本發(fā)明涉及信息安全技術(shù)領(lǐng)域，尤其涉及一種判斷金融賬戶是否惡意的方法、設(shè)備及計算設(shè)備。

背景技術(shù)：

隨著網(wǎng)絡通信技術(shù)的迅速發(fā)展、互聯(lián)網(wǎng)應用的持續(xù)深化、所承載信息的日益豐富，互聯(lián)網(wǎng)已成為人類社會重要的基礎(chǔ)設(shè)施。同時，隨著互聯(lián)網(wǎng)金融的發(fā)展，各種互聯(lián)網(wǎng)金融服務提供商更是層出不窮。通常地，這些例如網(wǎng)貸、電商和O2O平臺的金融服務商會推出收益豐厚的獎勵活動，例如注冊認證獎勵、充值返現(xiàn)、投標返利等等，這樣就催生了一批只關(guān)注返現(xiàn)并不投資/使用的惡意用戶。這些用戶給金融服務提供商造成了巨大的損失，使本應該優(yōu)質(zhì)用戶享受的福利，被他們惡意占有。

現(xiàn)有技術(shù)中使用驗證碼、身份證實名認證或者限制IP地址登錄來防止這些惡意用戶大批量注冊金融賬戶，但無法對單個的金融賬戶判斷其是否惡意。現(xiàn)有技術(shù)由于只能針對自身網(wǎng)站進行分析，無法做到對多個金融網(wǎng)站的金融賬戶進行統(tǒng)計分析，因此惡意賬戶識別率很低。而且，惡意用戶可以采用批量信息(批量IP地址、批量身份證號碼等)進行注冊，網(wǎng)站管理員無法察覺這些金融賬戶是否是惡意。

因此，迫切需要一種更先進的更有效的判斷金融賬戶是否惡意的方案。

技術(shù)實現(xiàn)要素：

為此，本發(fā)明提供一種判斷金融賬戶是否惡意的方案，以力圖解決或者至少緩解上面存在的至少一個問題。

根據(jù)本發(fā)明的一個方面，提供了一種判斷金融賬戶是否惡意的方法，適于在計算設(shè)備中執(zhí)行，計算設(shè)備與至少一個提供金融服務的金融服務器相連接，金融服務器允許用戶使用移動終端以金融賬戶進行操作，該方法包括步驟：采集至少一個金融服務器的日志；根據(jù)至少一個金融服務器的日志，提取一個金融賬戶的賬戶特征；以及根據(jù)提取的一個金融賬戶的賬戶特征，采用分類模型判斷該金融賬戶是否惡意。

根據(jù)本發(fā)明的另一方面，提供了一種判斷金融賬戶是否惡意的設(shè)備，與至少一個提供金融服務的金融服務器相連接，金融服務器允許用戶使用移動終端以金融賬戶進行操作，該設(shè)備包括：日志采集模塊，適于采集至少一個金融服務器的日志；特征提取模塊，適于根據(jù)至少一個金融服務器的日志，提取一個金融賬戶的賬戶特征；以及惡意判斷模塊，適于根據(jù)提取的一個金融賬戶的賬戶特征，采用分類模型判斷該金融賬戶是否惡意。

根據(jù)本發(fā)明的還有一個方面，提供了一種計算設(shè)備，包括根據(jù)本發(fā)明的判斷金融賬戶是否惡意的設(shè)備。

根據(jù)本發(fā)明的判斷金融賬戶是否惡意的方案利用來自多個金融服務器的日志，并結(jié)合外部的存儲裝置，能夠獲取到有效體現(xiàn)金融賬戶是否惡意的賬戶特征。而后根據(jù)獲取的賬戶特征采用分類模型能夠準確且可靠地對金融賬戶是否惡意進行判斷，從而可以幫助金融服務提供商有效甄別出惡意金融賬戶，提升運營效能。

附圖說明

為了實現(xiàn)上述以及相關(guān)目的，本文結(jié)合下面的描述和附圖來描述某些說明性方面，這些方面指示了可以實踐本文所公開的原理的各種方式，并且所有方面及其等效方面旨在落入所要求保護的主題的范圍內(nèi)。通過結(jié)合附圖閱讀下面的詳細描述，本公開的上述以及其它目的、特征和優(yōu)勢將變得更加明顯。遍及本公開，相同的附圖標記通常指代相同的部件或元素。

圖1示出了根據(jù)本發(fā)明的一個示例性實施方式的金融服務系統(tǒng)100的結(jié)構(gòu)框圖；

圖2示出了根據(jù)本發(fā)明的一個示例性實施方式的計算設(shè)備200的結(jié)構(gòu)框圖；

圖3示出了根據(jù)本發(fā)明的一個示例性實施方式的判斷金融賬戶是否惡意的設(shè)備300的結(jié)構(gòu)框圖；以及

圖4示出了根據(jù)本發(fā)明的一個示例性實施方式的判斷金融賬戶是否惡意的方法400的流程圖。

具體實施方式

下面將參照附圖更詳細地描述本公開的示例性實施例。雖然附圖中顯示了本公開的示例性實施例，然而應當理解，可以以各種形式實現(xiàn)本公開而不應被這里闡述的實施例所限制。相反，提供這些實施例是為了能夠更透徹地理解本公開，并且能夠?qū)⒈竟_的范圍完整的傳達給本領(lǐng)域的技術(shù)人員。

