网络赌博行为监控方法及装置与流程

本发明涉及业务支撑领域，尤其是指一种网络赌博行为监控方法及装置。

背景技术：

近年来传统赌博出现了网络化的趋势，一些不法团伙使用拼手气红包这一娱乐功能，将传统赌博的“赌大小”、“压数字”等搬到了聊天群里面，例如赌客们先是向“庄家”转账下注，然后猜“庄家”的随机红包尾数或大小来赌博。

虽然目前法律上有关于判断互联网用户之间是否存在赌博犯罪的检测法则，但为了逃避检查和上述检测法则，网络赌博的组织人员往往采用降低群组人数、频繁变换账号、群号、分散小额转账等方式来打散赌博行为的方式，以规避检查，而且上述的规避行为也给网络赌博行为的监控带来困难。

因此，为了净化网络环境，堵塞网络赌博渠道，需要对互联网上的赌博行为进行监控，尤其需要能够监控出上述的网络赌博规避行为。

技术实现要素：

本发明技术方案的目的是提供一种网络赌博行为监控方法及装置，能够对网络上的赌博行为进行有效、全面地监控。

本发明提供一种网络赌博行为监控方法，其中，包括：

获取预设时间范围内多个用户使用互联网的网络行为日志；

根据所述网络行为日志，确定网络行为符合疑似赌博行为的筛选规则的种子用户；

根据所述种子用户的网络行为日志，对所述种子用户所在群组进行群组行为分析，确定所在群组的群组行为符合预设赌博检测规则的所述种子用户为待警告用户；

根据所述种子用户的网络行为日志，对除所确定待警告用户之外、位于不同群组的所述种子用户进行关联分析，确定不同所述种子用户之间的关联关系符合预设关联检测规则的所述种子用户也为待警告用户。

优选地，上述所述网络赌博行为监控方法，其中，所述获取预设时间范围内多个用户使用互联网的网络行为日志的步骤包括：

获取预设时间范围内多个用户在移动网络、搜索引擎、即时通讯应用程序和/或网络银行上的网络行为日志。

优选地，上述所述网络赌博行为监控方法，其中，所述根据所述种子用户的网络行为日志，对所述种子用户所在群组进行群组行为分析，确定所在群组的群组行为符合预设赌博检测规则的所述种子用户为待警告用户的步骤包括：

根据所述种子用户的网络行为日志，对每一所述种子用户的多个预设行为进行统计，获得每一预设行为的统计参数；

根据每一所述种子用户的每一预设行为的统计参数，统计每一所述种子用户所在群组的多个群组行为参数；

将所述群组的每一群组行为参数分别与所述预设赌博检测规则中所设定的相应群组行为参数阈值进行比较，当所述群组中至少一群组行为参数大于所述预设赌博检测规则中所设定的相应群组行为参数阈值时，确定所述群组为待警告群组，所述群组中的每一所述种子用户为待警告用户。

优选地，上述所述网络赌博行为监控方法，其中，所述根据所述种子用户的网络行为日志，对除所确定的待警告用户之外、位于不同群组的所述种子用户进行关联分析，确定不同所述种子用户之间的关联关系符合预设关联检测规则的所述种子用户也为待警告用户的步骤包括：

根据所述种子用户的网络行为日志，对除所确定待警告用户之外、位于不同群组的所述种子用户进行行为聚类分析，获得聚类后的子群组；

对所述子群组进行群组行为分析，当所述子群组的群组行为符合所述预设赌博检测规则时，所述子群组中所包括的所述种子用户也为待警告用户。

优选地，上述所述网络赌博行为监控方法，其中，所述对除所确定待警告用户之外、位于不同群组的所述种子用户进行行为聚类分析，获得聚类后的子群组的步骤包括：

根据所述种子用户的网络行为日志，对于除所确定待警告用户之外、位于不同群组的每一所述种子用户，提取至少一个预设疑似赌博行为的多个行为参数；

根据所述多个行为参数作为矢量，形成对应每一所述种子用户的计算参数序列；

根据每一所述种子用户相对应的计算参数序列，采用闵可夫斯基Minkowskwi距离算法，计算多个所述种子用户之间的相似度；

根据多个所述种子用户之间的相似度，采用二分K－均值算法进行子分类划分，获得聚类后的子群组，其中所述子群组所包括的多个所述种子用户之间相似度的均值小于第一阈值，且多个所述种子用户之间相似度的方差小于第二阈值。

优选地，上述所述网络赌博行为监控方法，其中，所述根据所述种子用户的网络行为日志，对除所确定待警告用户之外、位于不同群组的所述种子用户进行关联分析，确定不同所述种子用户之间的关联关系符合预设关联检测规则的所述种子用户也为待警告用户的步骤包括：

