[发明专利]一种物联网卡异常行为检测方法、装置、设备及存储介质

权利要求书

1.一种物联网卡异常行为检测方法，其特征在于，所述方法包括：

获取待检测的物联网卡的标识信息及访问地址信息；

判断预先保存的标识信息黑名单中是否存在所述物联网卡的标识信息，或判断预先保存的访问地址黑名单中是否存在所述物联网卡的访问地址信息；

如果上述任一判断结果为是，确定所述物联网卡存在异常行为；

其中，所述物联网卡的标识信息包括：物联网卡的号码信息、国际移动设备身份码IMEI信息和国际移动用户识别码IMSI信息；

获取预设的第一时间段内所述物联网卡的号码信息所对应的被叫号码的数量；判断所述被叫号码的数量是否达到预设的数量阈值，如果是，确定所述物联网卡存在高危滥用异常行为；

获取预设的第二时间段内所述物联网卡的IMEI信息变更次数及IMSI信息变更次数；判断所述IMEI信息变更次数或IMSI信息变更次数是否达到预设的次数阈值，如果是，确定所述物联网卡存在低危机卡分离异常行为或者低危换卡异常行为；

其中，所述物联网卡的访问地址信息包括：物联网卡的访问的互联网协议IP地址信息、操作系统OS信息、用户代理USER_AGENT信息，统一资源定位系统URL信息、域名host信息；

获取预设的第三时间段内所述物联网卡访问的第一OS信息及第一USER_AGENT信息，以及第四时间段内所述物联网卡访问的第二OS信息及第二USER_AGENT信息；判断所述第一OS信息和所述第二OS信息是否一致，或判断所述第一USER_AGENT信息和所述第二USER_AGENT信息是否一致；如果任一判断结果为否，确定所述物联网卡存在低危挪用异常行为。

2.如权利要求1所述的方法，其特征在于，所述确定物联网卡存在异常行为之后，所述方法还包括：

若所述物联网卡的访问地址信息为预先保存的访问地址黑名单中的恶意地址信息，确定所述物联网卡存在高危网络异常行为；

若所述物联网卡的访问地址信息为预先保存的访问地址黑名单中的非物联网行业的地址信息，或所述物联网卡的标识信息为预先保存的标识信息黑名单中的恶意标识信息，确定所述物联网卡存在高危滥用异常行为。

3.如权利要求1所述的方法，其特征在于，所述方法还包括：

获取预设的第五时间段内所述物联网卡发送短信的第一最大长度信息，以及第六时间段内所述物联网卡发送短信的第二最大长度信息；

判断所述第一最大长度信息和第二最大长度信息的差值的绝对值是否大于预设的第一数值，如果是，确定所述物联网卡存在低危挪用异常行为。

4.如权利要求1所述的方法，其特征在于，所述方法还包括：

获取预设的第七时间段内所述物联网卡产生的上行流量占总流量的第一比率，以及第八时间段内所述物联网卡产生的上行流量占总流量的第二比率；

判断所述第一比率和第二比率的差值的绝对值是否大于预设的第二数值，如果是，确定所述物联网卡存在低危挪用异常行为。