户之间的关系为边，基于多个历史恶意账户的关键信息构建第一知识图谱，该第一知识图谱能够描述各个历史恶意账户的关键信息以及各个历史恶意账户之间的关系。其中历史恶意账户是根据历史事件积累以及其他各方报告所确认的发起过恶意交易行为的账户，例如曾经发起过欺诈行为的账户、曾经发起过恶意转账行为的账户等。

在操作S202，基于第一知识图谱，确定每个历史恶意账户所属的账户集合信息。

第一知识图谱作为将不同历史恶意账户的关键信息连接在一起而形成的关系网络，提供了从历史恶意账户之间的关系的角度分析问题的能力。本操作S202基于第一知识图谱能够确定每个历史恶意账户所属的账户集合的相关信息。任一账户集合由一个或多个历史恶意账户构成，属于同一账户集合的历史恶意账户可以看作是同一团伙的恶意账户。本操作S202基于第一知识图谱能够获知潜在的账户集合，以便于后续识别待识别账户所属的账户集合。

在操作S203，获取待识别账户的关键信息。

其中，待识别账户是未知恶意还是善意、且未知其所属的账户集合的账户。本操作S203可以获取一个或多个待识别账户的关键信息。

在操作S204，基于第一知识图谱、每个历史恶意账户所属的账户集合信息、以及待识别账户的关键信息，构建第二知识图谱。

本操作S204中，在上述构建的第一知识图谱的基础上，加入操作S202所确定的各历史恶意账户所属的账户集合信息以及操作S203所获取的待识别账户的关键信息，可以进一步构建得到第二知识图谱。该第二知识图谱能够描述历史恶意账户的关键信息、待识别账户的关键信息、历史恶意账户之间的关系、待识别账户之间的关系、以及历史恶意账户与待识别账户之间的关系。

在操作S205，基于第二知识图谱，确定待识别账户所属的账户集合信息。

本操作S205中，基于操作S204所构建的第二知识图谱来确定待识别账户所属的账户集合信息，例如，当一个待识别账户是恶意账户时，基于本操作可以确定出该待识别账户所属的账户集合是上述操作S202所确定的历史恶意账户所属的账户集合之一，当一个待识别账户不是恶意账户时，基于本操作可以确定出该待识别账户所属的账户集合是善意账户集合。

本领域技术人员可以理解，图2所示的方法利用知识图谱能够表达实体之间关联性的特点，基于表达历史恶意账户之间关联的第一知识图谱为历史恶意账户划分账户集合，再基于表达历史恶意账户、账户集合、以及待识别账户之间关联的第二知识图谱识别待识别账户所属的账户集合，能够识别出恶意账户所在的恶意团伙，进而关联性地对一个或多个恶意团伙发起的恶意交易行为进行防范。

图3示意性示出了根据本公开实施例的账户集合的识别***的架构图。

如图3所示，账户集合的识别***300可以包括知识图谱构建子***301、账户集合识别子***302以及互联网应用数据仓库303。或者，账户集合的识别***300可以仅包括知识图谱构建子***301和账户集合识别子***302，该账户集合的识别***300可以与第三方提供的互联网应用数据仓库303进行交互，以执行根据本公开实施例的账户集合的识别方法。在其他实施例中，账户集合的识别***还可以根据需求划分成其他子***，在此不做限制。

示例性地，客户基于账户身份通过互联网应用进行交易行为，相应的账户基本信息和业务交易信息存储于互联网应用数据仓库303中。知识图谱构建子***301可以从互联网应用数据仓库303的原始信息表中获取历史恶意账户的关键信息，基于该历史恶意账户的关键信息依次执行上述第一构建过程和账户集合划分过程，获得第一知识图谱并确定各历史恶意账户所属的账户集合信息。然后知识图谱构建子***301还可以从互联网应用数据仓库303的原始信息表中获取待识别账户的关键信息，并基于上述第一知识图谱、历史恶意账户所属的账户集合信息以及待识别账户的关键信息，执行上述第二构建过程，获得第二知识图谱。账户集合识别子***302基于该第二知识图谱可以执行上述识别过程，确定待识别账户所属的账户集合信息。

