[go: up one dir, main page]

WO2019114344A1 - 一种基于图结构模型的异常账号防控方法、装置以及设备 - Google Patents

一种基于图结构模型的异常账号防控方法、装置以及设备 Download PDF

Info

Publication number
WO2019114344A1
WO2019114344A1 PCT/CN2018/104930 CN2018104930W WO2019114344A1 WO 2019114344 A1 WO2019114344 A1 WO 2019114344A1 CN 2018104930 W CN2018104930 W CN 2018104930W WO 2019114344 A1 WO2019114344 A1 WO 2019114344A1
Authority
WO
WIPO (PCT)
Prior art keywords
node
account
sample
structure model
graph structure
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2018/104930
Other languages
English (en)
French (fr)
Inventor
宋乐
李辉
葛志邦
黄鑫
文春阳
王琳
姜涛
王一光
常晓夫
朱冠胤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alibaba Group Holding Ltd
Original Assignee
Alibaba Group Holding Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alibaba Group Holding Ltd filed Critical Alibaba Group Holding Ltd
Priority to EP18888001.7A priority Critical patent/EP3654610B1/en
Priority to SG11202001249WA priority patent/SG11202001249WA/en
Publication of WO2019114344A1 publication Critical patent/WO2019114344A1/zh
Priority to US16/809,308 priority patent/US11102230B2/en
Anticipated expiration legal-status Critical
Priority to US17/231,693 priority patent/US11223644B2/en
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G06F17/10—Complex mathematical operations
    • G06F17/11—Complex mathematical operations for solving equations, e.g. nonlinear equations, general mathematical optimization problems
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F30/00—Computer-aided design [CAD]
    • G06F30/20—Design optimisation, verification or simulation
    • G06F30/27—Design optimisation, verification or simulation using machine learning, e.g. artificial intelligence, neural networks, support vector machines [SVM] or training a model
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/042—Knowledge-based neural networks; Logical representations of neural networks
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G06N3/084—Backpropagation, e.g. using gradient descent
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/02—Knowledge representation; Symbolic representation
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/02—Knowledge representation; Symbolic representation
    • G06N5/022—Knowledge engineering; Knowledge acquisition
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N5/00—Computing arrangements using knowledge-based models
    • G06N5/04—Inference or reasoning models
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2133—Verifying human interaction, e.g., Captcha
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/048—Activation functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud

