[發(fā)明專利]基于網(wǎng)絡(luò)流量的詐騙團伙識別方法、控制器和介質(zhì)

在審

• 申請?zhí)枺?/td>: 202010591185.3
• 申請日: 2020-06-24
• 公開（公告）號: CN111865925A
• 公開（公告）日: 2020-10-30
• 發(fā)明（設(shè)計）人: 嚴寒冰;饒毓;周昊;王東;呂卓航;馬莉雅
• 申請（專利權(quán)）人: 國家計算機網(wǎng)絡(luò)與信息安全管理中心
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 北京中原華和知識產(chǎn)權(quán)代理有限責任公司 11019
• 代理人: 丁慧玲;壽寧

本發(fā)明涉及一種基于網(wǎng)絡(luò)流量的詐騙團伙識別方法、控制器和介質(zhì)，所述方法包括獲取多個待測賬號的網(wǎng)絡(luò)詐騙流量，并從所述網(wǎng)絡(luò)詐騙流量中提取每一待測賬號對應(yīng)的網(wǎng)絡(luò)詐騙數(shù)據(jù)；基于所述網(wǎng)絡(luò)詐騙數(shù)據(jù)對所述多個待測賬號中的每兩個待測賬號依次進行關(guān)聯(lián)度計算，得到第一關(guān)聯(lián)度，若所述第一關(guān)聯(lián)度大于第一關(guān)聯(lián)度閾值，則將對應(yīng)的待測賬號合并為待識別團伙；基于所述網(wǎng)絡(luò)詐騙數(shù)據(jù)對所述待識別團伙與預(yù)設(shè)的歷史已有團伙進行關(guān)聯(lián)度計算，得到第二關(guān)聯(lián)度，若所述第二關(guān)聯(lián)度大于第二關(guān)聯(lián)度閾值，則將所述待識別團伙與所述歷史已有團伙合并為詐騙團伙。本發(fā)明能夠快速、準確地識別網(wǎng)絡(luò)詐騙團伙，并能追溯詐騙團伙識身份。

技術(shù)領(lǐng)域

本發(fā)明涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，尤其涉及一種基于網(wǎng)絡(luò)流量的詐騙團伙識別方法、控制器和介質(zhì)。

背景技術(shù)

現(xiàn)有詐騙團伙識別技術(shù)，大多都是基于網(wǎng)絡(luò)電話(Voice over InternetProtocol，簡稱VoIP)進行的。通過掃描全球IP地址,獲取其中活躍的VoIP平臺傳輸?shù)男畔?通過對這些VoIP平臺發(fā)起的VoIP網(wǎng)絡(luò)電話的話單數(shù)據(jù)進行分析確認，從而判斷VoIP平臺是否有用于發(fā)起電話詐騙行為,便于對境外電話詐騙行為進行查處。

但是，現(xiàn)有的基于VoIP識別詐騙團伙技術(shù)，通常都無法直接通過VoIP信息確定背后詐騙行為的實時人員真實身份信息，更無法獲取詐騙團伙的信息，是識別效率低，追溯性差。此外，通過網(wǎng)絡(luò)進行詐騙的行為，例如虛假貸款、虛假投資、虛假購物等，都不會使用VOIP電話進行，而是直接通過假冒網(wǎng)站，騙取投資者的財物，基于VoIP識別詐騙團伙并不能解決基于通過網(wǎng)絡(luò)進行詐騙的行為。

發(fā)明內(nèi)容

本發(fā)明目的在于，提供一種基于網(wǎng)絡(luò)流量的詐騙團伙識別方法、控制器和介質(zhì)，能夠快速、準確地識別網(wǎng)絡(luò)詐騙團伙，并能追溯詐騙團伙識身份。

根據(jù)本發(fā)明第一實施例，提供了一種基于網(wǎng)絡(luò)流量的詐騙團伙識別方法，包括:

獲取多個待測賬號的網(wǎng)絡(luò)詐騙流量，并從所述網(wǎng)絡(luò)詐騙流量中提取每一待測賬號對應(yīng)的網(wǎng)絡(luò)詐騙數(shù)據(jù)；

基于所述網(wǎng)絡(luò)詐騙數(shù)據(jù)對所述多個待測賬號中的每兩個待測賬號依次進行關(guān)聯(lián)度計算，得到第一關(guān)聯(lián)度，若所述第一關(guān)聯(lián)度大于第一關(guān)聯(lián)度閾值，則將對應(yīng)的待測賬號合并為待識別團伙；

基于所述網(wǎng)絡(luò)詐騙數(shù)據(jù)對所述待識別團伙與預(yù)設(shè)的歷史已有團伙進行關(guān)聯(lián)度計算，得到第二關(guān)聯(lián)度，若所述第二關(guān)聯(lián)度大于第二關(guān)聯(lián)度閾值，則將所述待識別團伙與所述歷史已有團伙合并為詐騙團伙。

進一步的，所述網(wǎng)絡(luò)詐騙數(shù)據(jù)包括詐騙資源數(shù)據(jù)和詐騙賬號數(shù)據(jù)，其中，

所述詐騙資源數(shù)據(jù)包括詐騙網(wǎng)站域名、詐騙網(wǎng)站服務(wù)器IP、詐騙網(wǎng)站域名注冊人信息，

所述詐騙賬號數(shù)據(jù)包括詐騙者賬號、密碼、登錄IP、登錄時間、詐騙賬號虛擬身份信息。

進一步的，從網(wǎng)絡(luò)詐騙流量提取每一待測賬號對應(yīng)的網(wǎng)絡(luò)詐騙數(shù)據(jù)，包括：

從網(wǎng)絡(luò)詐騙流量信息中獲取詐騙網(wǎng)站信息詐騙網(wǎng)站訪問數(shù)據(jù)和詐騙網(wǎng)站管理數(shù)據(jù)；

基于所述詐騙網(wǎng)站信息詐騙網(wǎng)站訪問數(shù)據(jù)和詐騙網(wǎng)站管理數(shù)據(jù)對詐騙網(wǎng)站進行爬取，獲得所述詐騙資源數(shù)據(jù)，

或者，

基于所述詐騙網(wǎng)站信息詐騙網(wǎng)站訪問數(shù)據(jù)和詐騙網(wǎng)站管理數(shù)據(jù)對詐騙網(wǎng)站進行滲透，獲取所述詐騙賬號數(shù)據(jù)。

進一步的，所述基于所述詐騙網(wǎng)站信息詐騙網(wǎng)站訪問數(shù)據(jù)和詐騙網(wǎng)站管理數(shù)據(jù)對對詐騙網(wǎng)站進行滲透，獲取所述詐騙賬號數(shù)據(jù)，包括：

通過自動化滲透腳本獲取詐騙網(wǎng)站管理權(quán)限；

在詐騙網(wǎng)站文件中插入預(yù)設(shè)的反制代碼；

根據(jù)詐騙網(wǎng)站管理人員登錄網(wǎng)站指令觸發(fā)所述反制代碼；