在本公开的一个实施例中，每个历史恶意账户的关键信息可以包括该历史恶意账户的属性信息和该历史恶意账户的交易行为信息。在此基础上，上述基于多个历史恶意账户的关键信息，构建第一知识图谱的过程可以按照如下方式进行：根据多个历史恶意账户的属性信息构建所述第一知识图谱中的多个节点，以使第一知识图谱中的任意一个节点能够表征一个历史恶意账户。接着根据多个历史恶意账户的交易行为信息构建第一知识图谱中节点之间的边，以使第一知识图谱中的任意一个边能够表征两个历史恶意账户之间的交易行为。

例如，对于图3所示的账户集合的识别***来说，知识图谱构建子***301从互联网应用数据仓库303的原始信息表中提取历史恶意账户的关键信息，由于所提取的关键信息来自于一个或多个数据表，相同信息可能存在多种表示形式，如在表示同一地址信息时，会存在“XX路”、“XX街道”、“XX大道”等多种表示形式。因此，可以利用正则匹配算法、文本相似度算法等算法，对提取出的关键信息进行数据合并和格式统一的预处理，以消除因同义词、近义词或形式差异，形成数据形式统一且无冗余的历史恶意账户的关键信息。

本例中，示例性地将历史恶意账户的关键信息表示为以账户标识(如账户编号)为主键的账户元信息表，每个历史恶意账户的关键信息可表示如下：

1)账户标识：账户编号

2)属性信息：

a)基础信息：证件信息，开通协议信息，联系人信息

b)位置信息：开户地址，ATM取款位置，POS消费位置，

身份证归属地址，家庭住址，单位地址，收货地址

c)设备信息：手机设备号，MAC地址，IP地址

d)账户集合信息：账户集合标签

3)交易行为信息：转账交易对象，消费交易对象

其中，每个元信息均可以通过键值对的形式表示。本例中在属性信息中预留了账户集合信息的字段，对于原始提取到的历史恶意账户来说，其所属的账户集合是未知的，因此先设置账户集合标签的字段值为0，表示不存在。在后续确定相应历史恶意账户所属的账户集合后，再将该账户集合标签的字段值设置为相应的标签取值。

在获得上述历史恶意账户的关键信息之后，知识图谱构建子***301可以进行第一构建过程。知识图谱的基本单位为“实体-关系-实体”以及“实体-属性-属性值”构成的三元组。示例性地，从历史恶意账户的关键信息中可以提取账户属性三元组，如将账户元信息表中的基本信息、位置信息、设备信息、账户集合信息字段映射到“实体-属性-属性值”三元组，其中实体为账户编号，属性为相应属性信息对应的字段名，属性值为相应属性信息对应的字段值。然后还从历史恶意账户的关键信息中提取账户关系三元组，如将账户元信息表中的交易行为信息字段映射到“实体-关系-实体”三元组，其中第一个实体为账户编号，关系为交易行为，第二个实体为作为交易对象的账户编号。由上述账户属性三元组和账户关系三元组共同组成第一知识图谱。

在上述第一构建过程结束后，可以执行账户集合划分过程。在本公开的一个实施例中，上述基于第一知识图谱，确定每个历史恶意账户所属的账户集合信息可以包括：基于第一知识图谱，确定每个历史恶意账户的第一特征向量，接着通过对多个历史恶意账户的第一特征向量进行聚类处理，确定每个历史恶意账户所属的账户集合信息。

示例性地，上述基于所述第一知识图谱确定每个历史恶意账户的第一特征向量的过程可以按照如下方式进行：利用图表示学习算法(Graph Representation Learning)将第一知识图谱转换为每个历史恶意账户的第一特征向量。