Definitions

  • the present specification relates to the field of computer software technology, and in particular, to an abnormal account prevention and control method, apparatus and device based on a graph structure model.
  • Some users or organizations will automatically register their accounts and perform real-name authentication in batches for bad purposes. These abnormal accounts may bring risks to the platform and have low value for the platform.
  • the embodiment of the present specification provides an abnormal account prevention and control method, device and device based on a graph structure model, which are used to solve the following technical problems: an effective abnormal account prevention and control scheme is required.
  • the graph structure model being defined according to an account relationship network, where the account relationship network is one or more nodes of an account, device information, network information, location information, and identity information, and The inter-node relationship is configured; the graph structure model is configured to calculate an embedding vector after the node is iterated multiple times in the hidden feature space according to the original feature of the node, and/or the feature of the edge associated with the node ;
  • the label sample is marked with whether its corresponding node is an abnormal node.
  • Obtaining a module acquiring a graph structure model trained by the label sample, wherein the graph structure model is defined according to an account relationship network, where the account relationship network is one or more of an account, device information, network information, location information, and identity information. a node and a relationship between the nodes; the graph structure model is configured to calculate the node in the hidden feature space after multiple iterations according to the original feature of the node and/or the feature of the edge associated between the nodes Embedded vector
  • a calculation module configured to calculate an embedding vector corresponding to the sample to be tested by using the trained graph structure model
  • the anti-control module performs abnormal account prevention and control on the sample to be tested according to the embedded vector corresponding to the sample to be tested;
  • the label sample is marked with whether its corresponding node is an abnormal node.
  • At least one processor and,
  • the memory stores instructions executable by the at least one processor, the instructions being executed by the at least one processor to enable the at least one processor to:
  • the graph structure model being defined according to an account relationship network, where the account relationship network is one or more nodes of an account, device information, network information, location information, and identity information, and The inter-node relationship is configured; the graph structure model is configured to calculate an embedding vector after the node is iterated multiple times in the hidden feature space according to the original feature of the node, and/or the feature of the edge associated with the node ;
  • the label sample is marked with whether its corresponding node is an abnormal node.
  • the account structure network structure feature, the node feature and the edge feature can be effectively integrated, the embedded vector corresponding to the node and/or the prediction probability, and then the embedded vector and / or predictive probability to effectively control the abnormal account of the node.
  • FIG. 1 is a schematic diagram of an overall architecture involved in an implementation scenario of the present specification
  • FIG. 2 is a schematic flowchart of a method for training a graph structure model according to an embodiment of the present disclosure
  • FIG. 3 is a schematic flowchart diagram of an abnormal account prevention and control method based on a graph structure model according to an embodiment of the present disclosure
  • FIG. 4 is a schematic structural diagram of a structure model training device corresponding to FIG. 2 according to an embodiment of the present disclosure
  • FIG. 5 is a schematic structural diagram of an abnormal account prevention and control apparatus corresponding to the graph structure model according to FIG. 3 according to an embodiment of the present disclosure.
  • the embodiments of the present specification provide a graph structure model training, an abnormal account prevention and control method, apparatus and device based on the graph structure model.
  • IMEI International Mobile Equipment Identity
  • IMSI International Mobile Subscriber Identity
  • IP Internet Protocol
  • MAC media access control
  • FIG. 1 is a schematic diagram of an overall architecture involved in an implementation scenario of the present specification.
  • the platform server may include one or more devices.
  • the platform server establishes an account relationship network according to related data when the user performs account registration and/or authentication in the past, defines a corresponding graph structure model, and trains for abnormal account prevention and control.
  • FIG. 2 is a schematic flowchart diagram of a method for training a graph structure model according to an embodiment of the present disclosure.
  • the process in Figure 2 includes the following steps:
  • S202 Establish an account relationship network according to related data when the account is registered and/or authenticated, where the account relationship network is one or more nodes of the account, device information, network information, location information, and identity information, and the node. The relationship between the two.
  • the authentication may include real-name authentication of the account, and may also include login authentication of the account.
  • nodes such as device information, network information, location information, and identity information are data involved in account registration and/or authentication.
  • the IMEI of the user equipment used for account registration and/or authentication the IP address of the user equipment, the Global Positioning System (GPS) location information of the user equipment, the ID number of the user, and the like.
  • GPS Global Positioning System
  • the device information may also be an IMSI, a MAC address, or a device model.
  • the network information may also be a router information.
  • the WiFi hotspot information, the location information may also be the base station location information, etc.
  • the identity information may also be a mobile phone number, or an email address, or a bank card number.
  • the account relationship may include a relationship between the accounts, and may also include a relationship between the account and other types of nodes described above.
  • the account relationship network may include a network or a combination of multiple heterogeneous networks, which can be adapted to actual needs.
  • the network of the account and the IMEI correspondingly, the network node can represent the account or IMEI, and can indicate that the IMEI is the IMEI of the device used for registration and/or authentication of the account; similarly, the account and the MAC can also be The relationship network of the address, the relationship between the account and the IP address, the network of the account and the mobile phone number, the network of the account and the IMSI, the network of the account and the email address, the network of the account and the ID number, The relationship between the account number and the bank card number, the network of the account and the location information, and the like.
  • the account relationship network is graph data, which is intuitive and convenient to use the graph algorithm for processing, and has high efficiency.
  • a node in an account relationship network can contain its original features.
  • the original features may include at least one of the following types of data: node type, number of registered accounts, number of authenticated accounts, number of abnormal accounts, time related statistics, and the like.
  • the primitive features other than the node type are mainly for other types of nodes other than the account.
  • the original features of the node include, for example, a certain period of time (such as the most recent days), the number of accounts registered through the node, and the node is registered.
  • the number of days of the behavior, the distribution data corresponding to the distribution time within 24 hours, the number of registered accounts, the number of days with login behavior, the distribution data of the login behavior within 24 hours, the number of associated abnormal accounts, and the abnormal account number The number of days the node is logged in as a percentage of all login days, and so on.
  • the edge in the account relationship network may include association features between the nodes to which it is connected, and generally includes at least one of the following: behavior occurrence time, behavior time consumption, and number of behavior failures; the behavior includes registration behavior and/or authentication behavior, etc. .
  • the registration time of the account or the registration time (the code indicates, for example, the registration or login in the first hour of the 24 hours), the total duration of the account registration behavior from the beginning to the end, and the account registration in each jump behavior. The time spent on the stay, the number of times the account registration verification failed, and so on.
  • S204 Define a graph structure model according to the account relationship network, where the graph structure model is configured to calculate the node in the hidden feature space according to an original feature of the node, and/or a feature of an edge associated between the nodes.
  • the embedding vector after multiple iterations.
  • the original feature and the edge feature of the node in the account relationship network may be integrated to define a feature space.
  • the graph structure model is defined according to one or more feature spaces, a weight matrix to be determined by the feature space, and a specified nonlinear transform function.
  • the weight matrix is used for linearly transforming the feature space, and the nonlinear transform function is used for nonlinearly changing the feature space, so that the original feature and the edge feature of the node can be complexly mapped through the graph structure model, and finally It maps to a more complex hidden feature space, which reflects the features embedded by the corresponding node in the final hidden feature space.
  • the feature space may also be defined according to the previous iteration result.
  • the feature space may also be regarded as a hidden feature space compared to the feature space defined according to the original feature or edge feature of the node.
  • the embedded vector of the node in the implicit feature space after each iteration may be calculated according to one or more of the following factors: the node is associated with other nodes according to the original feature of the node. The characteristics of the edges, as well as the embedded vectors of the nodes in the hidden feature space after one or more iterations.
  • any sample can correspond to a node in the graph structure model, and the node corresponding to the abnormal sample is an abnormal node.
  • the sample is generally the labeled account; of course, the sample can also refer to the user registering in the account and/or Other elements involved in the authentication, such as device information of the user terminal used for registration or authentication, or input identity information, etc., can also be used as nodes in the graph structure model.
  • the sample can be marked according to the actual complaint punishment or the result of manual review. In the actual business, it can be considered to be marked once a day, or marked together for many days, and so on.
  • the criteria used for labeling can be defined according to actual needs. For example, if it is determined that an abnormal behavior such as abnormal authentication, swipe order, and bulk login registration is exposed by an account, the account and its related elements may be marked as an abnormal sample (an abnormal node in the graph structure model);
  • the training graph structure model is for determining an appropriate weight matrix, so that the embedding vector calculated based on the trained graph structure model can truly express the properties of the corresponding node as much as possible, for example, whether it is an abnormal node or the like. .
  • the structural, node and edge features of the heterogeneous or isomorphic account relationship network can be effectively integrated, the graph structure model is defined and trained, and the embedded vector of the node in the hidden feature space is calculated according to the graph structure model, Perform abnormal account control on the node.
  • the embodiments of the present specification further provide some specific implementations of the method, and an extended solution, and the description continues.
  • the graph structure model is further configured to calculate a prediction probability of the node according to the embedding vector.
  • the predicted probability may indicate the probability that the node is an abnormal node.
  • T represents the number of iterations
  • y i represents the labeling result of the i-th node (for example, the anomaly node is labeled as 1, the non-exception node is labeled as 0)
  • F i represents the original of the i-th node.
  • characteristic characteristic dimension f-dimensional
  • E ij characterize the edge node i node is associated with the j-th (wherein dimension e dimension)
  • N i denotes the set of neighbors of the i-node configuration, ultimately require
  • the dimension of the embedded hidden feature space is h-dimensional. Indicates the embedded vector of the i-th node in the implicit feature space at the t-th iteration.
  • ⁇ represents a nonlinear transformation function (eg, Relu, Sigmoid, Tanh, etc.)
  • W 1 , W 2 , W 3 , W 4 represent a weight matrix
  • ⁇ ij represents a weight for the i-th node and the j-th node
  • the matrix (such as set to a diagonal matrix)
  • pred i represents the predicted probability of the i-th node after T iterations
  • corss_entrep represents the function used to calculate the cross-entropy.
  • the training the graph structure model by using the label sample may specifically include: using a back propagation algorithm and the labeled sample, optimizing the following formula to obtain an optimal W. 1 , W 2 , W 3 , W 4 :
  • the optimization goal here is based on the cross entropy of the predicted probability and the labeled result. It should be noted that, in fact, other optimization parameters can be set based on parameters other than the cross entropy that can measure the consistency between the prediction probability and the labeling result. The optimization goal is to make the prediction probability and the labeling result as high as possible.
  • the above formula 1, formula 2, and formula 3 are all exemplary, not the only one.
  • F i , E ij The respective items can be transformed by multiplication, exponential or logarithmic operations, or they can be combined, or one of them can be deleted; for example, in the second formula, the softmax function can be replaced with other applicable a function; and so on.
  • the trained graph structure model can be used to calculate the embedded vector and/or the prediction probability of the existing sample and the new sample by forward propagation.
  • the calculated embedded vector and/or prediction probability can then be used for sample related services, such as using the embedded vector as input to other models (such as integrating other supervised, unsupervised or enhanced learning for re-integration, etc.), or directly Using the embedded vector or the prediction probability, the nature of the corresponding sample is determined, and the abnormal account prevention and control is taken as an example. For example, when the predicted probability of an account is higher than a certain threshold, the account can be determined to be an abnormal account and can be prevented and controlled.
  • FIG. 3 is a schematic flowchart of the abnormal account prevention and control method.
  • the process in Figure 3 includes the following steps:
  • S302 Acquire a graph structure model trained by the label sample, the graph structure model is defined according to an account relationship network, where the account relationship network is one or more of an account, device information, network information, location information, and identity information. a node and the relationship between the nodes; the graph structure model is configured to calculate, according to the original feature of the node, and/or the feature of the edge associated with the node, calculate the node in the hidden feature space after multiple iterations Embed the vector.
  • the structural model of the graph in FIG. 3 is trained by the method of FIG. 2, and the method of FIG. 3 can be understood by referring to the description of FIG. 2 above.
  • S306 Perform abnormal account prevention and control on the sample to be tested according to the embedded vector corresponding to the sample to be tested; wherein the labeled sample is marked with whether its corresponding node is an abnormal node.