圖1示出了根據(jù)本發(fā)明一個示例性實施方式的金融服務系統(tǒng)100的結(jié)構(gòu)框圖。金融服務系統(tǒng)100可以包括多個金融服務器120，每個金融服務器120可以向用戶提供金融服務(例如借貸、理財?shù)鹊?，并允許用戶使用移動終端110以金融服務器120對應的金融賬戶進行操作?？梢岳斫獾?，金融服務器120可以將用戶注冊金融賬戶、以金融賬戶進行操作等等產(chǎn)生的各種信息存儲至該金融服務器120的日志中。

如圖1所示，計算設(shè)備200與至少一個提供金融服務的金融服務器120相連接，可以采集這些金融服務器120的日志，并根據(jù)日志中的信息判斷金融賬戶是否惡意。

圖2示出了根據(jù)本發(fā)明一個示例性實施方式的實現(xiàn)本發(fā)明方案的計算設(shè)備200的結(jié)構(gòu)框圖。在基本的配置202中，計算設(shè)備200典型地包括系統(tǒng)存儲器206和一個或者多個處理器204。存儲器總線208可以用于在處理器204和系統(tǒng)存儲器206之間的通信。

取決于期望的配置，處理器204可以是任何類型的處理，包括但不限于：微處理器((μP)、微控制器(μC)、數(shù)字信息處理器(DSP)或者它們的任何組合。處理器204可以包括諸如一級高速緩存210和二級高速緩存212之類的一個或者多個級別的高速緩存、處理器核心214和寄存器216。示例的處理器核心214可以包括運算邏輯單元(ALU)、浮點數(shù)單元(FPU)、數(shù)字信號處理核心(DSP核心)或者它們的任何組合。示例的存儲器控制器218可以與處理器204一起使用，或者在一些實現(xiàn)中，存儲器控制器218可以是處理器204的一個內(nèi)部部分。

取決于期望的配置，系統(tǒng)存儲器206可以是任意類型的存儲器，包括但不限于：易失性存儲器(諸如RAM)、非易失性存儲器(諸如ROM、閃存等)或者它們的任何組合。系統(tǒng)存儲器206可以包括操作系統(tǒng)220、一個或者多個應用222以及程序數(shù)據(jù)224。應用222可以包括被配置為實現(xiàn)本發(fā)明方案的判斷金融賬戶是否惡意的設(shè)備300。在一些實施方式中，應用222可以布置為在操作系統(tǒng)上利用程序數(shù)據(jù)224進行操作。

計算設(shè)備200還可以包括有助于從各種接口設(shè)備(例如，輸出設(shè)備242、外設(shè)接口244和通信設(shè)備246)到基本配置202經(jīng)由總線/接口控制器230的通信的接口總線240。示例的輸出設(shè)備242包括圖形處理單元248和音頻處理單元250。它們可以被配置為有助于經(jīng)由一個或者多個A/V端口252與諸如顯示器或者揚聲器之類的各種外部設(shè)備進行通信。示例外設(shè)接口244可以包括串行接口控制器254和并行接口控制器256，它們可以被配置為有助于經(jīng)由一個或者多個I/O端口258和諸如輸入設(shè)備(例如，鍵盤、鼠標、筆、語音輸入設(shè)備、觸摸輸入設(shè)備)或者其他外設(shè)(例如打印機、掃描儀等)之類的外部設(shè)備進行通信。示例的通信設(shè)備246可以包括網(wǎng)絡控制器260，其可以被布置為便于經(jīng)由一個或者多個通信端口264與一個或者多個其他計算設(shè)備262通過網(wǎng)絡通信鏈路的通信。

網(wǎng)絡通信鏈路可以是通信介質(zhì)的一個示例。通信介質(zhì)通常可以體現(xiàn)為在諸如載波或者其他傳輸機制之類的調(diào)制數(shù)據(jù)信號中的計算機可讀指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊，并且可以包括任何信息遞送介質(zhì)?！罢{(diào)制數(shù)據(jù)信號”可以這樣的信號，它的數(shù)據(jù)集中的一個或者多個或者它的改變可以在信號中編碼信息的方式進行。作為非限制性的示例，通信介質(zhì)可以包括諸如有線網(wǎng)絡或者專線網(wǎng)絡之類的有線介質(zhì)，以及諸如聲音、射頻(RF)、微波、紅外(IR)或者其它無線介質(zhì)在內(nèi)的各種無線介質(zhì)。這里使用的術(shù)語計算機可讀介質(zhì)可以包括存儲介質(zhì)和通信介質(zhì)二者。