根据所述种子用户的网络行为日志，对除所述所确定待警告用户之外、位于不同群组的所述种子用户的群组之间进行行为连通性检测；

当所述行为连通性检测的检测结果表明两个群组之间存在关联关系时，则确定具备关联关系的两个群组为待警告群组，具备关联关系的两个群组中的所述种子用户也为待警告用户。

优选地，上述所述网络赌博行为监控方法，其中，所述根据所述种子用户的网络行为日志，对除所确定待警告用户之外、位于不同群组的所述种子用户的群组之间进行行为连通性检测的步骤包括：

获取第一种子用户的用户行为信息，其中所述第一种子用户为所确定待警告用户之外的位于第一群组的种子用户；

根据所述第一种子用户的用户行为信息，判断是否存在与所述第一种子用户相关联的第二种子用户；

当存在所述第二种子用户，且所述第二种子用户属于第二群组，所述第一群组和所述第二群组的共同群组行为符合预设赌博检测规则时，则确定所述第一群组与所述第二群组相关联；

当存在所述第二种子用户，且所述第二种子用户不属于任一群组时，则进一步根据所述第二种子用户的用户行为信息，判断是否存在与所述第二种子用户相关联的第三种子用户；

当存在所述第三种子用户，且所述第三种子用户属于第二群组，所述第一群组和所述第二群组的共同群组行为符合预设赌博检测规则时，则确定所述第一群组与所述第二群组相关联；

当不存在所述第三种子用户时，则选择第一群组中的第四种子用户进行连通性检测。

本发明还提供一种网络赌博行为监控装置，其中，包括：

日志获取模块，用于获取预设时间范围内多个用户使用互联网的网络行为日志；

筛选模块，用于根据所述网络行为日志，确定网络行为符合疑似赌博行为的筛选规则的种子用户；

第一分析模块，用于根据所述种子用户的网络行为日志，对所述种子用户所在群组进行群组行为分析，确定所在群组的群组行为符合预设赌博检测规则的所述种子用户为待警告用户；

第二分析模块，用于根据所述种子用户的网络行为日志，对除所确定待警告用户之外、位于不同群组的所述种子用户进行关联分析，确定不同所述种子用户之间的关联关系符合预设关联检测规则的所述种子用户也为待警告用户。

优选地，上述所述网络赌博行为监控装置，其中，所述日志获取模块具体用于：

获取预设时间范围内多个用户在移动网络、搜索引擎、即时通讯应用程序和/或网络银行上的网络行为日志。

优选地，上述所述网络赌博行为监控装置，其中，所述第一分析模块包括：

第一统计单元，用于根据所述种子用户的网络行为日志，对每一所述种子用户的多个预设行为进行统计，获得每一预设行为的统计参数；

第二统计单元，用于根据每一所述种子用户的每一预设行为的统计参数，统计每一所述种子用户所在群组的多个群组行为参数；

第一分析单元，用于将所述群组的每一群组行为参数分别与所述预设赌博检测规则中所设定的相应群组行为参数阈值进行比较，当所述群组中至少一群组行为参数大于所述预设赌博检测规则中所设定的相应群组行为参数阈值时，确定所述群组为待警告群组，所述群组中的每一所述种子用户为待警告用户。

优选地，上述所述网络赌博行为监控装置，其中，所述第二分析模块包括：

聚类单元，用于根据所述种子用户的网络行为日志，对除所确定待警告用户之外、位于不同群组的所述种子用户进行行为聚类分析，获得聚类后的子群组；

第二分析单元，用于对所述子群组进行群组行为分析，当所述子群组的群组行为符合所述预设赌博检测规则时，所述子群组中所包括的所述种子用户也为待警告用户。

优选地，上述所述网络赌博行为监控装置，其中，所述聚类单元包括：

提取子单元，用于根据所述种子用户的网络行为日志，对于除所确定待警告用户之外、位于不同群组的每一所述种子用户，提取至少一个预设疑似赌博行为的多个行为参数；

序列排列子单元，用于根据所述多个行为参数作为矢量，形成对应每一所述种子用户的计算参数序列；

距离计算子单元，用于根据每一所述种子用户相对应的计算参数序列，采用闵可夫斯基Minkowskwi距离算法，计算多个所述种子用户之间的相似度；

子类划分子单元，用于根据多个所述种子用户之间的相似度，采用二分K－均值算法进行子分类划分，获得聚类后的子群组，其中所述子群组所包括的多个所述种子用户之间相似度的均值小于第一阈值，且多个所述种子用户之间相似度的方差小于第二阈值。