  • the predicted probability can visually represent the possibility that the account involved in the sample is an abnormal account. Therefore, for step S306, according to the embedded vector corresponding to the sample to be tested, the trained graph structure model is used to further calculate the prediction probability corresponding to the sample to be tested, and then the sample to be tested is performed according to the prediction probability corresponding to the sample to be tested. Abnormal account prevention and control. For example, if a sample to be tested is an account, if the calculated prediction probability corresponding to the account is greater than a set threshold, the account may be determined to be an abnormal account, and then processing such as freezing and logout may be performed.
  • the embodiment of the present specification further provides a corresponding device of the above method, as shown in FIG. 4 and FIG. 5.
  • FIG. 4 is a schematic structural diagram of a structure model training apparatus corresponding to FIG. 2 according to an embodiment of the present disclosure, where the apparatus includes:
  • the establishing module 401 is configured to establish an account relationship network according to related data when the account is registered and/or authenticated, where the account relationship network is one or more of an account, a device information, a network information, a location information, and an identity information.
  • the account relationship network is one or more of an account, a device information, a network information, a location information, and an identity information. The relationship between the nodes;
  • a definition module 402 according to the account relationship network, defining a graph structure model, wherein the graph structure model is configured to calculate the hidden feature space according to the original feature of the node, and/or the feature of the edge associated with the node The embedded vector after the node is iterated multiple times;
  • the training module 403 trains the graph structure model by using the label sample, and the label sample is marked with whether its corresponding node is an abnormal node.
  • FIG. 5 is a schematic structural diagram of an abnormal account prevention and control apparatus corresponding to the graph structure model according to FIG. 3 according to an embodiment of the present disclosure, where the apparatus includes:
  • the obtaining module 501 is configured to obtain a graph structure model trained by the label sample, wherein the graph structure model is defined according to an account relationship network, where the account relationship network is one of an account, device information, network information, location information, and identity information, or Constructing a plurality of nodes and the relationship between the nodes; the graph structure model is configured to calculate multiple iterations of the nodes in the hidden feature space according to original features of the nodes, and/or features of edges associated with the nodes Post-embedded vector;
  • the calculating module 502 is configured to calculate an embedding vector corresponding to the sample to be tested by using the trained graph structure model
  • the anti-control module 503 performs an abnormal account prevention and control on the sample to be tested according to the embedded vector corresponding to the sample to be tested;
  • the label sample is marked with whether its corresponding node is an abnormal node.
  • the graph structure model is further configured to calculate a prediction probability of the node according to the embedding vector, where the prediction probability indicates a probability that the node is an abnormal node;
  • the anti-control module 503 performs an abnormal account control on the sample to be tested according to the embedded vector corresponding to the sample to be tested, and specifically includes:
  • the prevention and control module 503 calculates, according to the embedded vector corresponding to the sample to be tested, the predicted probability corresponding to the sample to be tested by using the trained graph structure model;
  • the account relationship network is established according to related data when the account is registered and/or authenticated.
  • the account relationship network includes a combination of one or more of the following: an association network between an account and an international mobile device identity code IMEI, an association network between an account and a media access control MAC address, an account number, and an Internet Protocol IP address.
  • the relationship network of the address, the association network of the account number and the mobile phone number, the association network of the account and the international mobile subscriber identity IMSI, the association network of the account and the email address, the association network of the account and the document number, the account number and the bank card number The network of associations between network, account and location information.
  • the original feature includes at least one of the following types of data: a node type, a registered account number, an authentication account number, an abnormal account number, and time related statistical data;
  • the features of the edge include at least one of the following types of data involved in the edge-connected node: behavior occurrence time, behavior time-consuming, behavior failure number; the behavior includes registration behavior and/or authentication behavior.
  • the embedded vector of the node in the implicit feature space after the tth iteration is according to an original feature of the node, a feature of an edge of the node associated with another node, and the node in the hidden feature space is The embedded vector after the t-1th iteration is calculated.
  • the embedding vector after the multiple iterations of the node in the implicit feature space is calculated according to the original feature of the node and the feature of the edge associated with the node between the nodes, and specifically includes:
  • the calculation module 502 calculates an embedding vector after multiple iterations of the node in the implicit feature space according to the following formula:
  • ⁇ represents a nonlinear transformation function
  • W 1 , W 2 , W 3 represent the weight matrix
  • F i represents the original feature of the i-th node
  • E ij denotes the i-th feature edge node associated with the j-th
  • N i denotes the set of neighbors of node i configuration
  • ⁇ ij represents the weight to the i-th node and the j th node weight matrix.
  • the calculating, according to the embedded vector, the prediction probability of the node specifically:
  • the calculation module 502 calculates the predicted probability of the node according to the following formula:
  • pred i represents the prediction probability of the i-th node after T iterations
  • W 4 represents the weight matrix
  • the graph structure model is trained by using the annotation sample, and specifically includes:
  • the graph structure model is trained.
  • the graph structure model is trained by using the annotation sample, and specifically includes:
  • corss_entrep represents a function for calculating the cross entropy.
  • the embodiment of the present specification further provides a graph structure model training device corresponding to FIG. 2, including:
  • At least one processor and,
  • the memory stores instructions executable by the at least one processor, the instructions being executed by the at least one processor to enable the at least one processor to:
  • the account relationship network is composed of one or more nodes of the account, device information, network information, location information, and identity information, and the relationship between the nodes.
  • the graph structure model is trained using annotation samples, and the annotation samples are labeled with whether their corresponding nodes are abnormal nodes.
  • the embodiment of the present specification further provides an abnormal account prevention and control device corresponding to the graph structure model corresponding to FIG. 3, including:
  • At least one processor and,
  • the memory stores instructions executable by the at least one processor, the instructions being executed by the at least one processor to enable the at least one processor to:
  • the graph structure model being defined according to an account relationship network, where the account relationship network is one or more nodes of an account, device information, network information, location information, and identity information, and The inter-node relationship is configured; the graph structure model is configured to calculate an embedding vector after the node is iterated multiple times in the hidden feature space according to the original feature of the node, and/or the feature of the edge associated with the node ;
  • the label sample is marked with whether its corresponding node is an abnormal node.
  • the embodiment of the present specification further provides a non-volatile computer storage medium corresponding to FIG. 2, which stores computer executable instructions, and the computer executable instructions are set as:
  • the account relationship network is composed of one or more nodes of the account, device information, network information, location information, and identity information, and the relationship between the nodes.
  • the graph structure model is trained using an annotation sample, and the annotation sample is labeled whether its corresponding node is an abnormal node.
  • the embodiment of the present specification further provides a non-volatile computer storage medium corresponding to FIG. 3, which stores computer executable instructions, and the computer executable instructions are set as:
  • the graph structure model being defined according to an account relationship network, where the account relationship network is one or more nodes of an account, device information, network information, location information, and identity information, and The inter-node relationship is configured; the graph structure model is configured to calculate an embedding vector after the node is iterated multiple times in the hidden feature space according to the original feature of the node, and/or the feature of the edge associated with the node ;
  • the label sample is marked with whether its corresponding node is an abnormal node.
  • the device, the device, the non-volatile computer storage medium and the method provided by the embodiments of the present specification are corresponding, and therefore, the device, the device, and the non-volatile computer storage medium also have similar beneficial technical effects as the corresponding method, since The beneficial technical effects of the method are described in detail, and therefore, the beneficial technical effects of the corresponding device, device, and non-volatile computer storage medium are not described herein.
  • PLD Programmable Logic Device
  • FPGA Field Programmable Gate Array
  • HDL Hardware Description Language
  • the controller can be implemented in any suitable manner, for example, the controller can take the form of, for example, a microprocessor or processor and a computer readable medium storing computer readable program code (eg, software or firmware) executable by the (micro)processor.
  • computer readable program code eg, software or firmware
  • examples of controllers include, but are not limited to, the following microcontrollers: ARC 625D, Atmel AT91SAM, The Microchip PIC18F26K20 and the Silicone Labs C8051F320, the memory controller can also be implemented as part of the memory's control logic.
  • the controller can be logically programmed by means of logic gates, switches, ASICs, programmable logic controllers, and embedding.
  • Such a controller can therefore be considered a hardware component, and the means for implementing various functions included therein can also be considered as a structure within the hardware component.
  • a device for implementing various functions can be considered as a software module that can be both a method of implementation and a structure within a hardware component.
  • the system, device, module or unit illustrated in the above embodiments may be implemented by a computer chip or an entity, or by a product having a certain function.
  • a typical implementation device is a computer.
  • the computer can be, for example, a personal computer, a laptop computer, a cellular phone, a camera phone, a smart phone, a personal digital assistant, a media player, a navigation device, an email device, a game console, a tablet computer, a wearable device, or A combination of any of these devices.
  • embodiments of the specification can be provided as a method, system, or computer program product.
  • embodiments of the present specification can take the form of an entirely hardware embodiment, an entirely software embodiment, or a combination of software and hardware.
  • embodiments of the present specification can take the form of a computer program product embodied on one or more computer usable storage media (including but not limited to disk storage, CD-ROM, optical storage, etc.) including computer usable program code.
  • the computer program instructions can also be stored in a computer readable memory that can direct a computer or other programmable data processing device to operate in a particular manner, such that the instructions stored in the computer readable memory produce an article of manufacture comprising the instruction device.
  • the apparatus implements the functions specified in one or more blocks of a flow or a flow and/or block diagram of the flowchart.
  • These computer program instructions can also be loaded onto a computer or other programmable data processing device such that a series of operational steps are performed on a computer or other programmable device to produce computer-implemented processing for execution on a computer or other programmable device.
  • the instructions provide steps for implementing the functions specified in one or more of the flow or in a block or blocks of a flow diagram.
  • a computing device includes one or more processors (CPUs), input/output interfaces, network interfaces, and memory.
  • processors CPUs
  • input/output interfaces network interfaces
  • memory volatile and non-volatile memory
  • the memory may include non-persistent memory, random access memory (RAM), and/or non-volatile memory in a computer readable medium, such as read only memory (ROM) or flash memory.
  • RAM random access memory
  • ROM read only memory
  • Memory is an example of a computer readable medium.
  • Computer readable media includes both permanent and non-persistent, removable and non-removable media.
  • Information storage can be implemented by any method or technology.
  • the information can be computer readable instructions, data structures, modules of programs, or other data.
  • Examples of computer storage media include, but are not limited to, phase change memory (PRAM), static random access memory (SRAM), dynamic random access memory (DRAM), other types of random access memory (RAM), read only memory. (ROM), electrically erasable programmable read only memory (EEPROM), flash memory or other memory technology, compact disk read only memory (CD-ROM), digital versatile disk (DVD) or other optical storage, Magnetic tape cartridges, magnetic tape storage or other magnetic storage devices or any other non-transportable media that can be used to store information that can be accessed by computing devices.
  • computer readable media does not include temporary storage of computer readable media, such as modulated data signals and carrier waves.
  • program modules include routines, programs, objects, components, data structures, and the like that perform particular tasks or implement particular abstract data types.
  • the present specification can also be practiced in distributed computing environments where tasks are performed by remote processing devices that are connected through a communication network.
  • program modules can be located in both local and remote computer storage media including storage devices.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Mathematical Physics (AREA)
  • Computer Security & Cryptography (AREA)
  • Evolutionary Computation (AREA)
  • Data Mining & Analysis (AREA)
  • Computing Systems (AREA)
  • Artificial Intelligence (AREA)
  • Computational Linguistics (AREA)
  • Computer Hardware Design (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Analysis (AREA)
  • Computational Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Biomedical Technology (AREA)
  • Molecular Biology (AREA)
  • General Health & Medical Sciences (AREA)
  • Biophysics (AREA)
  • Health & Medical Sciences (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Medical Informatics (AREA)
  • Operations Research (AREA)
  • Geometry (AREA)
  • Algebra (AREA)
  • Databases & Information Systems (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本说明书实施例公开了一种基于图结构模型的异常账号防控方法、装置以及设备，方案包括：预先根据账号注册和/或认证的相关数据搭建合适的账号关系网络，进行特征整合并定义图结构模型，利用标注样本训练图结构模型，然后，利用训练后的图结构模型计算隐特征空间中节点多次迭代的嵌入向量及其预测概率，并据此对节点进行异常账号防控。