計算設(shè)備200可以實現(xiàn)為小尺寸便攜(或者移動)電子設(shè)備的一部分，這些電子設(shè)備可以是諸如蜂窩電話、個人數(shù)字助理(PDA)、個人媒體播放器設(shè)備、無線網(wǎng)絡瀏覽設(shè)備、個人頭戴設(shè)備、應用專用設(shè)備、或者可以包括上面任何功能的混合設(shè)備。計算設(shè)備200還可以實現(xiàn)為包括桌面計算機和筆記本計算機配置的個人計算機。

下面對駐留在計算設(shè)備200中的判斷金融賬戶是否惡意的設(shè)備300進行詳細說明。

圖3示出了根據(jù)本發(fā)明一個示例性實施方式的判斷金融賬戶是否惡意的設(shè)備300的結(jié)構(gòu)框圖。判斷金融賬戶是否惡意的設(shè)備300與至少一個提供金融服務的金融服務器120相連接，金融服務器120允許用戶使用移動終端以金融賬戶進行操作，如圖3所示，判斷金融賬戶是否惡意的設(shè)備可以包括日志采集模塊310、特征提取模塊320和惡意判斷模塊330。

日志采集模塊310可以采集至少一個金融服務器120的日志。根據(jù)本發(fā)明的一個實施方式，日志采集模塊310可以駐留在金融服務器120上，采集金融服務器120上的日志，也可以通過網(wǎng)絡向金融服務器120獲取日志。

日志采集模塊310采集到至少一個金融服務器120的日志之后，與日志采集模塊310連接的特征提取模塊320可以根據(jù)至少一個金融服務器120的日志，提取一個金融賬戶的賬戶特征。

根據(jù)本發(fā)明的一個實施方式，根據(jù)日志提取的賬戶特征可以包括以下特征：移動終端是否使用模擬器、是否越獄、以及是否對應于多個金融賬戶。

若用戶使用模擬器登錄金融賬戶，刻意隱藏其設(shè)備信息，或者使用越獄設(shè)備登錄，或者多個金融賬戶同時對應一個移動終端的設(shè)備標識(IMEI、IMSI號碼)，則可以認為該金融賬戶具有惡意的可能性較高，上述特征是可以作為判斷金融賬戶是否惡意的依據(jù)的特征。

提取這些特征的過程如下：

通常地，金融服務器120的日志可以包括用戶操作金融賬戶時所使用的移動終端110的設(shè)備信息，該移動終端與金融賬戶對應，設(shè)備信息包括移動終端是否使用模擬器、是否越獄、以及設(shè)備標識。

特征提取模塊320可以根據(jù)采集到的日志包括的設(shè)備信息確定一個金融賬戶對應的移動終端是否使用模擬器、是否越獄。具體地，特征提取模塊320獲取日志中一個金融賬戶的設(shè)備信息，而后直接提取設(shè)備信息中的移動終端是否使用模擬器、是否越獄的信息作為相應的賬戶特征。

特征提取模塊320還可以與設(shè)備信息存儲裝置相耦接，設(shè)備信息存儲裝置存儲有已知的金融賬戶、以及與該金融賬戶相對應的移動終端的設(shè)備信息。特征提取模塊320可以利用設(shè)備信息存儲裝置中存儲的金融賬戶和相對應的設(shè)備信息，根據(jù)日志包括的設(shè)備標識來確定移動終端是否對應于多個金融賬戶。具體地，特征提取模塊320可以查詢一個金融賬戶對應的移動終端的設(shè)備標識是否存在于設(shè)備信息存儲裝置中，若不存在，則確定該移動終端不對應于多個金融賬戶，若存在，則繼續(xù)查詢該設(shè)備標識是否對應于除了該一個金融賬戶以外的其他金融賬戶，若是，則確定移動終端對應于多個金融賬戶，否則確定移動終端不對應于多個金融賬戶。

根據(jù)本發(fā)明的另一個實施方式，賬戶特征還可以包括以下特征：手機號碼是否為惡意號碼。若金融賬戶綁定的手機號碼為惡意號碼，則可以認為該金融賬戶具有惡意的可能性較高，該特征是可以作為判斷金融賬戶是否惡意的依據(jù)的特征。

通常地，金融服務器120的日志包括金融賬戶綁定的手機號碼，同時設(shè)備300與惡意號碼存儲裝置相耦接，該惡意號碼存儲裝置存儲有已知的惡意手機號碼。這樣特征提取模塊320可以查詢?nèi)罩景ǖ囊粋€金融賬戶綁定的手機號碼是否存在于惡意號碼存儲裝置中，若存在，則確定該手機號碼為惡意號碼，否則不為惡意號碼。