例如，对于构建得到的第一知识图谱，可以利用Node2Vec算法将第一知识图谱中的账户实体映射到低维空间向量表示，得到各个历史恶意账户的第一特征向量。然后采用近邻传播聚类算法对生成的第一特征向量进行聚类，将多个第一特征向量划分至一个或多个账户集合中，每个账户集合具有其对应的账户集合标签。如当一个历史恶意账户为一个欺诈账户时，根据该欺诈账户的第一特征向量判断该欺诈账户所属的欺诈团伙，得到的账户集合标签即为所属的欺诈团伙的标签，可以利用该标签作为历史恶意账户的关键信息中账户集合标签字段的更新后的字段值，如该标签可以是大于等于1的正整数，不同的数值表示不同的欺诈团伙。

在完成账户集合划分过程后，可以执行获取过程。例如，图3所示的知识图谱构建子***301可以从互联网应用数据仓库303的原始信息表中提取待识别账户的关键信息。对于原始提取出的待识别账户的关键信息，可以执行数据合并和统一格式的预处理，然后得到数据格式统一且无冗余的待识别账户的关键信息。其中，预处理过程与上文对提取出的历史恶意账户的预处理过程原理相同，得到的待识别账户的关键信息与上文所示例的历史恶意账户的关键信息数据结构相同，在此不再赘述。需要说明的是，待识别账户的关键信息中的账户集合信息是未知的，可以将相应的字段值先置为0。

在本公开的一个实施例中，每个待识别账户的关键信息可以包括该待识别账户的属性信息和该待识别账户的交易行为信息。在此基础上，用于构建第二知识图谱的第二构建过程可以包括：将任一历史恶意账户所属的账户集合信息添加至第一知识图谱中与该任一历史恶意账户信息对应的节点的属性信息中，得到更新的第一知识图谱。然后，根据待识别账户的属性信息在更新的第一知识图谱中增加节点，并根据待识别账户的交易行为信息在更新的第一知识图谱中增加边，得到将待识别账户以及历史恶意账户关联起来的第二知识图谱。其中，第二知识图谱中的任意一个节点表征一个历史恶意账户或一个待识别账户，第二知识图谱中的任意一个边表征两个历史恶意账户之间的、两个待识别账户之间的、或者一个历史恶意账户与一个待识别账户之间的交易行为。

示例性地，在获得待识别账户的关键信息之后，知识图谱构建子***301可以进行第二构建过程。例如，首先根据上文确定的各历史恶意账户所属的账户集合信息对第一知识图谱进行更新，即在第一知识图谱的每个节点对应的属性信息中更新相应的账户集合标签的字段值，使得每个节点表征带有账户集合标签的账户。然后在更新的第一知识图谱的基础上，从待识别账户的关键信息中可以提取账户属性三元组，如将账户元信息表中的基本信息、位置信息、设备信息、账户集合信息字段映射到“实体-属性-属性值”三元组，其中实体为账户编号，属性为相应属性信息对应的字段名，属性值为相应属性信息对应的字段值。然后还从待识别账户的关键信息中提取账户关系三元组，如将账户元信息表中的交易行为信息字段映射到“实体-关系-实体”三元组，其中第一个实体为账户编号，关系为交易行为，第二个实体为作为交易对象的账户编号。由上述账户属性三元组和账户关系三元组对更新后的第一知识图谱的网络进行扩展，得到第二知识图谱。

在上述第二构建过程结束后，可以执行识别过程。在本公开的一个实施例中，上述基于所述第二知识图谱，确定所述待识别账户所属的账户集合信息可以按照如下方式进行：首先基于第二知识图谱，确定每个历史恶意账户的第二特征向量和每个待识别账户的第三特征向量。再通过利用多个历史恶意账户的第二特征向量进行监督学习，得到优化识别模型。接着将任一待识别账户的第三特征向量输入至该优化识别模型，基于所述优化识别模型的输出确定该待识别账户所属的账户集合信息。