Description

一种基于图结构模型的异常账号防控方法、装置以及设备 技术领域
本说明书涉及计算机软件技术领域，尤其涉及一种基于图结构模型的异常账号防控方法、装置以及设备。
背景技术
随着计算机和互联网技术的迅速发展，很多业务可以在网上进行，用户要使用这些业务，往往需要注册相应的账号，比如电商平台账号、第三方支付平台账号、论坛平台账号等。
一些用户或者组织出于不良目的，会通过机器自动注册账号以及批量进行实名认证，这些异常账号可能给平台带来风险，而且对于平台价值也较低。
在现有技术中，一般通过用户举报的方式，对这些异常账号进行相应的处理，比如冻结、注销等。
基于现有技术，需要有效的异常账号防控方案。
发明内容
本说明书实施例提供一种基于图结构模型的异常账号防控方法、装置以及设备，用以解决如下技术问题：需要有效的异常账号防控方案。
为解决上述技术问题，本说明书实施例是这样实现的：
本说明书实施例提供的一种基于图结构模型的异常账号防控方法，包括：
获取利用标注样本训练过的图结构模型，所述图结构模型根据账号关系网络定义，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成；所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量；
利用所述训练过的图结构模型，计算待测样本对应的嵌入向量；
根据所述待测样本对应的嵌入向量，对所述待测样本进行异常账号防控；
其中，所述标注样本被标注了其对应的节点是否为异常节点。
本说明书实施例提供的一种基于图结构模型的异常账号防控装置，包括：
获取模块，获取利用标注样本训练过的图结构模型，所述图结构模型根据账号关系网络定义，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成；所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量；
计算模块，利用所述训练过的图结构模型，计算待测样本对应的嵌入向量；
防控模块，根据所述待测样本对应的嵌入向量，对所述待测样本进行异常账号防控；
其中，所述标注样本被标注了其对应的节点是否为异常节点。
本说明书实施例提供的一种基于图结构模型的异常账号防控设备，包括：
至少一个处理器；以及，
与所述至少一个处理器通信连接的存储器；其中，
所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：
获取利用标注样本训练过的图结构模型，所述图结构模型根据账号关系网络定义，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成；所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量；
利用所述训练过的图结构模型，计算待测样本对应的嵌入向量；
根据所述待测样本对应的嵌入向量，对所述待测样本进行异常账号防控；
其中，所述标注样本被标注了其对应的节点是否为异常节点。
本说明书实施例采用的上述至少一个技术方案能够达到以下有益效果：能够有效地整合账号关系网络结构特征、节点特征和边特征，计算节点对应的嵌入向量和/或预测概率，进而根据嵌入向量和/或预测概率有效地对节点进行异常账号防控。
附图说明
为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为本说明书的方案在一种实际应用场景下涉及的一种整体架构示意图；
图2为本说明书实施例提供的一种图结构模型训练方法的流程示意图；
图3为本说明书实施例提供的一种基于图结构模型的异常账号防控方法的流程示意图；
图4为本说明书实施例提供的对应于图2的一种图结构模型训练装置的结构示意图；
图5为本说明书实施例提供的对应于图3的一种基于图结构模型的异常账号防控装置的结构示意图。
具体实施方式
本说明书实施例提供图结构模型训练、基于图结构模型的异常账号防控方法、装置以及设备。
为了使本技术领域的人员更好地理解本说明书中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本说明书实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。
大多数公司有自己的账号系统，良好的账号系统是公司业务正常开展的前提。如背景技术中所述，现实世界中存在一些个人和组织，通过机器自动注册账号和批量进行认证。这类异常账号如果不能及时防控，不仅会扰乱平台的账号生态，增加不必要的计算和存储开销，还会给这些账号提供其他作案的可能性。
账号在注册或者认证过程中，通常会依赖某些设备、网络以及身份媒介，比如国际移动设备身份码(IMEI)、国际移动用户识别码(IMSI)、网际协议(IP)地址、媒体访问控制(MAC)地址、手机号、邮箱地址、证件号等，有效地从这些数据中提取有价值 的特征成为解决上述技术问题的关键。本发明提供的方案，能够有效地整合用户注册和/或认证过程中与不同媒介关联的网络特征，基于图结构模型自动学习出比较有效的节点特征和边特征，并据此进行账号异常防控。
图1为本说明书的方案在一种实际应用场景下涉及的一种整体架构示意图。该整体架构中，主要涉及两部分：用户端、平台服务器。平台服务器可以包括一个或者多个设备，平台服务器根据用户端以往进行账号注册和/或认证时的相关数据建立账号关系网络，定义相应的图结构模型并训练，用于异常账号防控。
下面基于图1中的架构，对本说明书的方案进行详细说明。
图2为本说明书实施例提供的一种图结构模型训练方法的流程示意图。图2中的流程包括以下步骤：
S202：根据账号注册和/或认证时的相关数据，建立账号关系网络，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成。
在本说明书实施例中，认证可以包括账号的实名认证，也可以包括账号的登录认证等。
设备信息、网络信息、位置信息、身份信息等其他节点是账号注册和/或认证时涉及的数据。比如，账号注册和/或认证时使用的用户设备的IMEI、该用户设备的IP地址、该用户设备的全球定位系统(Global Positioning System，GPS)定位信息、用户填写的身份证号等。该例分别举出了几类节点的一种具体示例，当然，这并不是唯一示例，比如，设备信息具体还可以是IMSI、或者MAC地址、或者设备型号等，网络信息具体还可以是路由器信息、或者WiFi热点信息等，位置信息还可以是基站定位信息等，身份信息具体还可以是手机号、或者邮箱地址、或者银行卡号等。
在本说明书实施例中，账号关系可以包括账号之间的关系，也可以包括账号与上述的其他类型的节点之间的关系。
账号关系网络可以包括一种网络或者多种异构网络的组合，可以适应于实际需求建立。
例如，账号与IMEI的关联关系网络，相应地，网络节点可以表示账号或者IMEI，边可以表示该IMEI是该账号注册和/或认证时所使用设备的IMEI；类似地，还可以有账号与MAC地址的关联关系网络、账号与IP地址的关联关系网络、账号与手机号的关 联关系网络、账号与IMSI的关联关系网络、账号与邮箱地址的关联关系网络、账号与证件号的关联关系网络、账号与银行卡号的关联关系网络、账号与位置信息的关联关系网络等。
在本说明书实施例中，账号关系网络是图数据，其直观而便于利用图算法进行处理，效率较高。
账号关系网络中的节点可以包含其原始特征。原始特征可以包括以下至少一类数据：节点类型、注册账号数、认证账号数、异常账号数、时间相关统计数据等。节点类型以外的几类原始特征主要是针对账号以外的其他类型节点的，节点的原始特征比如包括：一定时间内(比如最近的若干天)，通过该节点对应注册的账号数、该节点有注册行为的天数、注册行为对应时间在24小时内的分布数据、登录的账号数、有登录行为的天数、登录行为对应时间在24小时内的分布数据、关联的异常账号的数量、异常账号通过该节点登录的天数占所有登录天数的比例，等等。
账号关系网络中的边可以包含其所连接的节点之间的关联特征，一般包括以下至少一种：行为发生时间、行为耗时、行为失败次数；所述行为包括注册行为和/或认证行为等。比如，账号注册时间或者登录时间的编码(编码比如表示是在24小时中的第几个小时注册或者登录的)、账号注册行为从开始到结束耗费的总时长、账号注册在每一个跳转行为上停留的时间、账号注册验证失败的次数等。
S204：根据所述账号关系网络，定义图结构模型，所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量。
在本说明书实施例中，可以对账号关系网络中的节点的原始特征和边特征进行整合，定义特征空间。进而根据一个或者多个特征空间、特征空间待定的权重矩阵，以及指定的非线性变换函数，定义图结构模型。
所述权重矩阵用于对特征空间进行线性变换，所述非线性变换函数用于对特征空间进行非线性变化，从而，通过图结构模型能够将节点的原始特征和边特征进行复杂的映射，最终映射至一个更为复杂的隐特征空间，所述嵌入向量即反映对应的节点在该最终的隐特征空间嵌入的特征。
在多次迭代的情况下，还可以根据前一次迭代结果自身定义特征空间，该特征空间相比于根据节点的原始特征或者边特征定义的特征空间，也可以视为一种隐特征空间。
根据上面的分析，隐特征空间中所述节点在每次迭代后的嵌入向量可以是根据以下一种或者多种因素组合计算得到的：所述根据节点的原始特征、所述节点与其他节点关联的边的特征，以及隐特征空间中所述节点在之前一次或者多次迭代后的嵌入向量计算得到的。
S208：利用标注样本，训练所述图结构模型，所述标注样本被标注了其对应的节点是否为异常节点。
在本说明书实施例中，可以预先标注一些已有的样本是否是异常样本，以用于训练图结构模型。任意样本可以对应图结构模型中的一个节点，异常样本对应的节点为异常节点，在异常账号防控场景下，样本一般是被标注的账号；当然，样本也可以指用户在账号注册和/或认证涉及的其他要素，比如，注册或者认证时适使用的用户端的设备信息、或者输入的身份信息等，这些要素也能够作为图结构模型中的节点。
以下各实施例主要以样本是账号为例进行说明。一般可以根据实际的投诉处罚或者人工审核结果进行样本标注，实际业务中可以考虑每天进行一次标注，也可以多天一起标注，等等。
标注时采用的标准可以根据实际需求定义。比如，若确定由某账号暴露出异常认证、刷单、批量登录注册等异常行为，则可以标注该账号及其相关要素为异常样本(在图结构模型中即异常节点)；等等。
在本说明书实施例中，训练图结构模型是为了确定合适的权重矩阵，使得基于训练后的图结构模型计算的嵌入向量能够尽量真实地表达其对应的节点的性质，比如，是否为异常节点等。
通过图2的方法，能够有效地整合异构或者同构账号关系网络结构特征、节点特征和边特征，定义并训练图结构模型，根据图结构模型计算节点在隐特征空间的嵌入向量，用于对节点进行异常账号控制。
基于图2的方法，本说明书实施例还提供了该方法的一些具体实施方案，以及扩展方案，继续进行说明。
在本说明书实施例中，所述图结构模型还用于根据所述嵌入向量，计算所述节点的预测概率。在异常账号防控的场景下，预测概率可以表示节点是异常节点的概率。
在本说明书实施例中，直观地，用一个实例对图结构模型的定义以及训练过程进行说明。假定T表示要迭代的次数，总共有n个节点，y i表示第i个节点的标注结果(比 如，异常节点标注为1，非异常节点标注为0)，F i表示第i个节点的原始特征(特征维度为f维)，E ij表示第i个节点与第j个节点关联的边的特征(特征维度为e维)，N i表示第i个节点的邻居节点构成的集合，最终需要嵌入的隐特征空间的维度为h维，
Figure PCTCN2018104930-appb-000001
表示隐特征空间中第i个节点在第t次迭代的嵌入向量。
假定隐特征空间中所述节点在第t次迭代后的嵌入向量是根据所述节点的原始特征、节点与其他节点关联的边的特征，以及隐特征空间中所述节点在第t-1次迭代后的嵌入向量计算得到的。一种示例性的图结构模型的定义如下所示：
“对W 1(h*f维)、W 2(h*e维)、W 3(h*h维)、W 4(h*2维)初始化，比如采用标准高斯分布初始化；
for t＝1 to T：//T次迭代执行
for i＝0 to n-1：//n个节点遍历执行
Figure PCTCN2018104930-appb-000002
//(公式一)第i个节点第t次迭代的过程
for i＝0 to n-1：//n个节点遍历执行
Figure PCTCN2018104930-appb-000003
//(公式二)第i个节点T次迭代后的预测概率
Figure PCTCN2018104930-appb-000004
//(公式三)第i个节点T次迭代后的预测概率
其中，σ表示非线性变换函数(比如，Relu、Sigmoid、Tanh等函数)，W 1、W 2、W 3、W 4表示权重矩阵，α ij表示针对第i个节点与第j个节点的权重矩阵(比如设置为对角矩阵)，pred i表示第i个节点经过T次迭代后的预测概率，corss_entrep表示用于计算交叉熵的函数。”
在上例的场景下，对于步骤S206，所述利用标注样本，训练所述图结构模型，具体可以包括：利用反向传播算法和标注的样本，对以下公式进行优化，求得最优的W 1、W 2、W 3、W 4：
Figure PCTCN2018104930-appb-000005
这里的优化目标是基于预测概率与标注结果的交叉熵设置的。需要说明的是，实际上还可以基于交叉熵以外的，其他能够度量预测概率与标注结果的一致性的参数来设置优化目标，优化目标是使得预测概率与标注结果的一致性尽量高。
上面的公式一、公式二、公式三都是示例性的，并非唯一方案。比如，公式一中F i、E ij、
Figure PCTCN2018104930-appb-000006