根據(jù)本發(fā)明的另一個實施方式，賬戶特征還可以包括以下特征：IP地址是真實IP地址還是代理IP地址、來自該IP地址的訪問請求是否存在掃描行為、以及是否存在僅訪問特定內(nèi)容(例如獎勵、返現(xiàn)等免費活動)的行為。

若用戶使用代理IP地址訪問金融服務器120，或者存在對金融服務器進行掃描、訪問短暫、僅僅訪問特定內(nèi)容的這些行為，則可以認為該金融賬戶具有惡意的可能性較高。上述特征是可以作為判斷金融賬戶是否惡意的依據(jù)的特征。

提取這些特征的過程如下：

通常地，金融服務器120的日志包括用戶操作金融賬戶時所使用的IP地址、以及來自該IP地址的對至少一個金融服務器的訪問請求，訪問請求包括請求協(xié)議頭、請求時間以及請求訪問的目的地址。

特征提取模塊320可以從日志獲取來自一個金融賬戶對應的IP地址的、對該金融賬戶所屬的金融服務器的訪問請求。而后判斷該訪問請求的協(xié)議頭是否設(shè)置有特定字段，若是，則確定該IP地址是代理IP地址，否則，則確定該IP地址是真實IP地址，其中協(xié)議為HTTP協(xié)議，相應的特定字段為HTTP_VIA字段。

根據(jù)本發(fā)明的另一個實施方式，特征提取模塊320還可以對獲取到的至少一個金融服務器120中的每一個，都從日志獲取多個來自上述一個金融賬戶對應的IP地址的、對該金融服務器的訪問請求。而后通過計算這些訪問請求中最先的訪問請求與最后的訪問請求的時間差得到該IP地址對該金融服務器的訪問持續(xù)時間。最后判斷該訪問持續(xù)時間是否小于預定時間值，若是，則確定該IP地址短暫訪問該金融服務器。這樣，得到上述一個金融賬戶對應的IP地址對每個金融服務器是否短暫訪問的結(jié)果。

可以理解地，如果某些IP地址在各個金融服務器訪問持續(xù)時間比較短暫，低于預定時間值，則可以認為這些IP地址有可能在掃描金融服務器是否有某種獎勵活動。因此若確定上述一個金融賬戶對應的IP地址短暫訪問的金融服務器的數(shù)目比例大于預定數(shù)值(例如全部金融服務器的一半)，則確定來自該IP地址的訪問請求存在掃描行為。

根據(jù)本發(fā)明的另一個實施方式，特征提取模塊320還可以對至少一個金融服務器中的每一個，都從日志獲取多個來自上述一個金融賬戶對應的IP地址的、對該金融服務器的訪問請求，并判斷多個訪問請求的目的地址是否均指向該金融服務器上的特定內(nèi)容(例如獎勵、返現(xiàn)等活動)，若是，則確定該IP地址僅訪問該金融服務器上的特定內(nèi)容。

若存在IP地址只訪問金融服務器的獎勵活動的內(nèi)容、而不訪問其他內(nèi)容，則該IP地址存在惡意的可能性較高。因此若確定IP地址僅訪問特定內(nèi)容的金融服務器的數(shù)目比例大于預定數(shù)值(例如全部金融服務器的一半)，則確定來自該IP地址的訪問請求存在僅訪問特定內(nèi)容的行為。

根據(jù)本發(fā)明的另一個實施方式，賬戶特征還可以包括如下特征：金融賬戶是否存在刷單行為。刷單行為是常見的惡意金融賬戶存在的行為之一，因此該特征是可以作為判斷金融賬戶是否惡意的依據(jù)的特征。

具體地，上述設(shè)備信息還可以包括移動終端的設(shè)備型號，特征提取模塊320可以判斷日志包括的上述一個金融賬戶對應的移動終端的設(shè)備型號是否屬于特定設(shè)備型號，例如某些配置簡單價格低廉的移動終端的設(shè)備型號。而后判斷來自一個金融賬戶對應的IP地址的、對該金融賬戶所屬的金融服務器的訪問請求的請求時間是否均位于特定時間范圍(例如凌晨3點～4點之間)，并且目的地址均指向該金融服務器上的特定內(nèi)容(例如獎勵或返現(xiàn)活動的內(nèi)容)，還可以判斷上述一個金融賬戶對應的IP地址是否在預定時間段內(nèi)更換預定次數(shù)(例如10分鐘內(nèi)更換5次)。

若以上所有判斷均為是，則特征提取模塊320可以確定該金融賬戶存在刷單行為。

根據(jù)本發(fā)明的另一個實施方式，賬戶特征還可以包括以下特征：金融賬戶是否為異地登錄。通常，獲取的日志還可以包括金融賬戶的常用地理位置、以及其對應的移動終端當前的登錄位置。特征提取模塊320可以判斷日志包括的上述一個金融賬戶的登錄位置是否屬于常用地理位置。若不屬于，則確定該金融賬戶為異地登錄，否則不為異地登錄。其中，常用地理位置可以包括以下地理位置中的至少一個：手機號碼歸屬地、銀行卡開戶地、身份證所在地、以及常用的歷史登錄位置。