上述识别过程中，基于所述第二知识图谱，确定每个历史恶意账户的第二特征向量和每个待识别账户的第三特征向量的过程可以示例性地包括：利用图表示学习算法将第二知识图谱转换为每个历史恶意账户的第二特征向量和每个待识别账户的第三特征向量。利用多个历史恶意账户的第二特征向量进行监督学习，得到优化识别模型的过程可以示例性地包括：利用多个历史恶意账户的第二特征向量构建并优化梯度下降树模型以得到优化识别模型，该优化识别模型的输出可以具有一个或多个类别，所述一个或多个类别与由上述账户集合划分过程所确定的一个或多个账户集合一一对应。

此外，上述识别过程中，基于优化识别模型的输出确定该待识别账户所属的账户集合信息的过程可以包括以下两种情况之一：1)确定该待识别账户所属的账户集合信息为在账户集合划分过程所确定的多个历史恶意账户所属的账户集合信息中的任意一个。例如，在将一个待识别账户的第三特征向量输入至该优化识别模型后，该优化识别模型输出多个类别的得分，将与得分最高的类别对应的账户集合信息作为该待识别账户所属的账户集合信息。2)确定该待识别账户所属的账户集合信息为善意账户集合信息。例如，在将一个待识别账户的第三特征向量输入至该优化识别模型后，该优化识别模型输出多个类别的得分，如果各类别的得分相同或均低于预定阈值，说明该待识别账户不属于任意一个已划分的账户集合，可以将其划分至善意账户集合。对于情况1)，可以确定该待识别账户是恶意账户，并且可以确定其所属的恶意账户集合，对于情况2)，可以确定该待识别账户是非恶意账户，因此将该账户划分至善意账户集合。在其他实施例中，当确定一个待识别账户所属的账户集合信息不是上述多个历史恶意账户所属的账户集合信息中的任意一个时(如优化识别模型)，也有可能该待识别账户是历史中未曾出现过的另一恶意团伙中的恶意账户，因此需要根据其他信息对该待识别账户进行单独识别。

例如，由图3中的账户集合识别子***302执行识别过程，在由第二构建过程构成的第二知识图谱上，利用Node2Vec算法将账户实体(可以包括历史恶意账户和待识别账户)映射到低维空间向量表示，得到第二特征向量和第三特征向量。利用第二特征向量构建并优化决策树，如采用梯度下降树算法(GBDT)对第三特征向量进行分类，判断待识别账户是否是已划分出的欺诈团伙中的成员，并将判别为欺诈账户的待识别账户传递给互联网应用数据仓库303，以进行历史恶意账户的补充更新和交易阻断。其中，梯度下降树算法是一种基于迭代所构造的决策树算法，通过生成多棵决策树，并将所有树的结果进行汇总来得到最终结果，每一棵树输入的是之前所有树输出之和与实际值的误差，这里的误差指预测值与真实值之间的差值。

根据本公开实施例的账户集合的识别方法，克服了现有技术中的不足，提供了一种基于知识图谱的账户集合挖掘方案。本方案不同于以往仅从单一维度进行恶意账户关联性分析，而是将知识图谱思想和机器学习算法结合，从账户、位置、设备、行为等维度广泛挖掘账户之间的关联性，实现多源数据融合建网，并利用算法智能识别出强关联的账户，从复杂的网络中梳理出隐藏的关系形成账户集合，打通数据联系，从而提供更有价值的决策支持。主要优势如下：

1)突破了单一欺诈分子分析的局限性，将看似无关联的账户通过知识图谱连接成网络，横向扩大异常分析的范围，纵向加深账户集合挖掘深度，从网络恶意交易产业链条中的一个环节入手，识别获取完整团伙信息，有助于进行更有针对性进行风险防护。

2)本发明可根据账户集合挖掘结果将各类型恶意账户典型特征逐一总结，支持支持动态调整、实时更新，有助于不断沉淀风险控制识别模型，降低对经验和人的依赖。

3)在风险控制领域中，本方案适用于多个存在业务风险的场景，如反欺诈、反洗钱、罪犯追踪等，凡是有关联的场景均可使用本方案进行账户集合分析检测，帮助快速找出恶意交易的线索和突破口。