优选地，上述所述网络赌博行为监控装置，其中，所述第二分析模块包括：

连通性检测单元，用于根据所述种子用户的网络行为日志，对除所述所确定待警告用户之外、位于不同群组的所述种子用户的群组之间进行行为连通性检测；

第三分析单元，用于当所述行为连通性检测的检测结果表明两个群组之间存在关联关系时，则确定具备关联关系的两个群组为待警告群组，具备关联关系的两个群组中的所述种子用户也为待警告用户。

优选地，上述所述网络赌博行为监控装置，其中，所述连通性检测单元包括：

第一检测子单元，用于获取第一种子用户的用户行为信息，其中所述第一种子用户为所确定待警告用户之外的位于第一群组的种子用户；

第二检测子单元，用于根据所述第一种子用户的用户行为信息，判断是否存在与所述第一种子用户相关联的第二种子用户；

第三检测子单元，用于当存在所述第二种子用户，且所述第二种子用户属于第二群组，所述第一群组和所述第二群组的共同群组行为符合预设赌博检测规则时，则确定所述第一群组与所述第二群组相关联；

第四检测子单元，用于当存在所述第二种子用户，且所述第二种子用户不属于任一群组时，则进一步根据所述第二种子用户的用户行为信息，判断是否存在与所述第二种子用户相关联的第三种子用户；

第五检测子单元，用于当存在所述第三种子用户，且所述第三种子用户属于第二群组，所述第一群组和所述第二群组的共同群组行为符合预设赌博检测规则时，则确定所述第一群组与所述第二群组相关联；

第六检测子单元，用于当不存在所述第三种子用户时，则选择第一群组中的第四种子用户进行连通性检测。

本发明具体实施例上述技术方案中的至少一个具有以下有益效果：

本发明所述网络赌博行为监控方法，通过监测用户使用互联网的网络行为日志，对网络行为日志进行分析，能够根据网络行为日志所记录的用户网络行为确定存在疑似赌博行为的种子用户；通过对网络行为日志中种子用户的群组行为进行分析，检测出用户所在群组的赌博行为，此外还通过对不同群组的种子用户进行关联分析，检测出通过建立多个群进行赌博的赌博行为。因此本发明实施例所述方法，不但能够应用于现代互联网络使用环境下的赌博行为检测，而且能够对网络上的赌博行为进行有效、全面地监控。

附图说明

图1表示本发明实施实施例所述网络赌博行为监控方法的流程示意图；

图2表示本发明实施例所述方法中的步骤S130的流程结构示意图；

图3表示本发明实施例所述方法中的步骤S140的其中一种实施方式的流程结构示意图；

图4表示图3的步骤S1411中的流程示意图；

图5表示本发明实施例所述方法中的步骤S140的另外一种实施方式的流程结构示意图；

图6表示本发明实施例所述络赌博行为监控装置的结构示意图。

具体实施方式

为使本发明的实施例要解决的技术问题、技术方案和优点更加清楚，下面将结合附图及具体实施例进行详细描述。

本发明提供一种网络赌博行为监控方法，如图1所示，所述方法包括步骤：

S110，获取预设时间范围内多个用户使用互联网的网络行为日志；

S120，根据所述网络行为日志，确定网络行为符合疑似赌博行为的筛选规则的种子用户；

S130，根据所述种子用户的网络行为日志，对所述种子用户所在群组进行群组行为分析，确定所在群组的群组行为符合预设赌博检测规则的所述种子用户为待警告用户；

S140，根据所述种子用户的网络行为日志，对除所确定待警告用户之外、位于不同群组的所述种子用户进行关联分析，确定不同所述种子用户之间的关联关系符合预设关联检测规则的所述种子用户也为待警告用户。

本发明所述网络赌博行为监控方法，通过监测用户使用互联网的网络行为日志，对网络行为日志进行分析，能够根据网络行为日志所记录的用户网络行为确定存在疑似赌博行为的种子用户；通过对网络行为日志中种子用户的群组行为进行分析，检测出用户所在群组的赌博行为，此外还通过对不同群组的种子用户进行关联分析，检测出通过建立多个群进行赌博的赌博行为。因此本发明实施例所述方法，不但能够应用于现代互联网络使用环境下的赌博行为检测，而且能够对网络上的赌博行为进行有效、全面地监控。

具体地，步骤S110，所述获取预设时间范围内多个用户使用互联网的网络行为日志的步骤包括：

获取预设时间范围内多个用户在移动网络、搜索引擎、即时通讯应用程序和/或网络银行上的网络行为日志。

在所获得的网络行为日志的基础上，对网络行为日志进行分析，能够筛选确定出网络行为符合疑似赌博行为的筛选规则的种子用户，也即能够筛选出有赌博倾向或者有异常通信行为、经济行为的种子用户，作为进一步准确监控赌博行为的基础。