根據(jù)本發(fā)明的還有一個實施方式，賬戶特征還可以包括以下特征：金融賬戶是否為非正常登錄。特征提取模塊320可以判斷上述一個金融賬戶對應的移動終端的登錄位置是否在預定時間段內(nèi)更換預定次數(shù)(例如10分鐘內(nèi)更換5次)，若是，則確定該金融賬戶為非正常登錄，否則不為非正常登錄。

特征提取模塊320獲取到以上賬戶特征之后，與特征提取模塊320連接的惡意判斷模塊330可以根據(jù)提取的一個金融賬戶的賬戶特征，采用分類模型判斷該金融賬戶是否惡意。

具體地，根據(jù)本發(fā)明的一個實施方式，分類模型可以是邏輯回歸模型，并可以體現(xiàn)為以下公式：

其中，h_θ(x)為預測函數(shù)，并表示金融賬戶為惡意的概率，θ為回歸參數(shù)，x為由金融賬戶的賬戶特征所構(gòu)成的特征向量，Cost(h_θ(x),y)為邏輯回歸模型基于對數(shù)似然估計的損失函數(shù)，J(θ)為邏輯回歸模型的簡化損失函數(shù)，m為訓練樣本條數(shù)。其中，可以針對每一條訓練樣本進行迭代，并采用梯度下降法對簡化損失函數(shù)J(θ)求解，得到使得簡化損失函數(shù)J(θ)最小化的回歸參數(shù)θ。

最后，若p(y＝1|x)>0.5，則確定金融賬戶為惡意，若p(y＝1|x)≤0.5，則確定金融賬戶為非惡意。當然，上述公式所示的分類模型僅是示例性的，本領(lǐng)域技術(shù)人員也可以采用其他公式來定義分類模型，本發(fā)明對此不做限制。

這樣，本發(fā)明實現(xiàn)了對金融賬戶是否惡意的準確且可靠的判斷，從而可以幫助金融服務提供商有效甄別出惡意金融賬戶，提升運營效能。

圖4示出了根據(jù)本發(fā)明一個示例性實施方式的判斷金融賬戶是否惡意的方法400的流程圖。該方法400適于在計算設(shè)備200中執(zhí)行，計算設(shè)備200可以與至少一個提供金融服務的金融服務器120相連接，金融服務器120允許用戶使用移動終端110以金融賬戶進行操作，方法400始于步驟S410。

在步驟S410中，采集至少一個金融服務器的日志。而后在步驟S420中，可以根據(jù)至少一個金融服務器的日志，提取一個金融賬戶的賬戶特征。

根據(jù)本發(fā)明的一個實施方式，計算設(shè)備200可以耦接到設(shè)備信息存儲裝置，該設(shè)備信息存儲裝置存儲有已知的金融賬戶、以及與該金融賬戶相對應的移動終端的設(shè)備信息，采集的日志可以包括用戶操作金融賬戶時所使用的移動終端的設(shè)備信息，該設(shè)備信息包括移動終端是否使用模擬器、是否越獄、以及設(shè)備標識，提取的賬戶特征可以包括以下特征：移動終端是否使用模擬器、是否越獄、以及是否對應于多個金融賬戶。則S420可以包括步驟：根據(jù)日志包括的設(shè)備信息確定一個金融賬戶對應的移動終端是否使用模擬器、是否越獄，以及利用設(shè)備信息存儲裝置中存儲的金融賬戶和相對應的設(shè)備信息，根據(jù)日志包括的設(shè)備標識來確定所述移動終端是否對應于多個金融賬戶。

根據(jù)本發(fā)明的另一個實施方式，計算設(shè)備200可以耦接到惡意號碼存儲裝置，該惡意號碼存儲裝置存儲有已知的惡意手機號碼，采集的日志可以包括金融賬戶綁定的手機號碼，提取的賬戶特征可以包括以下特征：手機號碼是否為惡意號碼。則步驟S420可以包括步驟：查詢?nèi)罩景ǖ囊粋€金融賬戶綁定的手機號碼是否存在于惡意號碼存儲裝置中，若是，則確定該手機號碼為惡意號碼，否則不為惡意號碼。

根據(jù)本發(fā)明的另一個實施方式，采集的日志還可以包括用戶操作金融賬戶時所使用的IP地址、以及來自該IP地址的對至少一個金融服務器的訪問請求。提取的賬戶特征還可以包括以下特征：IP地址是真實IP地址還是代理IP地址、來自該IP地址的訪問請求是否存在掃描行為、以及是否存在僅訪問特定內(nèi)容的行為。則步驟S420還可以包括步驟：從日志獲取來自一個金融賬戶對應的IP地址的、對該金融賬戶所屬的金融服務器的訪問請求，判斷該訪問請求的協(xié)議頭是否設(shè)置有特定字段，若是，則確定該IP地址是代理IP地址，否則，則確定該IP地址是真實IP地址，其中協(xié)議為HTTP協(xié)議，特定字段為HTTP_VIA字段。