图4示意性示出了根据本公开实施例的账户集合的识别装置的框图。

如图4所示，该账户集合的识别装置400包括：第一构建模块410、账户集合划分模块420、获取模块430、第二构建模块440以及识别模块450。

第一构建模块410用于基于多个历史恶意账户的关联信息，构建第一知识图谱。

账户集合划分模块420用于基于第一知识图谱，确定每个历史恶意账户所属的账户集合信息。

获取模块430用于获取待识别账户的关键信息。

第二构建模块440用于基于第一知识图谱、每个历史恶意账户所属的账户集合信息、以及每个待识别账户的关键信息，构建第二知识图谱。

识别模块450用于基于第二知识图谱，确定每个待识别账户所属的账户集合信息。

需要说明的是，装置部分实施例中各模块/单元/子单元等的实施方式、解决的技术问题、实现的功能、以及达到的技术效果分别与方法部分实施例中各对应的步骤的实施方式、解决的技术问题、实现的功能、以及达到的技术效果相同或类似，在此不再赘述。

根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上***、基板上的***、封装上的***、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

例如，第一构建模块410、账户集合划分模块420、获取模块430、第二构建模块440、以及识别模块450中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，第一构建模块410、账户集合划分模块420、获取模块430、第二构建模块440、以及识别模块450中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上***、基板上的***、封装上的***、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，第一构建模块410、账户集合划分模块420、获取模块430、第二构建模块440、以及识别模块450中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

图5示意性示出了根据本公开实施例的适于实现上文描述的方法的计算机***的框图。图5示出的计算机***仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图5所示，根据本公开实施例的计算机***500包括处理器501，其可以根据存储在只读存储器(ROM)502中的程序或者从存储部分508加载到随机访问存储器(RAM)503中的程序而执行各种适当的动作和处理。处理器501例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器501还可以包括用于缓存用途的板载存储器。处理器501可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 503中，存储有***500操作所需的各种程序和数据。处理器501、ROM 502以及RAM 503通过总线504彼此相连。处理器501通过执行ROM 502和/或RAM 503中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM 502和RAM 503以外的一个或多个存储器中。处理器501也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。

根据本公开的实施例，***500还可以包括输入/输出(I/O)接口505，输入/输出(I/O)接口505也连接至总线504。***500还可以包括连接至I/O接口505的以下部件中的一项或多项：包括键盘、鼠标等的输入部分506；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分507；包括硬盘等的存储部分508；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分509。通信部分509经由诸如因特网的网络执行通信处理。驱动器510也根据需要连接至I/O接口505。可拆卸介质511，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器510上，以便于从其上读出的计算机程序根据需要被安装入存储部分508。

根据本公开的实施例，根据本公开实施例的方法流程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分509从网络上被下载和安装，和/或从可拆卸介质511被安装。在该计算机程序被处理器501执行时，执行本公开实施例的***中限定的上述功能。根据本公开的实施例，上文描述的***、设备、装置、模块、单元等可以通过计算机程序模块来实现。

本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/***中所包含的；也可以是单独存在，而未装配入该设备/装置/***中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。

附图中的流程图和框图，图示了按照本公开各种实施例的***、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的***来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，尽管已经参照本公开的特定示例性实施例示出并描述了本公开，但是本领域技术人员应该理解，在不背离所附权利要求及其等同物限定的本公开的精神和范围的情况下，可以对本公开进行形式和细节上的多种改变。因此，本公开的范围不应该限于上述实施例，而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来进行限定。

Claims (10)