具体地，步骤S120，根据所述网络行为日志，确定网络行为符合疑似赌博行为的筛选规则的种子用户包括：

当获取用户在移动网络上的网络行为日志时，其中符合疑似赌博行为的筛选规则可以为“用户在移动网络上的使用记录数据中包括赌博网站的访问信息，具体检测规则用参数表示例如可以为：XDR.http.url contains“gamble”；

当获取用户在搜索引擎上的网络行为日志时，其中符合疑似赌博行为的筛选规则可以为“用户的搜索引录中包括赌博、博彩等关键字”，具体检测规则用参数表示例如可以为：Search.key contains“赌博”||“博彩”；

当获取用户在即时通讯应用程序上的网络行为日志时，其中符合疑似赌博行为的筛选规则可以为“用户的聊天记录中包含赌博、博彩等关键字”，具体检测规则用参数表示例如可以为：IM.logs contains“赌博”||“博彩”；

当获取用户在网络银行上的网络行为日志时，其中符合疑似赌博行为的筛选规则可以为：用户在近期内向多个账户转账，或者对一个账户进行多次转账，具体检测规则用参数表示例如可以为：Transfer.number>Threshold；

当然，为达到对网络行为的全方面监控，需要分别从以上各个数据源获得预设时间范围内多个用户的网络行为日志，并对各个数据源的网络行为日志进行分析，或者对多个数据源的网络行为日志综合进行分析，筛选出符合疑似赌博行为的筛选规则的种子用户，作为进一步监控赌博行为的基础。

另外，步骤S110，获取多个用户使用互联网的网络行为日志的“预设时间范围”可以与网络赌博行为的监控周期对应，监控周期的长度依据具体要求设定，可以为一天、一周或者一个月等，也即每隔一个监控周期调取一次用户的网络行为日志，其中的数据作为种子用户的筛选依据。

进一步地，步骤S130，根据所述种子用户的网络行为日志，对所述种子用户所在群组进行群组行为分析，确定所在群组的群组行为符合预设赌博检测规则的所述种子用户为待警告用户的步骤，如图2所示，具体包括步骤：

S131，根据所述种子用户的网络行为日志，对每一所述种子用户的多个预设行为进行统计，获得每一预设行为的统计参数；

S132，根据每一所述种子用户的每一预设行为的统计参数，统计每一所述种子用户所在群组的多个群组行为参数；

S133，将所述群组的每一群组行为参数分别与所述预设赌博检测规则中所设定的相应群组行为参数阈值进行比较，当所述群组中至少一群组行为参数大于所述预设赌博检测规则中所设定的相应群组行为参数阈值时，确定所述群组为待警告群组，所述群组中的每一所述种子用户为待警告用户。

具体地，步骤S131，根据种子用户的网络行为日志，对每一种子用户的多个预设行为进行统计时，需要根据每一种子用户的账号信息，在网络行为日志中统计分析与预设行为相关的记录。其中，预设行为具体为与单独种子用户所执行与赌博相关的行为。

例如：预设行为包括：种子用户每天或每小时发送的红包数量；种子用户注册加入的群数量等。通过分析统计网络行为日志中每一种子用户的上述预设行为，获得每一预设行为统计参数。

进一步，通过步骤S132，根据所获得每一种子用户的每一预设行为的统计参数，统计每一种子用户所在群组的多个群组行为参数；

具体地，群组行为参数为以一个群组为单位，与赌博相关行为的统计参数，其中该群组为对应种子用户所注册加入的群组。举例说明，群组行为参数可以包括：种子用户所在群组中所包括种子用户的人数；种子用户所在群组的转账累计总金额；和/或种子用户所在群组的红包累计总金额。

根据我国的法律规定，以营利为目的，组织3人以上赌博，“抽头渔利数额累计达到5000元以上的”、“赌资数额累计达到5万元以上的”或“参赌人数累计达到20人以上的”，符合其中任何一种情况的，都属于“聚众赌博”，涉嫌构成“赌博罪”。因此可以将“群组中种子用户的人数累计达到20人”、“种子用户所在群组的转账累计总金额超过5万元”、和/或“种子用户所在群组的红包累计总金额超过5000元”，作为预设赌博检测规则，当将上述步骤S132中获得的以上群组行为参数进行比较时，即能够确定出种子用户所在的群组是否为疑似赌博群组。

