[发明专利]一种利用有向无环图识别黑产团伙的方法

说明书

本发明公开了一种利用有向无环图识别黑产团伙的方法，要解决的是现有黑产团伙识别中存在的问题。本发明具体步骤如下：步骤一，利用图数据库寻找邀请群体；步骤二，抽取邀请群体的行为特征值；步骤三，对邀请群体的行为特征值利用机器学习分类方法进行识别即可。本发明设计合理，用基尼系数描述群体中子节点集的分布均匀状态，通过群体的生长方式的动态属性描述图，并最终识别黑客行为；本发明采用了群体视角，可以发现更多的问题，相对于现有的单个用户的模型，可以发现更多具有黑客行为的异常账号，使用效果好。

技术领域

本发明涉及品牌推广领域，具体是一种利用有向无环图识别黑产团伙的方法。

背景技术

品牌推广是指企业塑造自身、产品及服务的形象,使广大消费者广泛认同的系列活动过程，主要目的是提升品牌知名度。新网站或者新企业成立时，通常都会进行品牌推广。商家在做品牌推广的时候，通常会提供一些商品激励或优惠政策。当人们利用这种信息赚钱的时，就产生了“薅羊毛”事件和“羊毛党”。当“薅羊毛”的行为形成一定规模的时候，就形成了“薅羊毛”的团伙。用户邀请是商家做品牌推广的一种方式。用户通过邀请新用户获取激励，商家通过这种方式获取新的用户。新的用户只能被邀请注册一次，即被注册成功后不能被其他人邀请，这种关系可以用一种有向无环图表示。这里用户的标识通常是电话号码。

为了效益最大化，黑客通常会使用效率最高和最不容易被发现的方式进行薅羊毛。利用传统的数据库识别对应的黑产行为，需要做大量的join操作，这样的开销特别大，一般数据库在做3层join就很吃力了，根本无法实际应用，所以这里需要使用图数据库。目前，大多数安全产品在识别黑产时通常是通过对单个用户的行为进行刻画，或者直接使用黑名单匹配。常见的方法包括使用名单库做匹配和利用统计规则。使用名单库做匹配完全依赖于名单，所以利用这种方式对名单质量的要求特别高，但是名单通常会有滞后性，这种匹配方式对名单更新日期之后的电话没有任何识别力，而且无法识别团伙。利用统计规则的缺点如下：规则都很容易被绕过，当黑产发现自己的薅取行为被识别时，他会尝试不同的薅取方式，如果新方式薅取成功，那么规则就被绕过；制定规则需要工程师对业务理解透彻，难度较高；当规则数量多的时候，规则很难维护；而且也无法识别团伙。人们也在进行相关方面的研究。

发明内容

本发明实施例的目的在于提供一种利用有向无环图识别黑产团伙的方法，以解决上述背景技术中提出的问题。

为实现上述目的，本发明实施例提供如下技术方案：

一种利用有向无环图识别黑产团伙的方法，具体步骤如下：

步骤一，利用图数据库寻找邀请群体；

步骤二，抽取邀请群体的行为特征值；

步骤三，对邀请群体的行为特征值利用机器学习分类方法进行识别即可。

作为本发明实施例进一步的方案：利用图数据库寻找邀请群体具体步骤如下：确认未被邀请并邀请了别人的初始账号，通过该初始账号逐级向下寻找，直到向下没有其他账号为止，我们就找到了所有薅羊毛行为对应的账号和他们形成的群体。

作为本发明实施例进一步的方案：步骤二中邀请群体的行为特征值包括群体的深度、群体中设备的共用率、群体中每个父节点对应子节点个数的统计和群体的生长方式。

作为本发明实施例进一步的方案：群体的深度为初始账号至最远被邀请账号所经历的层数，通常层数大于6层的群体被定义为黑产团伙，群体中设备的共用率的公式如下：群体中设备的共用率高的为黑产团伙。

作为本发明实施例进一步的方案：群体的生长方式包括父节点变化率和邀请层深度的变化率，把邀请人按照时间排序，如果相邻的两个邀请人变化，则记为1；如果邀请人不变化，则记为0，把注册人到祖节点的距离称之为邀请层深度，那么相邻两个邀请人如果深度不同，记为1；如果深度相同，记为0，