金融科技業(yè)務風險本體構(gòu)建與推理仿真

謝忠局，陳思安，張文迪，吳立

(1. 國網(wǎng)雄安金融科技集團有限公司，北京 100053；2. 華北電力大學控制與計算機工程學院，北京 102206；3. 國網(wǎng)匯通金財(北京)信息科技有限公司，北京 100053)

1 引言

隨著計算機和計算機網(wǎng)絡的普及以及基于計算機網(wǎng)絡的商務增長，網(wǎng)絡安全事件和計算機犯罪也幾乎同比例增長；隨著計算機網(wǎng)絡技術的進步和成熟，計算機黑客入侵技術同樣也在快速跟進并發(fā)展越來越成熟[1]。由此可見，傳統(tǒng)一對一的安全策略已經(jīng)不足以應對越來越復雜的業(yè)務風險。所以，設計實現(xiàn)針對金融科技平臺的業(yè)務風險知識本體并推理出安全策略具有重要意義。

在知識圖譜中，推理主要用于對知識圖譜進行補全和知識圖譜質(zhì)量的校驗[8]。20世紀70年代，隨著專家系統(tǒng)[6]的提出和商業(yè)化發(fā)展，知識庫構(gòu)建和知識表示更加得到重視。從圖的角度來看，知識圖譜是一個語義網(wǎng)絡，即一種用互聯(lián)的節(jié)點和弧表示知識的一個結(jié)構(gòu)[5]。語義網(wǎng)進一步吸收描述邏輯的研究成果，發(fā)展出了用網(wǎng)絡本體語言(Web Ontology Language，OWL)系列標準化本體語言。本體的出現(xiàn)，在語義學和概念水平上構(gòu)建出了可以描述的技術信息系統(tǒng)概念模型[2]。本體論在語義網(wǎng)的發(fā)展中起著重要作用。近年來，本體論被許多商業(yè)和科學界采用，作為共享、重用和處理領域知識的一種方式，它描述了在特定領域中所使用的術語。本文研究的是金融科技業(yè)務風險知識本體，結(jié)合金融科技業(yè)務風險模型，設計實現(xiàn)了金融科技業(yè)務風險知識本體，并在國網(wǎng)金融科技集團雄安平臺實際場景中進行仿真，利用本體中存在的Jena推理機制對知識庫中存儲的知識進行推理和知識重用，提供推演和生成新知識或概念的有效解決方案，從而為管理者提供適當?shù)娘L險防御安全策略。

2 金融科技業(yè)務風險本體分析

2.1 金融科技業(yè)務風險模型

金融科技業(yè)務風險主要體現(xiàn)為貸款融資業(yè)務和征信風控業(yè)務的賬戶體系風險、欺詐騙貸風險及征信信息泄漏風險。

賬戶體系風險在具體的業(yè)務細分中，最直接的業(yè)務體現(xiàn)為注冊、登錄和找回密碼三個主要方面。針對“黑產(chǎn)”或“灰產(chǎn)的技術面分析主要有以下攻擊：①垃圾注冊：主要指通過程序或者純?nèi)肆Υ罅孔缘姆腔钴S賬號，這些賬號不能直接給平臺帶來收益，但在一定程度上能夠提升運營成本。②撞庫攻擊：撞庫風險在登錄、注冊和找回密碼等業(yè)務中普遍存在，目前“黑產(chǎn)”主要通過大量泄漏的用戶數(shù)據(jù)，在這些潛在風險的地方，進行賬號檢存操作，然后通過存在的賬號測試對應密碼；或者尋找無任何防御的登錄口進行撞庫。⑶盜號洗號。④驗證碼安全：驗證碼在設計之初即為區(qū)分人與機器，在各類應用中廣泛用于防護自動化攻擊。⑤信息泄漏：主要指服務自身運營敏感數(shù)據(jù)泄漏，比如客戶的用戶賬號、密碼、郵箱，嚴重時會涉及用戶征信數(shù)據(jù)的泄漏。

欺詐騙貸風險主要發(fā)生在實際融資的業(yè)務下，被視為業(yè)務安全里最重要的環(huán)節(jié)，主要風險體現(xiàn)在以下行為：①數(shù)據(jù)篡改：在申請中，驗簽不嚴的情況下，極有可能產(chǎn)生數(shù)據(jù)篡改偽造，產(chǎn)生非正常的請求。②身份造假：申請確認階段，通過偽造或冒用他人身份的方式，使平臺或機構(gòu)無法確定申請者身份的真實性。

征信信息泄漏風險主要發(fā)生在賬號泄漏后查看企業(yè)用戶的各項征信信息，又或者通過偽造征信查詢請求拉取用戶征信信息。

根據(jù)金融科技業(yè)務中可能存在的風險分析，確定了金融科技業(yè)務的模式特點，模型以防御風險為目的，實現(xiàn)安全策略的靈活應對。具體模型如圖1所示。

圖1 金融科技業(yè)務風險模型

本模型中將金融科技已有的風險監(jiān)測系統(tǒng)檢測到的風險組作為輸入，其中該風險的評價指標有優(yōu)先級、風險權重及其風險之間的關系。根據(jù)評價指標經(jīng)過計算可以得到該風險組的影響程度，從而確定其風險等級，即高級、中級和低級。最終確定解決該風險組的安全策略。根據(jù)實際場景情況，雄安平臺的安全防護時期分為特殊期和非特殊期，其中特殊期時風險等級要求高一級。