分别的所在项可以通过乘法、指数或者对数等运算进行变形，或者还可以合并这两项，或者还可以删除其中一项；再比如，公式二中也可以将softmax函数替换为其他适用的归一化函数；等等。
进一步地，训练图结构模型后，可以利用训练后的图结构模型，通过前向传播，计算已有的样本以及新样本的嵌入向量和/或预测概率。进而可以将计算出的嵌入向量和/或预测概率用于样本相关的业务，比如，将嵌入向量作为其他模型的输入(如集合其他有监督、无监督或者增强学习进行再整合等)，或者直接使用嵌入向量或者预测概率，判定对应样本的性质，以异常账号防控为例，比如，当对某账号的预测概率高于一定阈值时，可以判定该账号为异常账号进而能够防控。
基于同样的思路，本说明书实施例还提供了一种基于图结构模型的异常账号防控方法，图3为该异常账号防控方法的流程示意图。图3中的流程包括以下步骤：
S302：获取利用标注样本训练过的图结构模型，所述图结构模型根据账号关系网络定义，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成；所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量。
在本说明书实施例中，图3中的图结构模型即是利用图2的方法训练的，可以参照上面对图2的说明理解图3的方法。
S304：利用所述训练过的图结构模型，计算待测样本对应的嵌入向量。
S306：根据所述待测样本对应的嵌入向量，对所述待测样本进行异常账号防控；其中，所述标注样本被标注了其对应的节点是否为异常节点。
在实际应用中，预测概率能够直观地表现样本所涉及的账号是异常账号的可能性。因此，对于步骤S306，可以根据待测样本对应的嵌入向量，利用训练过的图结构模型， 进一步地计算出待测样本对应的预测概率，再根据待测样本对应的预测概率，对待测样本进行异常账号防控。比如，假定某待测样本为账号，则若计算出的该账号对应的预测概率大于设定阈值，则可以判定该账号为异常账号，进而可以对其进行诸如冻结、注销等处理。
基于同样的思路，本说明书实施例还提供了上述方法的对应装置，如图4、图5所示。
图4为本说明书实施例提供的对应于图2的一种图结构模型训练装置的结构示意图，所述装置包括：
建立模块401，根据账号注册和/或认证时的相关数据，建立账号关系网络，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成；
定义模块402，根据所述账号关系网络，定义图结构模型，所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量；
训练模块403，利用标注样本，训练所述图结构模型，所述标注样本被标注了其对应的节点是否为异常节点。
图5为本说明书实施例提供的对应于图3的一种基于图结构模型的异常账号防控装置的结构示意图，所述装置包括：
获取模块501，获取利用标注样本训练过的图结构模型，所述图结构模型根据账号关系网络定义，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成；所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量；
计算模块502，利用所述训练过的图结构模型，计算待测样本对应的嵌入向量；
防控模块503，根据所述待测样本对应的嵌入向量，对所述待测样本进行异常账号防控；
其中，所述标注样本被标注了其对应的节点是否为异常节点。
可选地，所述图结构模型还用于根据所述嵌入向量，计算所述节点的预测概率，所 述预测概率表示所述节点是异常节点的概率；
所述防控模块503根据所述待测样本对应的嵌入向量，对所述待测样本进行异常账号防控，具体包括：
所述防控模块503根据所述待测样本对应的嵌入向量，利用所述训练过的图结构模型，计算所述待测样本对应的预测概率；
根据所述待测样本对应的预测概率，对所述待测样本进行异常账号防控。
可选地，所述账号关系网络是根据账号注册和/或认证时的相关数据建立的。
可选地，所述账号关系网络包括以下一种或者多种网络的组合：账号与国际移动设备身份码IMEI的关联关系网络、账号与媒体访问控制MAC地址的关联关系网络、账号与网际协议IP地址的关联关系网络、账号与手机号的关联关系网络、账号与国际移动用户识别码IMSI的关联关系网络、账号与邮箱地址的关联关系网络、账号与证件号的关联关系网络、账号与银行卡号的关联关系网络、账号与位置信息的关联关系网络。
可选地，所述原始特征包括以下至少一类数据：节点类型、注册账号数、认证账号数、异常账号数、时间相关统计数据；
所述边的特征包括所述边连接的节点涉及的以下至少一类数据：行为发生时间、行为耗时、行为失败次数；所述行为包括注册行为和/或认证行为。
可选地，隐特征空间中所述节点在第t次迭代后的嵌入向量是根据所述节点的原始特征、所述节点与其他节点关联的边的特征，以及隐特征空间中所述节点在第t-1次迭代后的嵌入向量计算得到的。
可选地，所述根据节点的原始特征，和所述节点间节点关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量，具体包括：
所述计算模块502按照如下公式，计算隐特征空间中所述节点多次迭代后的嵌入向量：
Figure PCTCN2018104930-appb-000007
其中，
Figure PCTCN2018104930-appb-000008
表示隐特征空间中第i个节点在第t次迭代后的嵌入向量，σ表示非线性变换函数，W 1、W 2、W 3表示权重矩阵，F i表示第i个节点的原始特征，E ij表示第i个 节点与第j个节点关联的边的特征，N i表示第i个节点的邻居节点构成的集合，α ij表示针对第i个节点与第j个节点的权重矩阵。
可选地，所述根据所述嵌入向量，计算所述节点的预测概率，具体包括：
所述计算模块502按照如下公式，计算所述节点的预测概率：
Figure PCTCN2018104930-appb-000009
其中，pred i表示第i个节点经过T次迭代后的预测概率，W 4表示权重矩阵。
可选地，利用标注样本训练所述图结构模型，具体包括：
利用标注样本，以所述预测概率与其对应的样本标注结果的一致性最大化为训练目标，训练所述图结构模型。
可选地，利用标注样本训练所述图结构模型，具体包括：
利用反向传播算法和标注的样本，对
Figure PCTCN2018104930-appb-000010
进行优化，求得最优的W 1、W 2、W 3、W 4；
其中，corss_entrep表示用于计算交叉熵的函数。
基于同样的思路，本说明书实施例还提供了对应于图2的一种图结构模型训练设备，包括：
至少一个处理器；以及，
与所述至少一个处理器通信连接的存储器；其中，
所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：
根据账号注册和/或认证时的相关数据，建立账号关系网络，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成；
根据所述账号关系网络，定义图结构模型，所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量；
利用标注样本，训练所述图结构模型，所述标注样本被标注了其对应的节点是 否为异常节点。
基于同样的思路，本说明书实施例还提供了对应于图3的一种基于图结构模型的异常账号防控设备，包括：
至少一个处理器；以及，
与所述至少一个处理器通信连接的存储器；其中，
所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：
获取利用标注样本训练过的图结构模型，所述图结构模型根据账号关系网络定义，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成；所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量；
利用所述训练过的图结构模型，计算待测样本对应的嵌入向量；
根据所述待测样本对应的嵌入向量，对所述待测样本进行异常账号防控；
其中，所述标注样本被标注了其对应的节点是否为异常节点。
基于同样的思路，本说明书实施例还提供了对应于图2的一种非易失性计算机存储介质，存储有计算机可执行指令，所述计算机可执行指令设置为：
根据账号注册和/或认证时的相关数据，建立账号关系网络，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成；
根据所述账号关系网络，定义图结构模型，所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量；
利用标注样本，训练所述图结构模型，所述标注样本被标注了其对应的节点是否为异常节点。
基于同样的思路，本说明书实施例还提供了对应于图3的一种非易失性计算机存储介质，存储有计算机可执行指令，所述计算机可执行指令设置为：
获取利用标注样本训练过的图结构模型，所述图结构模型根据账号关系网络定 义，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成；所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量；
利用所述训练过的图结构模型，计算待测样本对应的嵌入向量；
根据所述待测样本对应的嵌入向量，对所述待测样本进行异常账号防控；
其中，所述标注样本被标注了其对应的节点是否为异常节点。
上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置、设备、非易失性计算机存储介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
本说明书实施例提供的装置、设备、非易失性计算机存储介质与方法是对应的，因此，装置、设备、非易失性计算机存储介质也具有与对应方法类似的有益技术效果，由于上面已经对方法的有益技术效果进行了详细说明，因此，这里不再赘述对应装置、设备、非易失性计算机存储介质的有益技术效果。
在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(Programmable Logic Device,PLD)(例如现场可编程门阵列(Field Programmable Gate Array，FPGA))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字系统“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开 发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(Hardware Description Language，HDL)，而HDL也并非仅有一种，而是有许多种，如ABEL(Advanced Boolean Expression Language)、AHDL(Altera Hardware Description Language)、Confluence、CUPL(Cornell University Programming Language)、HDCal、JHDL(Java Hardware Description Language)、Lava、Lola、MyHDL、PALASM、RHDL(Ruby Hardware Description Language)等，目前最普遍使用的是VHDL(Very-High-Speed Integrated Circuit Hardware Description Language)与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。
控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC 625D、Atmel AT91SAM、Microchip PIC18F26K20以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。
上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。
为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本说明书时可以把各单元的功能在同一个或多个软件和/或硬件中实现。
本领域内的技术人员应明白，本说明书实施例可提供为方法、系统、或计算机程序产品。因此，本说明书实施例可采用完全硬件实施例、完全软件实施例、或结合软 件和硬件方面的实施例的形式。而且，本说明书实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本说明书是参照根据本说明书实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。
内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。
计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带， 磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。
本说明书可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本说明书，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
以上所述仅为本说明书实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (21)

