[发明专利]自更新黑产特征的黑产识别方法及装置

权利要求书

1.一种自更新黑产特征的黑产识别方法，其特征在于，所述方法包括：

获取已确定属于黑产的黑产行为数据；

按照预设的特征项提取出所述黑产行为数据的第一黑产特征；

构建以所述黑产行为数据所来源的黑产设备为图节点、以所述第一黑产特征为所述图节点的边的图结构信息；

基于设备与账号之间的相互关联，获取与所述图结构信息之间存在设备关联的目标行为数据；

按照所述特征项提取出所述目标行为数据的第二黑产特征，并将所述第一黑产特征以及所述第二黑产特征共同作为黑产识别的依据进行黑产识别。

2.如权利要求1所述的方法，其特征在于，所述方法还包括：

获取用于描述行为数据的各字段；

获取所述各字段分别对应的字段值空间大小；

将所述字段值空间大小小于预设空间大小阈值的字段进行组合，得到所述字段值空间大小大于等于所述空间大小阈值的字段组合；

将所述字段组合，以及所述字段值空间大小大于等于所述空间大小阈值的字段，分别作为所述特征项。

3.如权利要求1所述的方法，其特征在于，按照预设的特征项提取出所述黑产行为数据的第一黑产特征，包括：

按照所述特征项提取出白名单设备集合的行为数据的每一白名单特征；

按照所述特征项提取出所述黑产行为数据的每一待对比特征；

按照所述特征项将所述待对比特征与对应的所述白名单特征进行对比，确定所述待对比特征与对应的所述白名单特征的差异度；

将所述差异度大于预设阈值的待对比特征确定为所述第一黑产特征。

4.如权利要求1所述的方法，其特征在于，构建以所述黑产行为数据所来源的黑产设备为图节点、以所述第一黑产特征为所述图节点的边的图结构信息，包括：

确定在所述黑产设备上所登录的中间账号；

将所述黑产设备以及所述中间账号分别作为图节点，并以所述第一黑产特征表示所述图节点之间的边，得到构建的所述图结构信息。

5.如权利要求1所述的方法，其特征在于，基于设备与账号之间的相互关联，获取与所述图结构信息之间存在设备关联的目标行为数据，包括：

确定在所述黑产设备上所登录的中间账号；

确定所述中间账号所登录的除所述黑产设备之外的目标设备；

将来源于所述目标设备的行为数据确定为所述目标行为数据。

6.如权利要求1所述的方法，其特征在于，按照所述特征项提取出所述目标行为数据的第二黑产特征，包括：

按照所述特征项提取出所述目标行为数据的第二特征；

按照所述特征项将所述第一黑产特征与对应的所述第二特征进行对比，确定所述第一黑产特征与对应的所述第二特征的第一差异度；

将所述第一差异度小于预设第一阈值的第二特征确定为所述第二黑产特征。

7.如权利要求6所述的方法，其特征在于，按照所述特征项对所述黑产行为数据进行提取得到所述第一黑产特征以及不属于黑产的第一白产特征，所述方法还包括：

按照所述特征项将所述第一白产特征与对应的所述第二特征进行对比，确定所述第一白产特征与对应的所述第二特征的第二差异度；

将所述第二差异度大于预设第二阈值的第二特征确定为所述第二黑产特征。

8.一种自更新黑产特征的黑产识别装置，其特征在于，所述装置包括：

第一获取模块，配置为获取已确定属于黑产的黑产行为数据；

第一提取模块，配置为按照预设的特征项提取出所述黑产行为数据的第一黑产特征；

构建模块，配置为构建以所述黑产行为数据所来源的黑产设备为图节点、以所述第一黑产特征为所述图节点的边的图结构信息；

第二获取模块，配置为基于设备与账号之间的相互关联，获取与所述图结构信息之间存在设备关联的目标行为数据；

第二提取模块，配置为按照所述特征项提取出所述目标行为数据的第二黑产特征，并将所述第一黑产特征以及所述第二黑产特征共同作为黑产识别的依据进行黑产识别。