根據(jù)本發(fā)明的另一個實施方式，步驟S420還可以包括步驟：對至少一個金融服務器中的每一個，從日志獲取多個來自一個金融賬戶對應的IP地址的、對該金融服務器的訪問請求，通過計算其中最先的訪問請求與最后的訪問請求的時間差得到該IP地址對該金融服務器的訪問持續(xù)時間，判斷該訪問持續(xù)時間是否小于預定時間值，若是，則確定該IP地址短暫訪問該金融服務器。若確定該IP地址短暫訪問的金融服務器的數(shù)目比例大于預定數(shù)值，則確定來自該IP地址的訪問請求存在掃描行為。

根據(jù)本發(fā)明的另一個實施方式，步驟S420還可以包括步驟：對至少一個金融服務器中的每一個，從日志獲取多個來自一個金融賬戶對應的IP地址的、對該金融服務器的訪問請求，判斷多個訪問請求的目的地址是否均指向該金融服務器上的特定內(nèi)容，若是，則確定該IP地址僅訪問該金融服務器上的特定內(nèi)容。若確定該IP地址僅訪問特定內(nèi)容的金融服務器的數(shù)目比例大于預定數(shù)值，則確定來自該IP地址的訪問請求存在僅訪問特定內(nèi)容的行為。

根據(jù)本發(fā)明的另一個實施方式，設(shè)備信息還可以包括設(shè)備型號，提取的賬戶特征還可以包括以下特征：金融賬戶是否存在刷單行為。則步驟S420還可以包括步驟：判斷日志包括的一個金融賬戶對應的移動終端的設(shè)備型號是否屬于特定設(shè)備型號，判斷來自一個金融賬戶對應的IP地址的、對該金融賬戶所屬的金融服務器的訪問請求的請求時間是否均位于特定時間范圍，并且目的地址均指向該金融服務器上的特定內(nèi)容，判斷一個金融賬戶對應的IP地址是否在預定時間段內(nèi)更換預定次數(shù)。若以上判斷均為是，則確定該金融賬戶存在刷單行為。

根據(jù)本發(fā)明的另一個實施方式，采集的日志還可以包括金融賬戶的常用地理位置、以及其對應的移動終端當前的登錄位置，提取的賬戶特征還可以包括以下特征：金融賬戶是否為異地登錄。則步驟S420還可以包括步驟：判斷一個金融賬戶的登錄位置是否屬于常用地理位置，若不屬于，則確定該金融賬戶為異地登錄，否則不為異地登錄，其中常用地理位置包括以下地理位置中的至少一個：手機號碼歸屬地、銀行卡開戶地、身份證所在地、以及常用的歷史登錄位置。

根據(jù)本發(fā)明的另一個實施方式，提取的賬戶特征還可以包括以下特征：金融賬戶是否為非正常登錄。步驟S420還可以包括步驟：判斷一個金融賬戶對應的移動終端的登錄位置是否在預定時間段內(nèi)更換預定次數(shù)，若是，則確定該金融賬戶為非正常登錄，否則不為非正常登錄。

提取了上述賬戶特征之后，最后在步驟S430中，可以根據(jù)提取的一個金融賬戶的賬戶特征，采用分類模型判斷該金融賬戶是否惡意。

根據(jù)本發(fā)明的還有一個實施方式，分類模型可以是邏輯回歸模型，并可以體現(xiàn)為以下公式：

其中，h_θ(x)為預測函數(shù)，并表示金融賬戶為惡意的概率，θ為回歸參數(shù)，x為由金融賬戶的賬戶特征所構(gòu)成的特征向量，Cost(h_θ(x),y)為邏輯回歸模型基于對數(shù)似然估計的損失函數(shù)，J(θ)為邏輯回歸模型的簡化損失函數(shù)，m為訓練樣本條數(shù)。其中，可以針對每一條訓練樣本進行迭代，并采用梯度下降法對簡化損失函數(shù)J(θ)求解，得到使得簡化損失函數(shù)J(θ)最小化的回歸參數(shù)θ。

最后，若p(y＝1|x)>0.5，則確定金融賬戶為惡意，若p(y＝1|x)≤0.5，則確定金融賬戶為非惡意。當然，上述公式所示的分類模型僅是示例性的，本領(lǐng)域技術(shù)人員也可以采用其他公式來定義分類模型，本發(fā)明對此不做限制。

以上在結(jié)合圖1～圖3說明判斷金融賬戶是否惡意的設(shè)備300的原理的具體描述中已經(jīng)對各步驟的相應處理進行了詳細解釋，這里不再對重復內(nèi)容進行贅述。