  1. 一种基于图结构模型的异常账号防控方法，包括：
    获取利用标注样本训练过的图结构模型，所述图结构模型根据账号关系网络定义，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成；所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量；
    利用所述训练过的图结构模型，计算待测样本对应的嵌入向量；
    根据所述待测样本对应的嵌入向量，对所述待测样本进行异常账号防控；
    其中，所述标注样本被标注了其对应的节点是否为异常节点。
  2. 如权利要求1所述的方法，所述图结构模型还用于根据所述嵌入向量，计算所述节点的预测概率，所述预测概率表示所述节点是异常节点的概率；
    所述根据所述待测样本对应的嵌入向量，对所述待测样本进行异常账号防控，具体包括：
    根据所述待测样本对应的嵌入向量，利用所述训练过的图结构模型，计算所述待测样本对应的预测概率；
    根据所述待测样本对应的预测概率，对所述待测样本进行异常账号防控。
  3. 如权利要求1所述的方法，所述账号关系网络是根据账号注册和/或认证时的相关数据建立的。
  4. 如权利要求1所述的方法，所述账号关系网络包括以下一种或者多种网络的组合：账号与国际移动设备身份码IMEI的关联关系网络、账号与媒体访问控制MAC地址的关联关系网络、账号与网际协议IP地址的关联关系网络、账号与手机号的关联关系网络、账号与国际移动用户识别码IMSI的关联关系网络、账号与邮箱地址的关联关系网络、账号与证件号的关联关系网络、账号与银行卡号的关联关系网络、账号与位置信息的关联关系网络。
  5. 如权利要求1所述的方法，所述原始特征包括以下至少一类数据：节点类型、注册账号数、认证账号数、异常账号数、时间相关统计数据；
    所述边的特征包括所述边连接的节点涉及的以下至少一类数据：行为发生时间、行为耗时、行为失败次数；所述行为包括注册行为和/或认证行为。
  6. 如权利要求1所述的方法，隐特征空间中所述节点在第t次迭代后的嵌入向量是根据所述节点的原始特征、所述节点与其他节点关联的边的特征，以及隐特征空间中所述节点在第t-1次迭代后的嵌入向量计算得到的。
  7. 如权利要求2所述的方法，所述根据节点的原始特征，和所述节点间节点关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量，具体包括：
    按照如下公式，计算隐特征空间中所述节点多次迭代后的嵌入向量：
    Figure PCTCN2018104930-appb-100001
    其中，
    Figure PCTCN2018104930-appb-100002
    表示隐特征空间中第i个节点在第t次迭代后的嵌入向量，σ表示非线性变换函数，W 1、W 2、W 3表示权重矩阵，F i表示第i个节点的原始特征，E ij表示第i个节点与第j个节点关联的边的特征，N i表示第i个节点的邻居节点构成的集合，α ij表示针对第i个节点与第j个节点的权重矩阵。
  8. 如权利要求7所述的方法，所述根据所述嵌入向量，计算所述节点的预测概率，具体包括：
    按照如下公式，计算所述节点的预测概率：
    Figure PCTCN2018104930-appb-100003
    其中，pred i表示第i个节点经过T次迭代后的预测概率，W 4表示权重矩阵。
  9. 如权利要求2所述的方法，利用标注样本训练所述图结构模型，具体包括：
    利用标注样本，以所述预测概率与其对应的样本标注结果的一致性最大化为训练目标，训练所述图结构模型。
  10. 如权利要求8所述的方法，利用标注样本训练所述图结构模型，具体包括：
    利用反向传播算法和标注的样本，对
    Figure PCTCN2018104930-appb-100004
    进行优化，求得最优的W 1、W 2、W 3、W 4；
    其中，corss_entrep表示用于计算交叉熵的函数。
  11. 一种基于图结构模型的异常账号防控装置，包括：
    获取模块，获取利用标注样本训练过的图结构模型，所述图结构模型根据账号关系网络定义，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成；所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量；
    计算模块，利用所述训练过的图结构模型，计算待测样本对应的嵌入向量；
    防控模块，根据所述待测样本对应的嵌入向量，对所述待测样本进行异常账号防控；
    其中，所述标注样本被标注了其对应的节点是否为异常节点。
  12. 如权利要求11所述的装置，所述图结构模型还用于根据所述嵌入向量，计算所述节点的预测概率，所述预测概率表示所述节点是异常节点的概率；
    所述防控模块根据所述待测样本对应的嵌入向量，对所述待测样本进行异常账号防控，具体包括：
    所述防控模块根据所述待测样本对应的嵌入向量，利用所述训练过的图结构模型，计算所述待测样本对应的预测概率；
    根据所述待测样本对应的预测概率，对所述待测样本进行异常账号防控。
  13. 如权利要求11所述的装置，所述账号关系网络是根据账号注册和/或认证时的相关数据建立的。
  14. 如权利要求11所述的装置，所述账号关系网络包括以下一种或者多种网络的组合：账号与国际移动设备身份码IMEI的关联关系网络、账号与媒体访问控制MAC地址的关联关系网络、账号与网际协议IP地址的关联关系网络、账号与手机号的关联关系网络、账号与国际移动用户识别码IMSI的关联关系网络、账号与邮箱地址的关联关系网络、账号与证件号的关联关系网络、账号与银行卡号的关联关系网络、账号与位置信息的关联关系网络。
  15. 如权利要求11所述的装置，所述原始特征包括以下至少一类数据：节点类型、注册账号数、认证账号数、异常账号数、时间相关统计数据；
    所述边的特征包括所述边连接的节点涉及的以下至少一类数据：行为发生时间、行为耗时、行为失败次数；所述行为包括注册行为和/或认证行为。
  16. 如权利要求11所述的装置，隐特征空间中所述节点在第t次迭代后的嵌入向量是根据所述节点的原始特征、所述节点与其他节点关联的边的特征，以及隐特征空间中所述节点在第t-1次迭代后的嵌入向量计算得到的。
  17. 如权利要求12所述的装置，所述根据节点的原始特征，和所述节点间节点关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量，具体包括：
    所述计算模块按照如下公式，计算隐特征空间中所述节点多次迭代后的嵌入向量：
    Figure PCTCN2018104930-appb-100005
    其中，
    Figure PCTCN2018104930-appb-100006
    表示隐特征空间中第i个节点在第t次迭代后的嵌入向量，σ表示非线性变换函数，W 1、W 2、W 3表示权重矩阵，F i表示第i个节点的原始特征，E ij表示第i个 节点与第j个节点关联的边的特征，N i表示第i个节点的邻居节点构成的集合，α ij表示针对第i个节点与第j个节点的权重矩阵。
  18. 如权利要求17所述的装置，所述根据所述嵌入向量，计算所述节点的预测概率，具体包括：
    所述计算模块按照如下公式，计算所述节点的预测概率：
    Figure PCTCN2018104930-appb-100007
    其中，pred i表示第i个节点经过T次迭代后的预测概率，W 4表示权重矩阵。
  19. 如权利要求12所述的装置，利用标注样本训练所述图结构模型，具体包括：
    利用标注样本，以所述预测概率与其对应的样本标注结果的一致性最大化为训练目标，训练所述图结构模型。
  20. 如权利要求18所述的装置，利用标注样本训练所述图结构模型，具体包括：
    利用反向传播算法和标注的样本，对
    Figure PCTCN2018104930-appb-100008
    进行优化，求得最优的W 1、W 2、W 3、W 4；
    其中，corss_entrep表示用于计算交叉熵的函数。
  21. 一种基于图结构模型的异常账号防控设备，包括：
    至少一个处理器；以及，
    与所述至少一个处理器通信连接的存储器；其中，
    所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：
    获取利用标注样本训练过的图结构模型，所述图结构模型根据账号关系网络定义，所述账号关系网络由账号，设备信息、网络信息、位置信息、身份信息中的一种或者多种节点以及所述节点间关系构成；所述图结构模型用于根据所述节点的原始特征，和/或所述节点间关联的边的特征，计算隐特征空间中所述节点多次迭代后的嵌入向量；
    利用所述训练过的图结构模型，计算待测样本对应的嵌入向量；
    根据所述待测样本对应的嵌入向量，对所述待测样本进行异常账号防控；
    其中，所述标注样本被标注了其对应的节点是否为异常节点。
PCT/CN2018/104930 2017-12-15 2018-09-11 一种基于图结构模型的异常账号防控方法、装置以及设备 Ceased WO2019114344A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP18888001.7A EP3654610B1 (en) 2017-12-15 2018-09-11 Graphical structure model-based method for prevention and control of abnormal accounts, and device
SG11202001249WA SG11202001249WA (en) 2017-12-15 2018-09-11 Method, apparatus, and device for abnormal account prevention and control based on graphical structure model
US16/809,308 US11102230B2 (en) 2017-12-15 2020-03-04 Graphical structure model-based prevention and control of abnormal accounts
US17/231,693 US11223644B2 (en) 2017-12-15 2021-04-15 Graphical structure model-based prevention and control of abnormal accounts

