基于网络流量异常识别的交易异常风险预警方法及系统

本发明涉及风险预警，更具体地说，本发明涉及基于网络流量异常识别的交易异常风险预警方法及系统。

背景技术：

1、随着数字经济的快速发展，电子商务、网络支付及线上金融服务的大规模普及，交易安全也越来越重要。据行业统计，国内数字商业领域每年因交易异常行为造成的直接经济损失已超过数千亿元，且交易异常识别难度随网络环境复杂度的提升持续加大；现有交易异常风险预警在进行流量特征提取时，普遍仅依赖ip地址、访问频次、单次请求数据量等浅层流量属性构建检测规则，缺乏对会话行为序列的时序演化规律、跨用户流量的协同异常模式及请求内容的语义特征的有效挖掘，导致大量具有隐蔽性的异常行为无法在流量层面被有效识别，严重制约了异常检测的召回率。

2、同时，现有交易异常风险预警方法普遍将各流量节点视为孤立个体进行逐一研判，采用基于单一节点特征的阈值判定或简单统计分析方法，忽视了异常团伙在流量拓扑网络中呈现的聚集性、同步性和梯度传导性等群体协同特征，导致对单点异常的识别准确率不高，团伙性异常行为的检测能力严重不足，难以应对规模集团化的异常攻击；另外，现有交易异常风险预警普遍采用单一阈值触发的二元预警模式，仅输出正常或报警两种结果，无法根据异常风险的类型差异、紧迫程度与潜在损失规模提供差异化的响应指导，预警结果的可操作性不足，从而严重制约了异常风险的处置效率，无法实现从风险识别到自动响应的闭环管理。

3、鉴于此，本发明提出基于网络流量异常识别的交易异常风险预警方法及系统以解决上述问题。

技术实现思路

1、为了克服现有技术的上述缺陷，实现上述目的，本发明提供如下技术方案：

2、基于网络流量异常识别的交易异常风险预警方法，方法包括：

3、s1.采集各个流量节点的原始网络流量数据，进行多层次特征解析，组建流量多维特征集；

4、s2.构建流量行为关联图谱，识别流量行为关联图谱中的异常子图结构，计算各流量节点的节点异常度，并基于异常子图结构计算各流量节点的子图聚合异常度，将各流量节点的节点异常度与子图聚合异常度进行整合，形成流量异常模式识别结果；

5、s3.基于流量异常模式识别结果，结合预设的异常行为知识图谱，计算各流量节点对应的异常类型归属概率与异常风险强度，获取各流量节点的历史风险记录与关联交易金额，结合异常类型归属概率与异常风险强度计算各流量节点的综合异常风险指数，生成异常风险量化评估结果；

6、s4.基于异常风险量化评估结果，以综合异常风险指数与异常类型归属概率构建二维风险评估矩阵，将风险划分为四个预警等级，并根据预设的预警响应方案库，为不同预警等级的风险生成对应的分级预警策略报告。

7、进一步地，组建流量多维特征集的方法为：

8、对原始网络流量数据进行解析，分别得到流量基础特征、会话行为特征、设备环境特征、内容语义特征，对各特征进行拼接组合，组建流量多维特征集。

9、进一步地，构建流量行为关联图谱的方法为：

10、根据各流量节点的流量多维特征向量，计算各流量节点的行为质量值；基于行为质量值计算任意两个流量节点之间的行为引力强度；当行为引力强度大于等于预设引力阈值时，在对应的两个流量节点之间建立有向边，基于所有有向边，组建原有向边集合；

11、将归一化后的行为引力强度作为各有向边的权重，计算各流量节点的行为熵流值，将行为熵流值作为各流量节点的动态属性；迭代更新各流量节点之间的行为引力强度，基于更新后的行为引力强度得到新有向边集合；

12、计算新有向边集合与原有向边集合之间的边结构变化率，重复迭代过程直至边结构变化率小于预设收敛阈值时停止，最终得到流量行为关联图谱。

13、进一步地，形成流量异常模式识别结果的方法为：

14、根据流量行为关联图谱，计算各流量节点的节点异常度；以节点异常度大于等于预设异常阈值的流量节点为种子节点，并通过行为引力强度进行贪婪扩展得到候选异常子图；

15、对各候选异常子图依次进行同步性检验以及梯度传导性检验，得到异常子图结构；

16、计算各流量节点对应异常子图结构的子图聚合异常度，将各流量节点的节点异常度与子图聚合异常度进行整合，得到融合异常度；将所有流量节点的融合异常度按照从大到小排序，生成流量异常模式识别结果。

17、进一步地，得到异常子图结构的方法为：

18、计算各候选异常子图内各流量节点在相同时间窗口内的会话行为特征相似度，当会话行为特征相似度大于等于预设同步阈值时，判定通过同步性检验，此时将候选异常子图记为初筛候选异常子图；

19、确定初筛候选异常子图的边界节点，从种子节点出发沿有向边方向遍历至边界节点，计算遍历路径上相邻流量节点之间的行为熵流值差值，当存在一条从种子节点到边界节点的遍历路径，使得对应遍历路径上所有相邻流量节点之间的行为熵流值差值均为正值时，则判定通过梯度传导性检验，此时将所有初筛候选异常子图合并，得到异常子图候选合集；

