CN115174745A - 一种基于图网络和机器学习的电话号码诈骗模式识别的方法 - Google Patents

Abstract

本发明属于通讯信息安全应用技术领域，尤其涉及一种基于图网络和机器学习的电话号码诈骗模式识别的方法。与现有技术相比，本发明的优点和积极效果在于，本发明提供一种基于图网络和机器学习的电话号码诈骗模式识别的方法，首先利用图网络进行初步分析，减少样本的计算量以及提高样本的准确率，在通过机器学习算法得到相应的诈骗模型，从而提高诈骗号码识别的准确率。为通信安全、和谐提供有利的护航。

Description

一种基于图网络和机器学习的电话号码诈骗模式识别的方法

技术领域

本发明属于通讯信息安全应用技术领域，尤其涉及一种基于图网络和机器学习的电话号码诈骗模式识别的方法。

背景技术

随着互联网和移动终端的快速发展，个人计算机、智能手机以及其他具有上网功能的移动设备已经成为人们生活与工作中不可缺少的工具，但是背后的安全问题越来越严重，网络、电信诈骗就是其中一种。目前，网络诈骗已成为人们经济和财产损失的主要危害方式。网络诈骗的手段多种方式，诈骗分子通过电子邮件、手机短信、电话、微信等向被害者发送含有诈骗信息的内容，如含有木马的链接、可疑的账号甚至虚假信息等数据，会有大量的群众受骗。电信诈骗是通过电话的方式，经常是通过软件进行改号，并仿冒银行、运营商、社保、公检法等进行欺诈行为。

传统的电话号码诈骗识别模式***多是利用话单、流量、短信、位置等信息，综合使用专家规则和机器学习算法等方法，建立相关模型，对电话号码是否诈骗进行识别。传统的电话号码诈骗识别模式***往往仅利用了电话号码的静态的、孤立的属性和行为信息，忽略了号码与号码之间、号码与证件之间、号码与终端之间、号码与位置之间等的关联信息，即没有使用号码的社交网络属性，不能有效地对诈骗电话进行识别。

因此，如何对具有社交网络属性的诈骗号码进行识别，是本领域业务和技术人员亟待解决的问题。

发明内容

本发明针对上述的现有诈骗号码的识别所存在的技术问题，提出一种设计合理、方法简单且能够有效识别诈骗号码、提高服务质量的基于图网络和机器学习的电话号码诈骗模式识别的方法。

为了达到上述目的，本发明采用的技术方案为，本发明提供一种基于图网络和机器学习的电话号码诈骗模式识别的方法，包括以下步骤：

a、获取初始电话号码，并提取初始电话号码当天的一跳、二跳的通话数据；

b、根据预设的判定规则对初始电话号码、一跳电话号码、二跳电话号码进行黑灰类型标注；

c、根据主被叫关系和初始电话号码、一跳电话号码、二跳电话号码的黑灰情况，筛选符合图网络模式的号码；

d、将筛选后的号码再次进行黑灰类型标注；

e、对获取号码的属性和行为数据，并对数据进行预处理，得到训练数据，并获取独立于训练数据的测试数据；

f、使用训练数据利用机器学习算法，对数据训练、评估和优化，得到基于图网络的机器学习模型；

g、根据测试数据，对机器学习模型识别结果进行进一步的评估；

h、将获取的号码的属性和行为数据输入到预先构建的模型中，并对其进行诈骗识别；

i、将模型识别出的异常号码输入到诈骗号码处置平台，进行号码观察、关停等措施进行处置。

作为优选，所述初始电话号码为入网半年或一年以内的电话号码或其他群体类型的号码。

作为优选，所述b步骤中，判定规则为：近半年来，被上级主管部门通报的号码，此类号码为黑号码；近半年来，通信运营商内部模型检出的号码，此类号码为灰号码；近半年来，没有被上级主管部门通报且没有被通信运营商内部模型检出的号码，此类号码为白号码。

作为优选，所述c步骤中，根据图网络类型，判定初始电话是否符合诈骗类型，若符合则将该初始电话号码筛选出来。

作为优选，所述d步骤中，黑灰类型标注的规则为：如果筛选后的号码近半年来被上级主管部门通报或被通信运营商内部模型检出，同时当天被通信运营商内部模型检出，此类号码为黑号码；如果筛选后的号码近半年来被上级主管部门通报或被通信运营商内部模型检出，同时当天没有被通信运营商内部模型检出，此类号码为灰号码；如果筛选后的号码没有被近半年来被上级主管部门通报或没有被通信运营商内部模型检出，而且当天没有被通信运营商内部模型检出，此类号码为白号码。