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201711349601.3 2017-12-15
CN201711349601.3A CN109936525B (zh) 2017-12-15 2017-12-15 一种基于图结构模型的异常账号防控方法、装置以及设备

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/809,308 Continuation US11102230B2 (en) 2017-12-15 2020-03-04 Graphical structure model-based prevention and control of abnormal accounts

Publications (1)

Publication Number Publication Date
WO2019114344A1 true WO2019114344A1 (zh) 2019-06-20

Family

ID=66818912

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/104930 Ceased WO2019114344A1 (zh) 2017-12-15 2018-09-11 一种基于图结构模型的异常账号防控方法、装置以及设备

Country Status (6)

Country Link
US (2) US11102230B2 (zh)
EP (1) EP3654610B1 (zh)
CN (1) CN109936525B (zh)
SG (1) SG11202001249WA (zh)
TW (1) TWI682304B (zh)
WO (1) WO2019114344A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111953535A (zh) * 2020-07-31 2020-11-17 鹏城实验室 一种网络故障定位方法、终端及存储介质
CN112541022A (zh) * 2020-12-18 2021-03-23 网易（杭州）网络有限公司 异常对象检测方法、装置、存储介质及电子设备
CN113010896A (zh) * 2021-03-17 2021-06-22 北京百度网讯科技有限公司 确定异常对象的方法、装置、设备、介质和程序产品
CN113034123A (zh) * 2021-02-19 2021-06-25 腾讯科技（深圳）有限公司 异常资源转移识别方法、装置、电子设备及可读存储介质

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109936525B (zh) 2017-12-15 2020-07-31 阿里巴巴集团控股有限公司 一种基于图结构模型的异常账号防控方法、装置以及设备
CN110473083B (zh) * 2019-07-08 2023-07-14 创新先进技术有限公司 树状风险账户识别方法、装置、服务器及存储介质
CN112861120A (zh) * 2019-11-27 2021-05-28 深信服科技股份有限公司 识别方法、设备及存储介质
CN111107057B (zh) * 2019-11-28 2022-06-14 泰康保险集团股份有限公司 异常用户账号检测方法、装置、设备及存储介质
US20210209217A1 (en) * 2020-01-03 2021-07-08 Unity Technologies Sf Method and system for authentication using mobile device id based two factor authentication
CN111506895A (zh) * 2020-04-17 2020-08-07 支付宝(杭州)信息技术有限公司 一种应用登录图的构建方法及装置
CN111582872A (zh) * 2020-05-06 2020-08-25 支付宝(杭州)信息技术有限公司 异常账号检测模型训练、异常账号检测方法、装置及设备
CN111639687B (zh) * 2020-05-19 2024-03-01 北京三快在线科技有限公司 一种模型训练以及异常账号识别方法及装置
CN111740977B (zh) * 2020-06-16 2022-06-21 北京奇艺世纪科技有限公司 投票检测方法及装置、电子设备、计算机可读存储介质
CN112073217B (zh) * 2020-08-07 2023-03-24 之江实验室 一种多网络结构差异向量化方法及装置
CN112134998B (zh) * 2020-09-09 2021-08-17 中移（杭州）信息技术有限公司 码号区分方法、电子设备和计算机可读存储介质
WO2022120840A1 (en) * 2020-12-11 2022-06-16 Beijing Didi Infinity Technology And Development Co., Ltd. Systems and methods for improving security
CN112633892A (zh) * 2020-12-28 2021-04-09 北京三快在线科技有限公司 一种账号检测的方法及装置
CN113807862B (zh) * 2021-01-29 2025-01-10 北京沃东天骏信息技术有限公司 访问安全控制方法、装置、设备及存储介质
US11796368B2 (en) 2021-02-04 2023-10-24 Chengdu Qinchuan Iot Technology Co., Ltd. Methods and systems for measuring energy of natural gas based on Internet of Things
CN114399336B (zh) * 2022-01-14 2024-07-09 成都秦川物联网科技股份有限公司 一种基于物联网的天然气能量计量方法和系统
CN113011979B (zh) * 2021-03-29 2024-10-15 中国银联股份有限公司 交易检测方法、模型的训练方法、装置及计算机可读存储介质
CN113378899B (zh) * 2021-05-28 2024-05-28 百果园技术(新加坡)有限公司 非正常账号识别方法、装置、设备和存储介质
CN113271315A (zh) * 2021-06-08 2021-08-17 工银科技有限公司 虚拟专用网络异常使用检测方法、装置和电子设备
CN114372803B (zh) * 2021-12-14 2025-06-03 同济大学 一种基于交易图谱的快速反洗钱检测方法
CN114548241A (zh) * 2022-01-29 2022-05-27 北京三快在线科技有限公司 被盗账户检测方法、装置、电子设备
CN114611081B (zh) * 2022-03-04 2024-07-05 腾讯科技（深圳）有限公司 账号类型识别方法、装置、设备、存储介质及产品
CN120418810A (zh) * 2022-10-12 2025-08-01 维萨国际服务协会 用于基于图的异常节点生成机器学习模型的系统、方法和计算机程序产品
CN116680633B (zh) * 2023-05-06 2024-01-26 国网四川省电力公司广安供电公司 基于多任务学习的异常用户检测方法、系统及存储介质
CN118194205A (zh) * 2024-05-14 2024-06-14 北京芯盾时代科技有限公司 一种异常行为的检测方法、装置、电子设备及存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105357189A (zh) * 2015-10-13 2016-02-24 精硕世纪科技（北京）有限公司 僵尸账号检测方法和装置
US20160300059A1 (en) * 2014-05-21 2016-10-13 Microsoft Technology Licensing, Llc Risk assessment modeling
CN106372938A (zh) * 2015-07-21 2017-02-01 华为技术有限公司 异常账号识别方法及系统
CN107305611A (zh) * 2016-04-22 2017-10-31 腾讯科技（深圳）有限公司 恶意账号对应的模型建立方法和装置、恶意账号识别的方法和装置
CN107358075A (zh) * 2017-07-07 2017-11-17 四川大学 一种基于层次聚类的虚假用户检测方法