1.一种账户集合的识别方法，包括：

基于多个历史恶意账户的关键信息，构建第一知识图谱；

基于所述第一知识图谱，确定每个历史恶意账户所属的账户集合信息；

获取待识别账户的关键信息；

基于所述第一知识图谱、每个历史恶意账户所属的账户集合信息、以及所述待识别账户的关键信息，构建第二知识图谱；以及

基于所述第二知识图谱，确定所述待识别账户所属的账户集合信息。

2.根据权利要求1所述的方法，其中，所述关键信息包括：属性信息和交易行为信息；

基于多个历史恶意账户的关键信息，构建第一知识图谱包括：

根据所述多个历史恶意账户的属性信息构建所述第一知识图谱中的多个节点，以使所述第一知识图谱中的一个节点表征一个历史恶意账户的属性信息；以及

根据所述多个历史恶意账户的交易行为信息构建所述第一知识图谱中节点之间的边，以使所述第一知识图谱中的一个边表征两个历史恶意账户之间的交易行为。

3.根据权利要求2所述的方法，其中，所述基于所述第一知识图谱、每个历史恶意账户所属的账户集合信息、以及所述待识别账户的关键信息，构建第二知识图谱包括：

将任一历史恶意账户所属的账户集合信息添加至所述第一知识图谱中与所述任一历史恶意账户信息对应的节点的属性信息，得到更新的第一知识图谱；以及

根据所述待识别账户的属性信息在所述更新的第一知识图谱中增加节点，并根据所述待识别账户的交易行为信息在所述更新的第一知识图谱中增加边，得到所述第二知识图谱，

其中，所述第二知识图谱中的一个节点表征一个历史恶意账户或一个待识别账户，所述第二知识图谱中的一个边表征两个历史恶意账户之间的、两个待识别账户之间的、或者一个历史恶意账户与一个待识别账户之间的交易行为。

4.根据权利要求1所述的方法，其中，所述基于所述第一知识图谱，确定每个历史恶意账户所属的账户集合信息包括：

基于所述第一知识图谱，确定每个历史恶意账户的第一特征向量；以及

通过对所述多个历史恶意账户的第一特征向量进行聚类处理，确定每个历史恶意账户所属的账户集合信息。

5.根据权利要求1所述的方法，其中，所述基于所述第二知识图谱，确定所述待识别账户所属的账户集合信息包括：

基于所述第二知识图谱，确定每个历史恶意账户的第二特征向量和所述待识别账户的第三特征向量；

通过利用所述多个历史恶意账户的第二特征向量进行监督学习，得到优化识别模型；以及

将所述待识别账户的第三特征向量输入至所述优化识别模型，基于所述优化识别模型的输出确定所述待识别账户所属的账户集合信息。

6.根据权利要求5所述的方法，其中，所述基于所述优化识别模型的输出确定所述待识别账户所属的账户集合信息包括：

确定所述待识别账户所属的账户集合信息为所述多个历史恶意账户所属的账户集合信息中的任意一个；或者

确定所述待识别账户所属的账户集合信息为善意账户集合信息。

7.根据权利要求4或5所述的方法，其中，

所述基于所述第一知识图谱，确定每个历史恶意账户的第一特征向量包括：利用图表示学习算法将所述第一知识图谱转换为每个历史恶意账户的第一特征向量；并且/或者

所述基于所述第二知识图谱，确定每个历史恶意账户的第二特征向量和所述待识别账户的第三特征向量包括：利用图表示学习算法将所述第二知识图谱转换为每个历史恶意账户的第二特征向量和每个待识别账户的第三特征向量。

8.根据权利要求5所述的方法，其中，所述利用所述多个历史恶意账户的第二特征向量进行监督学习，得到优化识别模型包括：

利用所述多个历史恶意账户的第二特征向量构建并优化梯度下降树模型，得到所述优化识别模型。

9.一种账户集合的识别装置，包括：

第一构建模块，用于基于多个历史恶意账户的关联信息，构建第一知识图谱；

账户集合划分模块，用于基于所述第一知识图谱，确定每个历史恶意账户所属的账户集合信息；

获取模块，用于获取待识别账户的关键信息；

第二构建模块，用于基于所述第一知识图谱、每个历史恶意账户所属的账户集合信息、以及所述待识别账户的关键信息，构建第二知识图谱；以及

识别模块，用于基于所述第二知识图谱，确定所述待识别账户所属的账户集合信息。

10.一种计算机***，包括：存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时用于实现如权利要求1～8任一项所述的账户集合的识别方法。