上述的预设赌博检测规则可以构成为一规则引擎，步骤S131至S133所构成的检测过程可以构成为一专家检测系统。

另外具体地，通过步骤S132，将每一群组的每一群组行为参数分别与预设赌博检测规则中的相应群组行为参数阈值进行比较，具体地，如上描述，“群组中种子用户的人数累计达到20人”中的“20人”、“种子用户所在群组的转账累计总金额超过5万元”中的“5万元”、“种子用户所在群组的红包累计总金额超过5000元”中的“5000元”，构成为预设赌博检测规则所包括的多个群组行为参数阈值，若通过步骤S132统计获得的“种子用户所在群组中所包括种子用户的人数”超过20人、“种子用户所在群组的转账累计总金额”超过5万元”和/或“种子用户所在群组的红包累计总金额”超过5000元，也即当至少一群组行为参数大于所述预设赌博检测规则中所设定的相应群组行为参数阈值时，均会将对应的群组设定为待警告群组，也即为疑似赌博群组，所述群组中的每一所述种子用户为待警告用户，也即为疑似赌博用户。

本发明实施例所述方法，对于上述方式所确定的待警告用户，还进一步包括向所述待警告用户触发告警信息的步骤，以给出警示。

较佳地，基于上述检测出的待警告用户，还可以提示运营人员对被检出待警告用户进一步进行人工监控或者进行证据收集，判断是否存在真实的赌博行为。

本发明实施例所述方法，利用上述的步骤130能够依据设定规则初步筛选出网络上位于固定群组中的疑似赌博行为。

本发明实施例所述网络赌博行为监控方法，根据图1，在步骤S130之后，还包括步骤S140，对步骤S130所确定待警告用户之外位于不同群组的种子用户进一步作关联分析，以检测出为了规避检查，采用建立多个群分散参赌者，并不断切换群等方式进行赌博的行为和用户。

具体地，步骤S140，对除待警告用户之外、位于不同群组的种子用户进行关联分析的其中一种方式为：对除待警告用户之外、位于不同群组的种子用户进行行为相似度的聚类分析，用以挖掘多个群中、不同时间段的不同种子用户行为之间的关联。

参阅图3所示，本发明实施例所述方法中，步骤S140的其中一实施例包括步骤：

S1411，根据所述种子用户的网络行为日志，对除所确定待警告用户之外、位于不同群组的所述种子用户进行行为聚类分析，获得聚类后的子群组；

S1412，对所述子群组进行群组行为分析，当所述子群组的群组行为符合所述预设赌博检测规则时，所述子群组中所包括的所述种子用户也为待警告用户。

具体地，步骤S1411，根据所述种子用户的网络行为日志，对除所确定待警告用户之外、位于不同群组的所述种子用户进行行为聚类分析，获得聚类后的子群组的步骤，如图4所示包括：

S14111，根据所述种子用户的网络行为日志，对于除所确定待警告用户之外、位于不同群组的每一所述种子用户，提取至少一个预设疑似赌博行为的多个行为参数；

具体地根据种子用户的网络行为日志，对网络行为日志中种子用户的网络行为进行分析，提取至少一个预设疑似赌博行为的多个行为参数，根据该些行为参数进行进一步地聚类探索，以用于发现用户之间潜在固定群组关系，也即种子用户虽然在多个群组之间切换，但获取红包或进行转帐等行为存在相似性和关联性。其中，获取红包或进行转帐该类行为具体为进行赌博时应该会执行的行为，可以被设定为疑似赌博行为。

例如，以微信群红包赌博方式为例，获取红包的行为可以被设定为一个预设疑似赌博行为，依据本发明实施例所述方法，需要提取获取红包该一行为的行为参数，例如包括种子用户红包的获取时间、种子用户获取红包时所在群组的名称。

进一步，在获得上述预设疑似赌博行为的多个行为参数之后，还包括步骤：

S14112，所述多个行为参数作为矢量，形成对应每一种子用户的计算参数序列；

例如该计算参数序列可以表示为：

Seqi＝{T1:G1,T2:G2,T3:G3,…Ti：Gi}

其中，Seqi为序列标号；Ti为种子用户在第i次预设疑似赌博行为发生时的第一个行为参数，Gi为种子用户在第i次预设疑似赌博行为发生时的第二个行为参数。例如根据以上举例，当获取红包的行为被设定为一个预设疑似赌博行为时，Ti为种子用户第i次获取红包时的获取时间，Gi为种子用户第i次获取红包时所在群组的名称。

当然，采用本发明实施例所述方法，所统计的预设疑似赌博行为并不限于为一个，对应一个预设疑似赌博行为的行为参数也并不限于为两个，但设置原理与上述相同，在此不再详细描述。