應當理解，為了精簡本公開并幫助理解各個發(fā)明方面中的一個或多個，在上面對本發(fā)明的示例性實施例的描述中，本發(fā)明的各個特征有時被一起分組到單個實施例、圖、或者對其的描述中。然而，并不應將該公開的方法解釋成反映如下意圖：即所要求保護的本發(fā)明要求比在每個權(quán)利要求中所明確記載的特征更多特征。更確切地說，如下面的權(quán)利要求書所反映的那樣，發(fā)明方面在于少于前面公開的單個實施例的所有特征。因此，遵循具體實施方式的權(quán)利要求書由此明確地并入該具體實施方式，其中每個權(quán)利要求本身都作為本發(fā)明的單獨實施例。

本領(lǐng)域那些技術(shù)人員應當理解在本文所公開的示例中的設(shè)備的模塊或單元或組件可以布置在如該實施例中所描述的設(shè)備中，或者可替換地可以定位在與該示例中的設(shè)備不同的一個或多個設(shè)備中。前述示例中的模塊可以組合為一個模塊或者此外可以分成多個子模塊。

本領(lǐng)域那些技術(shù)人員可以理解，可以對實施例中的設(shè)備中的模塊進行自適應性地改變并且把它們設(shè)置在與該實施例不同的一個或多個設(shè)備中?？梢园褜嵤├械哪K或單元或組件組合成一個模塊或單元或組件，以及此外可以把它們分成多個子模塊或子單元或子組件。除了這樣的特征和/或過程或者單元中的至少一些是相互排斥之外，可以采用任何組合對本說明書(包括伴隨的權(quán)利要求、摘要和附圖)中公開的所有特征以及如此公開的任何方法或者設(shè)備的所有過程或單元進行組合。除非另外明確陳述，本說明書(包括伴隨的權(quán)利要求、摘要和附圖)中公開的每個特征可以由提供相同、等同或相似目的的替代特征來代替。

此外，本領(lǐng)域的技術(shù)人員能夠理解，盡管在此所述的一些實施例包括其它實施例中所包括的某些特征而不是其它特征，但是不同實施例的特征的組合意味著處于本發(fā)明的范圍之內(nèi)并且形成不同的實施例。例如，在下面的權(quán)利要求書中，所要求保護的實施例的任意之一都可以以任意的組合方式來使用。

此外，所述實施例中的一些在此被描述成可以由計算機系統(tǒng)的處理器或者由執(zhí)行所述功能的其它裝置實施的方法或方法元素的組合。因此，具有用于實施所述方法或方法元素的必要指令的處理器形成用于實施該方法或方法元素的裝置。此外，裝置實施例的在此所述的元素是如下裝置的例子：該裝置用于實施由為了實施該發(fā)明的目的的元素所執(zhí)行的功能。

本發(fā)明還可以包括：A6、如A5所述的方法，其中，所述根據(jù)至少一個金融服務器的日志，提取一個金融賬戶的賬戶特征的步驟包括：對所述至少一個金融服務器中的每一個，從所述日志獲取多個來自所述一個金融賬戶對應的IP地址的、對該金融服務器的訪問請求；判斷多個訪問請求的目的地址是否均指向該金融服務器上的特定內(nèi)容，若是，則確定所述IP地址僅訪問該金融服務器上的特定內(nèi)容；若確定所述IP地址僅訪問特定內(nèi)容的金融服務器的數(shù)目比例大于預定數(shù)值，則確定來自該IP地址的訪問請求存在僅訪問特定內(nèi)容的行為。A7、如A4所述的方法，其中，所述設(shè)備信息還包括設(shè)備型號，所述賬戶特征還包括以下特征：金融賬戶是否存在刷單行為；所述根據(jù)至少一個金融服務器的日志，提取一個金融賬戶的賬戶特征的步驟包括：判斷所述日志包括的所述一個金融賬戶對應的移動終端的設(shè)備型號是否屬于特定設(shè)備型號；判斷來自所述一個金融賬戶對應的IP地址的、對該金融賬戶所屬的金融服務器的訪問請求的請求時間是否均位于特定時間范圍，并且目的地址均指向該金融服務器上的特定內(nèi)容；判斷所述一個金融賬戶對應的IP地址是否在預定時間段內(nèi)更換預定次數(shù)；以及若以上判斷均為是，則確定該金融賬戶存在刷單行為。A8、如A1-7中任一項所述的方法，其中，所述日志包括金融賬戶的常用地理位置、以及其對應的移動終端當前的登錄位置，所述賬戶特征包括以下特征：金融賬戶是否為異地登錄；所述根據(jù)至少一個金融服務器的日志，提取一個金融賬戶的賬戶特征的步驟包括：判斷所述一個金融賬戶的登錄位置是否屬于常用地理位置，若不屬于，則確定該金融賬戶為異地登錄，否則不為異地登錄，其中所述常用地理位置包括以下地理位置中的至少一個：手機號碼歸屬地、銀行卡開戶地、身份證所在地、以及常用的歷史登錄位置。A9、如A8所述的方法，其中，所述賬戶特征還包括以下特征：金融賬戶是否為非正常登錄；所述根據(jù)至少一個金融服務器的日志，提取一個金融賬戶的賬戶特征的步驟包括：判斷所述一個金融賬戶對應的移動終端的登錄位置是否在預定時間段內(nèi)更換預定次數(shù)，若是，則確定該金融賬戶為非正常登錄，否則不為非正常登錄。A10、如A1-9中任一項所述的方法，其中，所述分類模型為邏輯回歸模型。