作为优选，所述f步骤中，机器学习算法为随机森林、XGBooost或 LightGBM。

作为优选，所述f步骤的具体操作方法为：

f1、首先根据随机森林、XGBooost或LightGBM算法进行训练，得到诈骗识别模式；

f2、然后采用欠采样和过采样、代价敏感学习、概率阈值调整的方式对诈骗识别模式进行处理，直到得到高准确率、高召回率的诈骗识别模型。

作为优选，所述g步骤中，对机器学习模型识别结果进行进一步的评估方法为：

g1、检测诈骗识别模型标记为诈骗的号码分别在前一个月、后一个月被其他模型的检出情况，比例是否较高；检测诈骗识别模型标记为诈骗的号码分别在前一个月、后一个月覆盖工信部涉案、工信部欺诈、公安调证号码的情况；检测诈骗识别模型标记为诈骗的号码分别在前一个月、后一个月用户状态情况，即正常开机号码比例有没有下降，下降比例是否较高等，局方双向停机是否增加，增加比例是否较高等内容；检测诈骗识别模型标记为诈骗的号码被互联网诈骗标签标记情况，诈骗号码比例是否较高，标记比例是否较高；

g2、根据调整模型阈值大小，直至评估结果符合要求。

与现有技术相比，本发明的优点和积极效果在于，

1、本发明提供一种基于图网络和机器学习的电话号码诈骗模式识别的方法，首先利用图网络进行初步分析，减少样本的计算量以及提高样本的准确率，在通过机器学习算法得到相应的诈骗模型，从而提高诈骗号码识别的准确率。为通信安全、和谐提供有利的护航。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为基于图网络和机器学习的电话号码诈骗模式识别的方法为的结构示意图；

图2为诈骗识别模型初步识别的结果图；

图3为诈骗识别模型调整后识别的结果图。

具体实施方式

为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和实施例对本发明做进一步说明。需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是，本发明还可以采用不同于在此描述的其他方式来实施，因此，本发明并不限于下面公开说明书的具体实施例的限制。

实施例1，如图1所示，获取初始电话号码，并提取该初始电话号码当天的一跳电话号码、二跳电话号码的通话数据，诈骗分子往往是很活跃的，即再通话和流量等方面使用较多。这样，通过提取该初始电话号码当天的一跳电话号码、二跳电话号码的通话数据，有利于观察该初始电话号码每天的通话情况及其对端号码的通话情况，以确定号码是否活跃。

初始电话号码可以是入网时间近半年或一年以内的号码，也可以是其他群体类型的号码。此处所指的群体类型的号码的电话号码一般指一定区域内的电话号码，比如，目前所确定的诈骗号码主要来自A区域，那么就将A区域的电话为需要筛查的初始的电话号码。这样的主要目的，就是为了尽可能的避免出现误判对电话号码的使用者带来一定的不便。

初始电话号码当天的一跳电话号码以及二跳电话号码数据获取过程如下：

在区分主叫被叫的前提下，先获取初始电话号码的一跳通话数据；在区分主叫被叫的前提下，根据初始号码的一跳通话数据，获取对应的二跳通话数据，这样，就形成了从初始号码出发的被叫被叫、被叫主叫、主叫被叫、主叫主叫四种主被叫关系的通话链数据；然后，剔除被叫主叫、主叫被叫中初始号码与二跳号码相等的通话链数据。剔除被叫被叫中初始号码与二跳号码相等的通话链数据。

接着，根据预设的判定规则对初始号码、一跳号码、二跳号码进行黑灰类型标注，内容包括：该方面主要为后续研究号码与历史黑灰号码之间的关联程度强弱做准备，同样，也是为了减少样本的计算量，预设的判定规则，主要包括黑号码、灰号码、白号码的类别定义，设计方法如下：近半年来，上级主管部门通报的号码，此类号码为黑号码；近半年来，被通信运营商内部模型检出的号码，此类号码为灰号码；近半年来，没有被上级主管部门通报且没有被通信运营商内部模型检出的号码，此类号码为白号码。

根据上述判定，对本申请实施例的第一方面中通话链中的初始号码、一跳号码、二跳号码进行黑灰类型标注。

根据主被叫关系和初始电话号码、一跳电话号码、二跳电话号码的黑灰情况，筛选符合图网络模式的号码，其目的主要研究初始电话号码与历史黑灰号码之间的关联程度强弱，即初始电话号码当天是否与黑灰号码进行通话，初始电话号码的对端号码是否与黑灰号码进行通话，据此，可以得到初始电话号码一定程度上的诈骗概率。

根据四种主被叫关系、初始电话号码三种黑灰情况、一跳电话号码三种黑灰情况、二跳电话号码三种黑灰情况，共计可以得出一百零八种图网络类型进行分析，主要依据各自类型初始号码的黑灰比例，选取黑灰比例高的类型，得到符合诈骗模式的一种或几种类型，提取其中的初始电话号码。

