[发明专利]一种恶意用户识别方法及装置

权利要求书

1.一种恶意用户识别方法，该方法包括：

根据记录电子数据转移行为的白样本和黑样本，基于所述白样本和黑样本在待筛选的多个特征变量下的取值，从所述多个特征变量中筛选出对所述白样本和黑样本有区分作用的特征变量；其中，所述黑样本为电子数据批量转移行为的电子数据转移行为记录，所述白样本为非批量的电子数据转移行为记录；

确定待识别用户的电子数据转移行为记录在所述筛选出的特征变量下的取值；

根据每一种特征变量的每一个取值区间所对应的权重以及筛选出的每一种特征变量下的取值，判断所述待识别用户的电子数据转移行为记录是否为电子数据批量转移行为；

若确定所述待识别用户的电子数据转移行为记录为电子数据批量转移行为，则确定所述待识别用户为恶意用户。

2.如权利要求1所述的方法，根据记录电子数据转移行为的白样本和黑样本，基于所述白样本和黑样本在待筛选的多个特征变量下的取值，从所述多个特征变量中筛选出对所述白样本和黑样本有区分作用的特征变量，包括：

从历史操作行为中，提取记录电子数据转移行为的白样本和黑样本；

根据记录电子数据转移行为的白样本和黑样本，确定待筛选的用于识别电子数据批量转移行为的多个特征变量的信息值IV，以及不同特征变量之间的相关性系数；

基于确定的所述多个特征变量的IV，以及不同特征变量之间的相关性系数，对所述多个特征变量进行筛选，使得筛选出的特征变量的IV大于第一阈值、且筛选出特征变量之间的相关性系数小于第二阈值。

3.如权利要求2所述的方法，根据以下公式确定任一特征变量的信息值IV：

其中，pn_i表示具有该特征变量的第i个特征值区间中的特征值的黑样本数目占获取的黑样本总数目的比例，py_i表示具有该特征变量的第i个特征值区间中的特征值的白样本数目占获取的白样本总数目的比例，WOE_i表示该特征变量的第i个特征值区间对应的证明力权重，m为该特征变量的特征值区间数目。

4.如权利要求2所述的方法，根据以下公式确定任意两个特征变量之间的相关性系数：

其中，n为黑样本和白样本的总样本个数，X_i为第i个样本在特征变量X下的特征值，为所有样本在特征变量X下的特征值的平均值，Y_i为第i个样本在特征变量Y下的特征值，为所有样本在特征变量Y下的特征值的平均值。

5.如权利要求2所述的方法，基于确定的所述多个特征变量的IV，以及不同特征变量之间的相关性系数，对所述多个特征变量进行筛选，包括：

基于确定的所述多个特征变量的IV，以及不同特征变量之间的相关性系数，筛选出IV大于第一阈值、且两两之间的相关性系数大于第二阈值的特征变量；

若筛选出的特征变量数量大于L，则从筛选出的特征变量中进一步筛选出IV最大的L个特征变量，将进一步筛选出的L个特征变量作为用于识别电子数据批量转移行为的特征变量；所述IV最大的L个特征变量是指将特征变量按照IV从大到小的顺序排列后，排列在前L名的L个特征变量，L为大于1的正整数。

6.如权利要求1所述的方法，所述判断所述待识别用户的电子数据转移行为记录是否为电子数据批量转移行为，包括：

根据所述待识别用户的电子数据转移行为记录在筛选出的特征变量中每一种特征变量下的取值，确定该待识别用户的电子数据转移行为记录的证明力权重WOE汇总值；

基于所述待识别用户的电子数据转移行为记录的WOE汇总值，判断所述待识别用户的电子数据转移行为记录是否为电子数据批量转移行为的一条电子数据转移行为记录。