B15、如B14所述的設(shè)備，其中，所述特征提取模塊還適于：對所述至少一個金融服務器中的每一個，從所述日志獲取多個來自所述一個金融賬戶對應的IP地址的、對該金融服務器的訪問請求；通過計算其中最先的訪問請求與最后的訪問請求的時間差得到所述IP地址對該金融服務器的訪問持續(xù)時間；判斷該訪問持續(xù)時間是否小于預定時間值，若是，則確定所述IP地址短暫訪問該金融服務器；若確定所述IP地址短暫訪問的金融服務器的數(shù)目比例大于預定數(shù)值，則確定來自該IP地址的訪問請求存在掃描行為。B16、如B15所述的設(shè)備，其中，所述特征提取模塊還適于：對所述至少一個金融服務器中的每一個，從所述日志獲取多個來自所述一個金融賬戶對應的IP地址的、對該金融服務器的訪問請求；判斷多個訪問請求的目的地址是否均指向該金融服務器上的特定內(nèi)容，若是，則確定所述IP地址僅訪問該金融服務器上的特定內(nèi)容；若確定所述IP地址僅訪問特定內(nèi)容的金融服務器的數(shù)目比例大于預定數(shù)值，則確定來自該IP地址的訪問請求存在僅訪問特定內(nèi)容的行為。B17、如B14所述的設(shè)備，其中，所述設(shè)備信息還包括設(shè)備型號，所述賬戶特征還包括以下特征：金融賬戶是否存在刷單行為；所述特征提取模塊還適于：判斷所述日志包括的所述一個金融賬戶對應的移動終端的設(shè)備型號是否屬于特定設(shè)備型號；判斷來自所述一個金融賬戶對應的IP地址的、對該金融賬戶所屬的金融服務器的訪問請求的請求時間是否均位于特定時間范圍，并且目的地址均指向該金融服務器上的特定內(nèi)容；判斷所述一個金融賬戶對應的IP地址是否在預定時間段內(nèi)更換預定次數(shù)；以及若以上判斷均為是，則確定該金融賬戶存在刷單行為。B18、如B11-17中任一項所述的設(shè)備，其中，所述日志包括金融賬戶的常用地理位置、以及其對應的移動終端當前的登錄位置，所述賬戶特征包括以下特征：金融賬戶是否為異地登錄；所述特征提取模塊適于：判斷所述日志包括的所述一個金融賬戶的登錄位置是否屬于常用地理位置，若不屬于，則確定該金融賬戶為異地登錄，否則不為異地登錄，其中所述常用地理位置包括以下地理位置中的至少一個：手機號碼歸屬地、銀行卡開戶地、身份證所在地、以及常用的歷史登錄位置。B19、如B18所述的設(shè)備，其中，所述賬戶特征還包括以下特征：金融賬戶是否為非正常登錄；所述特征提取模塊還適于：判斷所述一個金融賬戶對應的移動終端的登錄位置是否在預定時間段內(nèi)更換預定次數(shù)，若是，則確定該金融賬戶為非正常登錄，否則不為非正常登錄。B21、如B11-19中任一項所述的設(shè)備，其中，所述分類模型為邏輯回歸模型。

如在此所使用的那樣，除非另行規(guī)定，使用序數(shù)詞“第一”、“第二”、“第三”等等來描述普通對象僅僅表示涉及類似對象的不同實例，并且并不意圖暗示這樣被描述的對象必須具有時間上、空間上、排序方面或者以任意其它方式的給定順序。

盡管根據(jù)有限數(shù)量的實施例描述了本發(fā)明，但是受益于上面的描述，本技術(shù)領(lǐng)域內(nèi)的技術(shù)人員明白，在由此描述的本發(fā)明的范圍內(nèi)，可以設(shè)想其它實施例。此外，應當注意，本說明書中使用的語言主要是為了可讀性和教導的目的而選擇的，而不是為了解釋或者限定本發(fā)明的主題而選擇的。因此，在不偏離所附權(quán)利要求書的范圍和精神的情況下，對于本技術(shù)領(lǐng)域的普通技術(shù)人員來說許多修改和變更都是顯而易見的。對于本發(fā)明的范圍，對本發(fā)明所做的公開是說明性的，而非限制性的，本發(fā)明的范圍由所附權(quán)利要求書限定。