[發明專利]基于網絡流量的詐騙團伙識別方法、控制器和介質

在審

• 申請號: 202010591185.3
• 申請日: 2020-06-24
• 公開（公告）號: CN111865925A
• 公開（公告）日: 2020-10-30
• 發明（設計）人: 嚴寒冰;饒毓;周昊;王東;呂卓航;馬莉雅
• 申請（專利權）人: 國家計算機網絡與信息安全管理中心
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 北京中原華和知識產權代理有限責任公司 11019
• 代理人: 丁慧玲;壽寧

1.一種基于網絡流量的詐騙團伙識別方法，其特征在于，包括:

獲取多個待測賬號的網絡詐騙流量，并從所述網絡詐騙流量中提取每一待測賬號對應的網絡詐騙數據；

基于所述網絡詐騙數據對所述多個待測賬號中的每兩個待測賬號依次進行關聯度計算，得到第一關聯度，若所述第一關聯度大于第一關聯度閾值，則將對應的待測賬號合并為待識別團伙；

基于所述網絡詐騙數據對所述待識別團伙與預設的歷史已有團伙進行關聯度計算，得到第二關聯度，若所述第二關聯度大于第二關聯度閾值，則將所述待識別團伙與所述歷史已有團伙合并為詐騙團伙。

2.根據權利要求1所述的基于網絡流量的詐騙團伙識別方法，其特征在于，

所述網絡詐騙數據包括詐騙資源數據和詐騙賬號數據，其中，

所述詐騙資源數據包括詐騙網站域名、詐騙網站服務器IP、詐騙網站域名注冊人信息，

所述詐騙賬號數據包括詐騙者賬號、密碼、登錄IP、登錄時間、詐騙賬號虛擬身份信息。

3.根據權利要求2所述的基于網絡流量的詐騙團伙識別方法，其特征在于，

從網絡詐騙流量提取每一待測賬號對應的網絡詐騙數據，包括：

從網絡詐騙流量信息中獲取詐騙網站信息詐騙網站訪問數據和詐騙網站管理數據；

基于所述詐騙網站信息詐騙網站訪問數據和詐騙網站管理數據對詐騙網站進行爬取，獲得所述詐騙資源數據，

或者，

基于所述詐騙網站信息詐騙網站訪問數據和詐騙網站管理數據對詐騙網站進行滲透，獲取所述詐騙賬號數據。

4.根據權利要求3所述的基于網絡流量的詐騙團伙識別方法，其特征在于，

所述基于所述詐騙網站信息詐騙網站訪問數據和詐騙網站管理數據對對詐騙網站進行滲透，獲取所述詐騙賬號數據，包括：

通過自動化滲透腳本獲取詐騙網站管理權限；

在詐騙網站文件中插入預設的反制代碼；

根據詐騙網站管理人員登錄網站指令觸發所述反制代碼；

基于所述反制代碼獲取所述詐騙賬號數據；

將所述詐騙賬號數據加密回傳至分析服務器。

5.根據權利要求4所述的基于網絡流量的詐騙團伙識別方法，其特征在于，

若所述無法成功獲取詐騙賬號數據，則進行如下步驟：

通過偽裝鏈接獲取詐騙網站管理人員賬號密碼；

基于所述詐騙網站管理人員賬號密碼從后臺登錄詐騙網站；

部署反制代碼；

根據詐騙網站管理人員登錄網站指令觸發所述反制代碼；

基于所述反制代碼獲取詐騙賬號數據；

將所述詐騙賬號數據加密回傳至分析服務器。

6.根據權利要求2所述的基于網絡流量的詐騙團伙識別方法，其特征在于，

所述基于所述網絡詐騙數據對所述多個待測賬號中的每兩個待測賬號依次進行關聯度計算，得到第一關聯度，包括：

基于所述詐騙資源數據對每兩個待測賬號依次進行關聯度計算，得到第一子關聯度；

基于所述詐騙賬號數據對每兩個待測賬號依次進行關聯度計算，得到第二子關聯度；

基于所述第一子關聯度和第二子關聯度確定所述第一關聯度。

7.根據權利要求6所述的基于網絡流量的詐騙團伙識別方法，其特征在于，

所述基于所述詐騙資源數據對每兩個待測賬號依次進行關聯度計算，得到第一子關聯度，包括：

判斷當前兩個賬號在同一預設時間段內訪問的服務器的IP地址是否一致，若一致，則根據當前兩個賬號訪問將服務器的IP地址的時間對所述當前兩個賬號進行關聯度計算，得到第三關聯度；

判斷當前兩個賬號訪問同一預設時間段的域名是否一致，若一致，則根據訪問域名的時間對所述當前兩個賬號進行關聯度計算，得到第四關聯度；

判斷當前兩個賬號訪問的網站的注冊信息是否一致，若一致，則根據相同信息的多少對所述當前兩個賬號進行關聯計算，得到第五關聯度；

基于所述第三關聯度、第四關聯度和第五關聯度確定所述第一子關聯度。