另外，在步骤S14112形成对应每一种子用户的计算参数序列之后，还包括：

S14113，根据每一所述种子用户相对应的计算参数序列，采用闵可夫斯基Minkowskwi距离算法，计算多个所述种子用户之间的相似度；

具体地，采用闵可夫斯基Minkowskwi距离算法，计算多个所述种子用户之间的相似度的计算公式为：

其中d(x，y)为所计算相似度的数值，xi为根据第一个种子用户的网络行为日志获得的上述计算参数序列中的第i组参数，yi为根据第二个种子用户的网络行为日志获得的上述计算参数序列中的第i组参数，p为常数。

通过上述的计算方式，能够确定出两个种子用户之间的相似度。基于该一原理，能够确定出多个种子用户之间的相似度。

在此基础上，获得多个种子用户之间的相似度之后，步骤S1411还进一步包括：

S14114，根据多个所述种子用户之间的相似度，采用二分K－均值算法进行子分类划分，获得聚类后的子群组，其中所述子群组所包括的多个所述种子用户之间相似度的均值小于第一阈值，且多个所述种子用户之间相似度的方差小于第二阈值。

通过上述方式，对所获得的多个种子用户之间的相似度进行聚类，本发明实施例是采用二分K－均值算法逐步进行子分类划分，构成聚类后的多个子群组；此外在每次进行二分跌代后，对所构建的子群组中的各相似度进行均值计算和方差计算，若所述子群组所包括的多个种子用户之间相似度的均值小于第一阈值，且多个所述种子用户之间相似度的方差小于第二阈值，则认为所对应子群组为所筛选出的子群组，该子群组中的种子用户在预设疑似赌博行为上具有相似性，例如对于抢用包来说，具有时间和群组的双重相似性，因此具备较高的聚众赌博的可能性。

基于上述步骤S1411的过程，采用聚类筛选出具备较高聚众赌博可能性的子群组，为了进一步检测该子群组是否存在赌博行为，所述方法还包括步骤S1412，如图3所示，需要进一步对子群组进行群组行为分析，当所述子群组的群组行为符合所述预设赌博检测规则时，所述子群组中所包括的所述种子用户也为待警告用户。

对所述子群组进行群组行为分析的具体方式可以参阅步骤S130中的描述，将子群组的每一群组行为参数分别与预设赌博检测规则中所设定的相应群组行为参数阈值进行比较，当子群组中至少一群组行为参数大于预设赌博检测规则中所设定的相应群组行为参数阈值时，确定子群组为待警告群组，子群组中的每一所述种子用户为待警告用户。

例如：群组行为参数可以包括：种子用户所在群组中所包括种子用户的人数；种子用户所在群组的转账累计总金额；和/或种子用户所在群组的红包累计总金额。子群组中种子用户的人数累计达到20人”、“种子用户所在子群组的转账累计总金额超过5万元”、和/或“种子用户所在子群组的红包累计总金额超过5000元”，可以作为预设赌博检测规则。

将每一子群组的每一群组行为参数分别与预设赌博检测规则中的相应群组行为参数阈值进行比较，具体地，如上描述，“子群组中种子用户的人数累计达到20人”中的“20人”、“种子用户所在子群组的转账累计总金额超过5万元”中的“5万元”、“种子用户所在子群组的红包累计总金额超过5000元”中的“5000元”，构成为预设赌博检测规则所包括的多个群组行为参数阈值，若统计获得的“种子用户所在子群组中所包括种子用户的人数”超过20人、“种子用户所在子群组的转账累计总金额”超过5万元”和/或“种子用户所在子群组的红包累计总金额”超过5000元，也即当至少一子群组行为参数大于所述预设赌博检测规则中所设定的相应群组行为参数阈值时，均会将对应的子群组设定为待警告群组，也即为疑似赌博群组，子群组中的每一所述种子用户为待警告用户，也即为疑似赌博用户。

因此，基于以上的过程，可以检测出位于不同群组、具有相关联的种子用户的疑似赌博行为，以能够根据所检测出的待警告用户发出警报，并提示运营人员对所确定的该些疑似赌博用户作进一步的线索收集，最后确定是否确实存在赌博行为。

此外，步骤S140，对除待警告用户之外、位于不同群组的种子用户进行关联分析的另外一种方式为：根据所述种子用户的网络行为日志，对除所确定待警告用户之外、位于不同群组的所述种子用户的群组之间进行行为连通性检测，用以挖掘由同一组织者操控不同群组，以避免被检测的赌博行为。

较佳地，该种对除所述所确定待警告用户之外、位于不同群组的所述种子用户的群组之间进行行为连通性检测的步骤，在执行上述S1411和S1412的步骤之后执行，也即在对除所确定待警告用户之外、位于不同群组的所述种子用户进行行为聚类分析，筛选出位于不同群组的多个分散参赌者之后执行。通过再次进行群组之间的连通性检测，能够检测出在聚类分析之后原群组或子群组虽然群组行为参数不符合预设赌博检测规则，但仍可能存在赌博行为的种子用户。