Family Cites Families (35)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EA200101238A1 (ru) * 1999-05-25 2002-10-31 Барнхилл Текнолоджиз, Ллс Усовершенствование извлечения знания из множества наборов данных с использованием множества машин с опорными векторами
US8059815B2 (en) * 2001-12-13 2011-11-15 Digimarc Corporation Transforming data files into logical storage units for auxiliary data through reversible watermarks
US7103772B2 (en) * 2003-05-02 2006-09-05 Giritech A/S Pervasive, user-centric network security enabled by dynamic datagram switch and an on-demand authentication and encryption scheme through mobile intelligent data carriers
US20090018940A1 (en) * 2007-03-30 2009-01-15 Liang Wang Enhanced Fraud Detection With Terminal Transaction-Sequence Processing
CN101448007B (zh) * 2008-12-31 2012-11-21 中国电力科学研究院 一种结构化查询语言sql攻击防御方法
EP2465085A4 (en) * 2009-08-10 2014-10-15 Mintigo Ltd SYSTEMS AND METHOD FOR GENERATING LINES IN A NETWORK BY PREDICTING THE CHARACTERISTICS OF EXTERNAL NODES
US8700551B2 (en) * 2009-08-10 2014-04-15 Venture Lending & Leasing Vi, Inc. Systems and methods for identifying provider noncustomers as likely acquisition targets
KR20130040049A (ko) * 2011-10-13 2013-04-23 주식회사 네오플 비정상 계정 검출 장치 및 방법
US9659185B2 (en) * 2012-03-22 2017-05-23 B.G. Negev Technologies And Applications Ltd. Method for detecting spammers and fake profiles in social networks
US9027134B2 (en) * 2013-03-15 2015-05-05 Zerofox, Inc. Social threat scoring
CN104468463B (zh) * 2013-09-12 2019-05-28 深圳市腾讯计算机系统有限公司 验证方法、装置和系统
CN104519031B (zh) * 2013-09-30 2018-03-09 西门子公司 一种用于恶意网络行为检测的方法和装置
CN103605791B (zh) * 2013-12-04 2017-08-25 深圳中兴网信科技有限公司 信息推送系统和信息推送方法
US20150188941A1 (en) * 2013-12-26 2015-07-02 Telefonica Digital Espana, S.L.U. Method and system for predicting victim users and detecting fake user accounts in online social networks
CN104954350B (zh) * 2014-03-31 2020-06-23 腾讯科技（深圳）有限公司 账号信息保护方法和系统
CN105447028B (zh) * 2014-08-27 2019-06-28 阿里巴巴集团控股有限公司 识别特征账号的方法及装置
US10536357B2 (en) * 2015-06-05 2020-01-14 Cisco Technology, Inc. Late data detection in data center
CN106469413B (zh) * 2015-08-20 2021-08-03 深圳市腾讯计算机系统有限公司 一种虚拟资源的数据处理方法及装置
CN105208009B (zh) * 2015-08-27 2020-09-15 腾讯科技（深圳）有限公司 一种账号安全检测方法及装置
CN105224507A (zh) * 2015-09-29 2016-01-06 杭州天宽科技有限公司 一种基于张量分解的缺失关联规则挖掘方法
US20170140382A1 (en) * 2015-11-12 2017-05-18 International Business Machines Corporation Identifying transactional fraud utilizing transaction payment relationship graph link prediction
CN107133865B (zh) * 2016-02-29 2021-06-01 阿里巴巴集团控股有限公司 一种信用分的获取、特征向量值的输出方法及其装置
US11443224B2 (en) * 2016-08-10 2022-09-13 Paypal, Inc. Automated machine learning feature processing
CN106327209A (zh) * 2016-08-24 2017-01-11 上海师范大学 一种基于信誉累积的多标准协作欺诈检测方法
CN106549974B (zh) * 2016-12-06 2020-06-02 北京知道创宇信息技术股份有限公司 预测社交网络账户是否恶意的设备、方法及系统
CN106803168B (zh) * 2016-12-30 2021-04-16 中国银联股份有限公司 一种异常转账侦测方法和装置
CN106843941B (zh) * 2016-12-31 2019-02-05 Oppo广东移动通信有限公司 信息处理方法、装置和计算机设备
CN107392456A (zh) * 2017-07-14 2017-11-24 武汉理工大学 一种融合互联网信息的多角度企业信用评估建模方法
CN109936525B (zh) 2017-12-15 2020-07-31 阿里巴巴集团控股有限公司 一种基于图结构模型的异常账号防控方法、装置以及设备
CN109934706B (zh) * 2017-12-15 2021-10-29 创新先进技术有限公司 一种基于图结构模型的交易风险控制方法、装置以及设备
CN108280755A (zh) * 2018-02-28 2018-07-13 阿里巴巴集团控股有限公司 可疑洗钱团伙的识别方法和识别装置
CN112348660B (zh) * 2020-10-21 2023-09-26 上海淇玥信息技术有限公司 生成风险警示信息的方法、装置及电子设备
CN112435034A (zh) * 2020-12-01 2021-03-02 天翼电子商务有限公司 一种基于多网络图聚合的营销套利黑产的识别方法
CN112581261A (zh) * 2020-12-22 2021-03-30 北京三快在线科技有限公司 一种风控规则确定方法及装置
CN112465411B (zh) * 2021-01-27 2021-06-04 支付宝(杭州)信息技术有限公司 一种风险预测方法、装置及设备

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160300059A1 (en) * 2014-05-21 2016-10-13 Microsoft Technology Licensing, Llc Risk assessment modeling
CN106372938A (zh) * 2015-07-21 2017-02-01 华为技术有限公司 异常账号识别方法及系统
CN105357189A (zh) * 2015-10-13 2016-02-24 精硕世纪科技（北京）有限公司 僵尸账号检测方法和装置
CN107305611A (zh) * 2016-04-22 2017-10-31 腾讯科技（深圳）有限公司 恶意账号对应的模型建立方法和装置、恶意账号识别的方法和装置
CN107358075A (zh) * 2017-07-07 2017-11-17 四川大学 一种基于层次聚类的虚假用户检测方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3654610A4 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111953535A (zh) * 2020-07-31 2020-11-17 鹏城实验室 一种网络故障定位方法、终端及存储介质
CN111953535B (zh) * 2020-07-31 2023-06-09 鹏城实验室 一种网络故障定位方法、终端及存储介质
CN112541022A (zh) * 2020-12-18 2021-03-23 网易（杭州）网络有限公司 异常对象检测方法、装置、存储介质及电子设备
CN113034123A (zh) * 2021-02-19 2021-06-25 腾讯科技（深圳）有限公司 异常资源转移识别方法、装置、电子设备及可读存储介质
CN113034123B (zh) * 2021-02-19 2024-03-12 腾讯科技（深圳）有限公司 异常资源转移识别方法、装置、电子设备及可读存储介质
CN113010896A (zh) * 2021-03-17 2021-06-22 北京百度网讯科技有限公司 确定异常对象的方法、装置、设备、介质和程序产品
CN113010896B (zh) * 2021-03-17 2023-10-03 北京百度网讯科技有限公司 确定异常对象的方法、装置、设备、介质和程序产品

Also Published As

Publication number Publication date
EP3654610B1 (en) 2022-02-16
US11223644B2 (en) 2022-01-11
EP3654610A1 (en) 2020-05-20
CN109936525A (zh) 2019-06-25
TWI682304B (zh) 2020-01-11
US11102230B2 (en) 2021-08-24
US20200204577A1 (en) 2020-06-25
EP3654610A4 (en) 2020-08-12
TW201928754A (zh) 2019-07-16
SG11202001249WA (en) 2020-03-30
US20210234881A1 (en) 2021-07-29
CN109936525B (zh) 2020-07-31

Similar Documents

Publication Publication Date Title
WO2019114344A1 (zh) 一种基于图结构模型的异常账号防控方法、装置以及设备
CN110278175B (zh) 图结构模型训练、垃圾账户识别方法、装置以及设备
WO2019114434A1 (zh) 一种基于图结构模型的交易风险控制方法、装置以及设备
WO2019114412A1 (zh) 一种基于图结构模型的信用风险控制方法、装置以及设备
US20170150235A1 (en) Jointly Modeling Embedding and Translation to Bridge Video and Language
CN113705797B (zh) 基于图神经网络的推荐模型训练方法、装置、设备及介质
CN111831675A (zh) 一种仓储模型训练方法、装置、计算机设备及存储介质
CN110119860B (zh) 一种垃圾账号检测方法、装置以及设备
CN113837635A (zh) 风险检测处理方法、装置及设备
CN112528029A (zh) 文本分类模型处理方法、装置、计算机设备及存储介质
WO2020253038A1 (zh) 一种模型构建方法及装置
CN111709415A (zh) 目标检测方法、装置、计算机设备和存储介质
CN109948140B (zh) 一种词向量嵌入方法及装置
CN117235257A (zh) 基于人工智能的情感预测方法、装置、设备及存储介质
CN119250201A (zh) 气象信息确定方法、装置、电子设备以及存储介质
CN116542673A (zh) 应用于机器学习的欺诈行为识别方法及系统
CN110830515A (zh) 流量检测方法、装置、电子设备
CN116150645A (zh) 一种安全检测方法、装置、设备及可读存储介质
CN114792256A (zh) 基于模型选择的人群扩量方法及装置
CN116150429A (zh) 异常对象识别方法、装置、计算设备以及存储介质
US10970341B2 (en) Predictive modeling in event processing systems for big data processing in cloud
CN116433953A (zh) 图节点分类模型训练方法、装置、电子设备及存储介质
Liu et al. A Load Forecasting Algorithm for Power Internet of Things Using Training Data Dimension Expansion and Ensemble Learning Technique
CN117218474A (zh) 模型训练方法、装置、电子设备及存储介质
CN117011874A (zh) 基于人工智能的文本检测方法、装置、设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18888001

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2018888001

Country of ref document: EP

Effective date: 20200212

NENP Non-entry into the national phase

Ref country code: DE