20、计算异常子图候选合集内任意两个异常子图之间的节点重叠率，当节点重叠率大于等于预设重叠阈值时，只保留子图聚合异常度较高的异常子图，最终得到异常子图结构。

21、进一步地，计算各流量节点的综合异常风险指数的方法为：

22、提取各流量节点的融合异常度，结合子图聚合异常度以及对应的流量多维特征向量，构建各流量节点的异常模式特征向量；

23、基于预设的异常行为知识图谱，提取各异常模式的异常模式特征向量，计算各流量节点的异常模式特征向量与各异常模式特征向量之间的模式纠缠强度，确定流量节点对各个异常模式的异常类型归属概率；根据异常类型归属概率，计算各流量节点的异常风险强度；

24、根据流量节点的历史风险记录以及关联交易金额，分别生成历史风险衰减因子、交易金额风险放大因子，基于异常风险强度、历史风险衰减因子及交易金额风险放大因子，通过预构建的风险势能场模型计算各流量节点的综合异常风险指数。

25、进一步地，生成异常风险量化评估结果的方法为：

26、基于各流量节点的综合异常风险指数，构建风险势能场分布图；计算各流量节点在风险势能场分布图中的势能接收值；

27、基于风险势能场分布图，对各流量节点进行风险聚类，形成多个风险聚类簇；对各风险聚类簇进行风险同质化检验，将通过风险同质化检验的风险聚类簇记为风险同质簇；

28、基于各风险同质簇，计算各风险同质簇的簇风险当量以及各流量节点在所属风险同质簇中的势能中心偏离度；根据综合异常风险指数、簇风险当量及势能中心偏离度生成流量节点的异常风险量化评估结果。

29、进一步地，构建二维风险评估矩阵的方法为：

30、提取各流量节点的综合异常风险指数与异常类型归属概率，构建初始二维风险坐标平面，并在初始二维风险坐标平面标注各流量节点的风险坐标点；

31、基于预设的异常行为知识图谱中各异常模式的历史风险分布密度，在初始二维风险坐标平面上构建风险密度势场；将初始二维风险坐标平面划分为若干个风险吸引域，每个风险吸引域均对应一个预警等级候选区；

32、基于各风险吸引域内所有流量节点的综合异常风险指数均值与异常类型归属概率均值，将风险吸引域映射至四个预警等级；

33、将各流量节点的风险坐标点投影至映射后的预警等级，确定各流量节点的预警等级归属，形成二维风险评估矩阵。

34、进一步地，将风险吸引域映射至四个预警等级的方法为：

35、将综合异常风险指数均值与预设的多个风险阈值进行比对得到对应的风险指数等级，将异常类型归属概率均值与预设的多个概率阈值比对得到对应的概率等级，取风险指数等级与概率等级中等级较高者作为最终预警等级归属。

36、基于网络流量异常识别的交易异常风险预警系统，系统包括：

37、流量多维特征提取模块，用于根据各个流量节点的原始网络流量数据来组建流量多维特征集；

38、异常模式关联识别模块，用于构建流量行为关联图谱，识别流量异常模式；

39、异常风险量化评估模块，用于根据识别结果，结合预设的异常行为知识图谱，生成异常风险量化评估结果；

40、分级预警策略生成模块，用于根据异常风险量化评估结果，构建二维风险评估矩阵，结合预设的预警响应方案库，生成预警策略报告。

41、本发明基于网络流量异常识别的交易异常风险预警方法的技术效果和优点：

42、本发明通过对原始网络流量数据进行流量基础特征、会话行为特征、设备环境特征及内容语义特征四个维度的特征提取与深度融合，实现了从单一浅层属性向多维深层特征的跨越；通过四个维度特征的相互补充、有机融合，大幅提升了特征覆盖率，有效解决了现有技术中网络流量特征提取维度单一、深度不足的问题，显著增强了对隐蔽性异常行为在流量层面的识别能力。

43、本发明通过引入行为质量值、行为引力强度和行为熵流值等，实现了从孤立节点分析向关联网络分析的跨越；行为质量值综合反映流量节点在流量基础、会话行为、设备环境及内容语义四个维度的整体状态；行为引力强度基于节点质量与特征空间距离动态构建有向边，形成反映节点间关联紧密程度的网络拓扑；行为熵流值通过迭代更新实现图谱的动态演化，使关联结构能够自适应调整；并根据该图谱，通过聚集性检验识别节点聚集区域、同步性检验验证行为协同模式、梯度传导性检验确认信息流向路径，三重筛选机制有效识别出具有群体协同特征的异常子图结构，可大幅提升对单点异常的识别准确率以及团伙性异常行为的识别准确率，有效解决了现有技术异常流量模式关联分析能力薄弱、团伙性异常检测能力不足的问题，实现了对规模集团化异常攻击的有效识别与定位。

44、本发明通过引入模式纠缠强度、风险势能场模型和二维风险评估矩阵来实现精细化分级预警，模式纠缠强度将流量节点的异常模式与异常行为知识图谱中的典型异常模式进行动态耦合，实现了异常类型的精准归属；风险势能场模型将异常风险强度、历史风险衰减因子和交易金额风险放大因子进行时空融合，实现了综合异常风险指数的动态量化；二维风险评估矩阵基于风险密度势场的自适应区域划分，将风险精细划分为观察级、预警级、拦截级与紧急处置级四个等级，使预警边界与风险自然分布结构相吻合；结合预设的预警响应方案库，自动生成包含异常行为定位、风险等级说明、处置优先级排序、推荐响应措施与预估损失规模的分级预警策略报告，为安全运营人员提供了从风险识别到处置执行的一站式决策支持，有效解决了现有风险预警响应机制缺乏精细化分级策略、预警结果可操作性不足的问题，使安全运营人员无需额外花费时间进行人工二次研判，显著缩短了风险处置响应时间，实现了从风险识别到自动响应的闭环管理，大幅提升了异常风险的处置效率。