具体地，该方式进行关联分析的步骤包括：

S1421，根据所述种子用户的网络行为日志，对除所确定待警告用户之外、位于不同群组的所述种子用户的群组之间进行行为连通性检测；

S1422，当所述行为连通性检测的检测结果表明两个群组之间存在关联关系时，则确定具备关联关系的两个群组为待警告群组，具备关联关系的两个群组中的所述种子用户也为待警告用户。

具体地，步骤S1421，对位于不同群组的种子用户的群组之间进行行为连通性检测的检测方式采用连通树探索的方法，具体包括步骤：

获取第一种子用户的用户行为信息，其中所述第一种子用户为所确定待警告用户之外的位于第一群组的种子用户；具体地，用户行为信息包括用户名称、群组注册时间、注册地点和/或群组内的活动时间等；

根据所述第一种子用户的用户行为信息，判断是否存在与所述第一种子用户相关联的第二种子用户；也即根据上述用户行为信息判断是否存在相关联、可能为同一用户的第二种子用户；当存在第二种子用户时且所述第二种子用户属于第二群组，所述第一群组和所述第二群组的共同群组行为符合预设赌博检测规则时，则确定所述第一群组与所述第二群组相关联；

当不存在第二种子用户时，则重新选择第一群组中的第四种子用户进行连通性检测。

具体地，该预设赌博检测规则可以依据以上的描述，如当第一群组和第二群组的用户总数超过20人、第一群组和第二群组的共同转帐累计总金额超过5万元、和/或第一群组和第二群组的共同红包累计总金额超过5000元时，则确定第一群组与第二群组相关联，需要对该两个群组的种子用户触发告警，或者提示运营人员对该两个用户群组作进一步线索收集。

另外，当存在所述第二种子用户，且所述第二种子用户不属于任一群组时，则进一步根据所述第二种子用户的用户行为信息，判断是否存在与所述第二种子用户相关联的第三种子用户，也即寻找第二种子用户的关联用户；当存在所述第三种子用户，且所述第三种子用户属于第二群组，所述第一群组和所述第二群组的共同群组行为符合预设赌博检测规则时，则确定所述第一群组与所述第二群组相关联；通过该种方式，通过与第二种子用户相关联的第三种子用户能够发现第一种子用户与第三种子用户所在群组之间的关联关系；当不存在第三种子用户时，则重新选择第一群组中的第四种子用户进行连通性检测。

也即，当无法找到与第二种子用户相关联的种子用户时，则探索操作需要回退，从第一群组中重新选择一种子用户进行连通树探索，直到对第一群组中的每一种子用户进行关联检测，找到第一群组与其他群组之间的连通路，也即确定可疑且具有关联关系的群组。

通过上述方式，通过对不同可疑群组的不同用户使用连通性探索，可以发现不同可疑群组之间存在关联，检测出赌博组织庄家分散组织赌博的行为。另外连通性探索可以串行执行，即从一点出发，探寻通路，直到进入死路，再进行回退；也可以并行执行，从多点、多群组出发，直到发现重合点。

另外，上述的步骤S1421和S1422进行连通性探索的方式，可以在步骤S130之后，此情况下上述进行连通性探索的可疑群组，为步骤S130中所确定包括种子用户的群组；较佳地，上述的步骤S1421和S1422进行连通性探索的方式，在执行步骤S1411和S1412聚类分析之后执行，此情况下上述进行连通性探索的可疑群组，为根据步骤S1411和S1412进行聚类分析后的子群组。

本发明实施例所述网络赌博行为监控方法，通过结合多个来源的互联网使用的网络行为日志，从中确定存在疑似赌博行为的种子用户和可疑群组，此外并根据预设赌博检测规则生成的规则引擎进行群内赌博检测，以及利用聚类分析、连通性探索进行不同群组的并联分析，分步骤、分层次的分析互联网赌博行为，能够全面有效地检测出现有互联网应用采用规避手段的赌博行为。

本发明另一方面还提供一种网络赌博行为监控装置，如图6所示，该装置包括：

日志获取模块，用于获取预设时间范围内多个用户使用互联网的网络行为日志；

筛选模块，用于根据所述网络行为日志，确定网络行为符合疑似赌博行为的筛选规则的种子用户；

第一分析模块，用于根据所述种子用户的网络行为日志，对所述种子用户所在群组进行群组行为分析，确定所在群组的群组行为符合预设赌博检测规则的所述种子用户为待警告用户；

第二分析模块，用于根据所述种子用户的网络行为日志，对除所确定待警告用户之外、位于不同群组的所述种子用户进行关联分析，确定不同所述种子用户之间的关联关系符合预设关联检测规则的所述种子用户也为待警告用户。

