20090827-联众玩家安全隐患分析数据挖掘项目报告-马.ppt

联众玩家安全隐患分析数据挖掘项目报告 博易智讯（北京）信息技术有限公司 Bizinsight (Beijing) Information Technology Co., Ltd 地址：北京市朝阳区朝阳路69号财满接西区1号楼4单元1002室 电话：+86-10 传真：+86-10网址： 北京 · 上海 本项目报告书为北京联众电脑技术有限责任公司（以下简称：联众）和博易智讯（北京）信息技术有限公司（以下简称：博易智讯）的机密文件，未经对方书面同意，任何一方不得向第三方透露双方洽谈的情况以及签署的任何文件，包括合同、协议、备忘录、项目建议书、项目报告等所包含的一切信息； 博易智讯拥有本项目报告书的全部版权和知识产权，受法律保护。未经博易智讯书面许可或授权，任何单位及个人不得以任何方式或理由对本报告书的任何部分进行使用、复制、修改、抄录、传播或与其它产品捆绑使用销售； 对任何侵犯版权和泄密的行为，以及由此对博易智讯造成的经济损失，博易智讯保留追究其法律责任的权力。 联众客户从本页开始继续阅读本报告书即表明同意遵守本必威体育官网网址和版权约定。 对本项目建议书如有任何疑问，请与博易智讯的客户经理联系。 联系人 ：吕敬华 先生 电 话：010 E-mail : lvjinghua@ jinghua2508@ 本项目按过程分解后，分为两个阶段，相应要达到两个目标 具体研究路线： 正常/被盗帐号消费倾向指数比较 结构性混合 被盗帐号本身的正常及异常行为标志混杂。 一个帐号的正常行为和盗窃者行为都被记录为被盗标志，做为被盗行为对待。 不同客户的正常非正常行为模式混杂。 对不同的客户，异常行为的模式定义不同，有些客户的异常行为，对其他客户是正常行为。 模型构建及评估选择说明： 仅对当前数据具有甄别意义，不具有普遍性的数据不选择进入模型输入，如日期。 选择了个体行为粒度数据和月层级汇总数据进行多种模型的建模。 月度数据建模中，衍生了流入出方向数据以获得行为序列方面的信息。由于帐号数据量的庞大，不可能以个体观察的方式完成特征分析，所以构建一个流向字段，以+1，-1记录帐号流向，衍生流向字段的月总和，月平均做为模型的输入字段之一。 另外衍生了每帐号IP数量，帐号年龄（天）等信息，进入模型输入字段。 最后根据性能及模型简约度综合衡量，淘汰不合适模型。 “会员行为天数”本质上做为一种虚拟货币使用，分析时候采用和联众币同样的方法。 数据中会员天数的记录量远少云联众币的记录数量，按照同样的方式建模，没有构建出具有有效甄别能力的模型。 根据会员天数变动说明重新构建了一个分类，后面的数据展现出被盗和正常帐号在不同分类上的一些行为差异。 会员天数分析___频率结构 会员天数分析___金额结构 1、项目组织管理 跨部门合作 数据分析、游戏开发、安全、项目运营部门一起合作 各部门均配有得力的负责人员来协调工作 跨数据源 用户登陆、投诉、账务数据来自不同业务子系统 跨公司合作 北京联众和博易智讯的研究人员一起组成项目组 跨知识结构合作 业务、数据库、IT、市场研究、数据挖掘等知识结构 跨研究角度 2、研究目标的确定 清晰准确地界定研究目标是成功的关键 研究目标的确定，要考虑实际数据情况； 研究目标的确定，要立足于数据的粒度； 研究目标的确定，要明确研究的角度； 研究目标要在业务理解和数据数据理解完成之后，大体确定；并在准备工作完成之后，最终确定 3、基础数据 良好的基础数据是成功的关键 日常运营确定数据格式和粒度，需要考虑未来用数据做经营分析的需要； 数据挖掘通常需要较长时间跨度的数据； 5、研究探索与结果分析 数据挖掘项目需要定期做研究探索 项目团队定期沟通进展，讨论研究结果；探索研究方向的微调； 对结果分析，要项目团队一起理解讨论 博易智讯（北京）信息技术有限公司 Bizinsight (Beijing) Information Technology Co., Ltd 地址：北京市朝阳区朝阳路69号财满接西区1号楼4单元1002室 电话：+86-10 传真：+86-10网址： 北京 · 上海 研究结果4：潜在被盗用户侦测模型建模 模型构建难点 单变量无法有效甄别 整体行为结构上的混合，行为信息无法对帐号个体进行 研究结果4：潜在被盗用户侦测模型建模 模型构建难点 不同联众币金额消费水平上，被盗与非被盗也混合在一起 研究结果4：潜在被盗用户侦测模型建模 模型构建难点 研究结果3：被盗用户特征分析 对