然后，将筛选后的号码再次进行黑灰类型标注，其目的主要是为了解决时效性和模型标签问题。根据第三方面，得到了一些诈骗概率较高的号码，还要进一步地筛选，提高诈骗号码准确率，之前判定号码诈骗与否，是基于历史情况判断地，时效性较差，故需要使用当前和诈骗情况进行标注。同时，该方面也为后续训练机器学习模型做准备。

对筛选后的号码进行再标注，方法如下：

如果筛选后的号码近半年来被上级主管部门通报或被通信运营商内部模型检出，同时当天被内部模型检出，此类号码为黑号码；

如果筛选后的号码近半年来被上级主管部门通报或被通信运营商内部模型检出，同时当天没有被内部模型检出，此类号码为灰号码；

如果筛选后的号码没有被近半年来被上级主管部门通报或没有被通信运营商内部模型检出，而且当天没有被通信运营商内部模型检出，此类号码为白号码。

依照上述分类方法对初始电话号码再次进行标注。

然后，再次筛选出来的电话号码的属性和行为数据，并对数据进行预处理，得到训练数据，内容包括：

该方面获取更多的号码信息，为进一步提高号码诈骗准确性做准备。号码的属性和行为数据主要包括号码的基本信息、通话信息、流量信息、短信信息和位置信息。对号码的属性和行为数据进行预处理，方法如下：根据数据不同类型进行缺失值处理，如删除数据、填充数据；对数据相关性进行检测，删除低相关数据和共线性数据；对数据进行标准化处理；对数据进行训练数据、验证数据的划分。

然后，获取独立与训练数据的测试数据，其主要目的就是用于测试模型的泛化能力，过拟合或欠拟合严重与否的问题；测试数据要与所获取的电话号码之间完全独立，且测试数据又与所获取的电话号码的属性和行为数据一致。

然后，先使用训练数据，利用机器学习算法，对数据训练、评估和优化，得到基于图网络的机器学习模型，其主要目的就是为了得到用于识别诈骗号码的机器学习模型。

在本实施例中，先使用简单机器学习分类算法，如逻辑回归、决策树，对模型进行初步训练；此时，会得到低准确率、低召回率的诈骗识别模型，在本实施例中，采用逻辑回归的方式进行训练，训练得到的此时，会得到低准确率、低召回率的诈骗识别模型。无法满足要求，为此，则使用较为复杂的集成算法，如随机森林、XGBooost、LightGBM进行训练，在本实施例中，选用随机森林算法，进行训练，训练得到的结果如图2所示。此时，会得到高准确率、低召回率的诈骗识别模型，如下图所示：

关注标签为2的号码检出情况，此时该类号码的准确率(precision)为0.47，较高，召回率(recall)为0.26，偏低。经过分析，其主要原因是对训练样本不均衡问题，为此，可采用欠采样和过采样、代价敏感学习、概率阈值调整等方式进行处理，在本实施例中，采用概率阈值调整的方式进行处理。

此时，会得到较高准确率、高召回率的诈骗识别模型，如图3所示：关注标签为2的号码检出情况，此时该类号码的准确率(precision)为0.18，考虑到样本不均衡严重的问题，这个结果还行，召回率(recall)为0.87，结果满足训练要求。

使用测试数据，对训练好的模型进行性能测试，评估模型的泛化能力，具体的说，是否存在严重的过拟合或欠拟合问题；得到的模型为高召回率模型，即尽可能多的覆盖诈骗号码，此外，模型还输出大量的骚扰号码。根据测试数据，对模型识别结果进行进一步的评估，方法如下：

该方面主要是进一步评估模型检出号码的实际效果，考察是否满足实际要求。检测模型标记为诈骗的号码分别在前一个月、后一个月被其他模型的检出情况，比例是否较高；检测模型标记为诈骗的号码分别在前一个月、后一个月覆盖工信部涉案、工信部欺诈、公安调证号码的情况；检测模型标记为诈骗的号码分别在前一个月、后一个月用户状态情况，即正常开机号码比例有没有下降，下降比例是否较高等，局方双向停机是否增加，增加比例是否较高等内容；检测模型标记为诈骗的号码被互联网诈骗标签标记情况，诈骗号码比例是否较高，标记比例是否较高。

最后，调整模型阈值大小，直至评估结果符合要求。这样，就得到了最终的诈骗识别模型。

然后，将每天获取业务域中的电话号码及其属性和行为数据，输入到预先构建的模型中，并对其进行诈骗识别，内容包括：号码识别检出频率为天，可进一步按每小时或准实时进行部署；参考训练数据和测试数据的预处理方式，获取业务域中的电话号码及其属性和行为数据；输入到预先构建的基于图网络的机器学习模型进行识别。