本发明所述网络赌博行为监控装置，通过监测用户使用互联网的网络行为日志，对网络行为日志进行分析，能够根据网络行为日志所记录的用户网络行为确定存在疑似赌博行为的种子用户；通过对网络行为日志中种子用户的群组行为进行分析，检测出用户所在群组的赌博行为，此外还通过对不同群组的种子用户进行关联分析，检测出通过建立多个群进行赌博的赌博行为。因此本发明实施例所述方法，不但能够应用于现代互联网络使用环境下的赌博行为检测，而且能够对网络上的赌博行为进行有效、全面地监控。

具体地，所述日志获取模块具体用于：

获取预设时间范围内多个用户在移动网络、搜索引擎、即时通讯应用程序和/或网络银行上的网络行为日志。

另外，参阅图6，所述第一分析模块包括：

第一统计单元，用于根据所述种子用户的网络行为日志，对每一所述种子用户的多个预设行为进行统计，获得每一预设行为的统计参数；

第二统计单元，用于根据每一所述种子用户的每一预设行为的统计参数，统计每一所述种子用户所在群组的多个群组行为参数；

第一分析单元，用于将所述群组的每一群组行为参数分别与所述预设赌博检测规则中所设定的相应群组行为参数阈值进行比较，当所述群组中至少一群组行为参数大于所述预设赌博检测规则中所设定的相应群组行为参数阈值时，确定所述群组为待警告群组，所述群组中的每一所述种子用户为待警告用户。

参阅图6，所述第二分析模块包括：

聚类单元，用于根据所述种子用户的网络行为日志，对除所确定待警告用户之外、位于不同群组的所述种子用户进行行为聚类分析，获得聚类后的子群组；

第二分析单元，用于对所述子群组进行群组行为分析，当所述子群组的群组行为符合所述预设赌博检测规则时，所述子群组中所包括的所述种子用户也为待警告用户。

参阅图6，所述聚类单元包括：

提取子单元，用于根据所述种子用户的网络行为日志，对于除所确定待警告用户之外、位于不同群组的每一所述种子用户，提取至少一个预设疑似赌博行为的多个行为参数；

序列排列子单元，用于根据所述多个行为参数作为矢量，形成对应每一所述种子用户的计算参数序列；

距离计算子单元，用于根据每一所述种子用户相对应的计算参数序列，采用闵可夫斯基Minkowskwi距离算法，计算多个所述种子用户之间的相似度；

子类划分子单元，用于根据多个所述种子用户之间的相似度，采用二分K－均值算法进行子分类划分，获得聚类后的子群组，其中所述子群组所包括的多个所述种子用户之间相似度的均值小于第一阈值，且多个所述种子用户之间相似度的方差小于第二阈值。

参阅图6，所述第二分析模块包括：

连通性检测单元，用于根据所述种子用户的网络行为日志，对除所述所确定待警告用户之外、位于不同群组的所述种子用户的群组之间进行行为连通性检测；

第三分析单元，用于当所述行为连通性检测的检测结果表明两个群组之间存在关联关系时，则确定具备关联关系的两个群组为待警告群组，具备关联关系的两个群组中的所述种子用户也为待警告用户。

参阅图6，所述连通性检测单元包括：

第一检测子单元，用于获取第一种子用户的用户行为信息，其中所述第一种子用户为所确定待警告用户之外的位于第一群组的种子用户；

第二检测子单元，用于根据所述第一种子用户的用户行为信息，判断是否存在与所述第一种子用户相关联的第二种子用户；

第三检测子单元，用于当存在所述第二种子用户，且所述第二种子用户属于第二群组，所述第一群组和所述第二群组的共同群组行为符合预设赌博检测规则时，则确定所述第一群组与所述第二群组相关联；

第四检测子单元，用于当存在所述第二种子用户，且所述第二种子用户不属于任一群组时，则进一步根据所述第二种子用户的用户行为信息，判断是否存在与所述第二种子用户相关联的第三种子用户；

第五检测子单元，用于当存在所述第三种子用户，且所述第三种子用户属于第二群组，所述第一群组和所述第二群组的共同群组行为符合预设赌博检测规则时，则确定所述第一群组与所述第二群组相关联；

第六检测子单元，用于当不存在所述第三种子用户时，则选择第一群组中的第四种子用户进行连通性检测。

本发明实施例所述网络赌博行为监控装置，利用聚类分析、连通性探索进行不同群组的并联分析，分步骤、分层次的分析互联网赌博行为，能够全面有效地检测出现有互联网应用采用规避手段的赌博。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明所述原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。