最后，模型识别出的异常号码输入到诈骗号码处置平台，进行号码观察、关停等措施进行处置，内容包括：模型识别出的异常号码输入到诈骗号码处置平台，进行号码观察、关停等措施进行处置，该平台具有直观、易用、高效等特点，方便省分人员和运营人员进行号码处置。

以上所述，仅是本发明的较佳实施例而已，并非是对本发明作其它形式的限制，任何熟悉本专业的技术人员可能利用上述揭示的技术内容加以变更或改型为等同变化的等效实施例应用于其它领域，但是凡是未脱离本发明技术方案内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与改型，仍属于本发明技术方案的保护范围。

Claims (8)

1.一种基于图网络和机器学习的电话号码诈骗模式识别的方法，其特征在于，包括以下步骤：

a、获取初始电话号码，并提取初始电话号码当天的一跳、二跳的通话数据；

b、根据预设的判定规则对初始电话号码、一跳电话号码、二跳电话号码进行黑灰类型标注；

c、根据主被叫关系和初始电话号码、一跳电话号码、二跳电话号码的黑灰情况，筛选符合图网络模式的号码；

d、将筛选后的号码再次进行黑灰类型标注；

e、对获取号码的属性和行为数据，并对数据进行预处理，得到训练数据，并获取独立于训练数据的测试数据；

f、使用训练数据利用机器学习算法，对数据训练、评估和优化，得到基于图网络的机器学习模型；

g、根据测试数据，对机器学习模型识别结果进行进一步的评估；

h、将获取的号码的属性和行为数据输入到预先构建的模型中，并对其进行诈骗识别；

i、将模型识别出的异常号码输入到诈骗号码处置平台，进行号码观察、关停等措施进行处置。

2.根据权利要求1所述的基于图网络和机器学习的电话号码诈骗模式识别的方法，其特征在于，所述初始电话号码为入网半年或一年以内的电话号码或其他群体类型的号码。

3.根据权利要求2所述的一种基于图网络和机器学习的电话号码诈骗模式识别的方法，其特征在于，所述b步骤中，判定规则为：近半年来，被上级主管部门通报的号码，此类号码为黑号码；近半年来，通信运营商内部模型检出的号码，此类号码为灰号码；近半年来，没有被上级主管部门通报且没有被通信运营商内部模型检出的号码，此类号码为白号码。

4.根据权利要求3所述的一种基于图网络和机器学习的电话号码诈骗模式识别的方法，其特征在于，所述c步骤中，根据图网络类型，判定初始电话是否符合诈骗类型，若符合则将该初始电话号码筛选出来。

5.根据权利要求4所述的一种基于图网络和机器学习的电话号码诈骗模式识别的方法，其特征在于，所述d步骤中，黑灰类型标注的规则为：如果筛选后的号码近半年来被上级主管部门通报或被通信运营商内部模型检出，同时当天被通信运营商内部模型检出，此类号码为黑号码；如果筛选后的号码近半年来被上级主管部门通报或被通信运营商内部模型检出，同时当天没有被通信运营商内部模型检出，此类号码为灰号码；如果筛选后的号码没有被近半年来被上级主管部门通报或没有被通信运营商内部模型检出，而且当天没有被通信运营商内部模型检出，此类号码为白号码。

6.根据权利要求5所述的一种基于图网络和机器学习的电话号码诈骗模式识别的方法，其特征在于，所述f步骤中，机器学习算法为随机森林、XGBooost或LightGBM。

7.根据权利要求6所述的一种基于图网络和机器学习的电话号码诈骗模式识别的方法，其特征在于，所述f步骤的具体操作方法为：

f1、首先根据随机森林、XGBooost或LightGBM算法进行训练，得到诈骗识别模式；

f2、然后采用欠采样和过采样、代价敏感学习、概率阈值调整的方式对诈骗识别模式进行处理，直到得到高准确率、高召回率的诈骗识别模型。

8.根据权利要求7所述的一种基于图网络和机器学习的电话号码诈骗模式识别的方法，其特征在于，所述g步骤中，对机器学习模型识别结果进行进一步的评估方法为：

g1、检测诈骗识别模型标记为诈骗的号码分别在前一个月、后一个月被其他模型的检出情况，比例是否较高；检测诈骗识别模型标记为诈骗的号码分别在前一个月、后一个月覆盖工信部涉案、工信部欺诈、公安调证号码的情况；检测诈骗识别模型标记为诈骗的号码分别在前一个月、后一个月用户状态情况，即正常开机号码比例有没有下降，下降比例是否较高等，局方双向停机是否增加，增加比例是否较高等内容；检测诈骗识别模型标记为诈骗的号码被互联网诈骗标签标记情况，诈骗号码比例是否较高，标记比例是否较高；

g2、根据调整模型阈值大小，直至评估结果符合要求。

Images