2.2 金融科技業(yè)務風險本體描述及實現(xiàn)

創(chuàng)建金融科技業(yè)務風險知識本體定義超類，并確定其合適的類層次結(jié)構(gòu)。本文將金融科技業(yè)務風險知識本體領域總結(jié)為四個超類：風險特征、風險信息、風險等級和時期，其超類圖如圖2所示。

圖2 金融科技業(yè)務風險本體超類圖

1)風險特征。風險特征本體用來描述風險預先定義好的優(yōu)先級和權重等特征，它用來計算該風險的影響程度，從而得到該風險組的風險等級。

2)風險信息。風險信息本體包括風險編號、風險名稱、對應策略、影響程度、風險來源、破壞方式等描述屬性。

3)風險等級。風險等級本體用來描述風險所處的風險狀態(tài)，分為高級、中級和低級三個描述屬性。

4)時期。時期本體用來描述風險防護階段的相關屬性，時期可分為特殊期和非特殊期。

根據(jù)金融科技業(yè)務的特點及本體的構(gòu)建方法，采用W3C推薦的資源描述框架RDF/RDFS來描述金融科技業(yè)務風險知識本體。

例如：金融科技業(yè)務風險知識本體中存在“信息非正常傳送”風險，其對應策略為“傳輸加密”，那么該風險及部分屬性OWL語義的描述如下：

本文采用本體的開發(fā)工具Protégé 5.0建立本體庫。Protégé是由斯坦福大學開發(fā)的，它是一個開源軟件，既有GUI的應用類型，又有API接口，提供了本研究所需的所有特性和功能，并且用戶友好，大大增強了它的靈活性。Protégé 5.0應用程序把本體結(jié)構(gòu)以樹形的層次結(jié)構(gòu)顯示，用戶可以通過點擊相應的項目來增加或編輯類、子 類、屬性和實例等，使用戶在不需要了解具體的本體表示語言的情況下就可以在概念層次上設計領域模型[5]。

金融科技業(yè)務風險知識本體如圖3所示。

圖3 金融科技業(yè)務風險知識本體

3 金融科技業(yè)務風險仿真及推理

3.1 金融科技業(yè)務風險知識公理

公理代表本體內(nèi)存在的事實，可以對本體內(nèi)類或者關系進行約束，一般包括以下四個基本公理：

1)part-of：局部與整體的關系；

2)kind-of：父類與子類之間的關系；

3)instance-of：在類中填充實例，類與實例之間的關系；

4)attribute-of：類的屬性，有對象屬性和數(shù)據(jù)屬性。

除了以上描述的基本公理外，本體中還存在類內(nèi)公理和類間公理。其中公理1為類內(nèi)公理，公理2至公理6為類間公理。

公理1：特殊期的業(yè)務風險等級要高于非特殊期風險等級。

公理2：影響程度=權重*優(yōu)先級。

公理3：影響程度={x|8

影響程度為零時，系統(tǒng)處于安全狀態(tài)。

公理4：風險之間存在的關系：依賴關系。

公理5：防御關系擁有逆轉(zhuǎn)性。其中主語為安全策略，賓語為風險特征，與“防御”形成逆屬性，即表示為某安全策略對某風險特征有防御作用，那么該風險特征就能被該安全策略防御。

公理6：只要是安全策略(Policy)就不可能是風險特征(Risk)，只要是風險特征就不可能是安全策略。

3.2 Jena推理機

目前流行的推理引擎有Jess、Racer、Pellet、FaCT++和Jena等，基于Java的Jena推理機是面向語義Web的應用開發(fā)包。Jena提供了一個DIG接口(如數(shù)據(jù)庫中的ODBC)和用于本體分析的推理機，允許后臺使用不同的推理機。因此，在Jena中也可以使用Racer、Pellet、FaCT++等推理機[11]。

Jena為RDF/RDFS和OWL提供了一個編程環(huán)境，它提供了更完整的接口來處理本體分析、存儲、推理和查詢。

語義查詢系統(tǒng)可分為三個部分[12]：第一部分，利用Protégé創(chuàng)建基于本體的OWL模型。根據(jù)本體的定義，將原始信息標記為RDF文檔，然后形成具有語義信息的數(shù)據(jù)文件。在第二階段，OWL模型通過RDF/XML解析器轉(zhuǎn)換為RDF模型，并永久存儲在數(shù)據(jù)庫中。Jena支持“內(nèi)存中”和“持久存儲”，能夠與關系數(shù)據(jù)庫系統(tǒng)(包括Oracle、MySQL和PostgreSQL)一起工作。將Jena的核心結(jié)構(gòu)推理子系統(tǒng)和本體子系統(tǒng)集成的RDF模型生成OntModel。最后，在金融科技業(yè)務風險語義查詢系統(tǒng)中，RDF API可以應用ARQ引擎和SPARQL語言來調(diào)用檢索模型。這個過程包括類查詢、屬性查詢和個別查詢。

3.3 國網(wǎng)金融科技集團雄安平臺風險本體推理

國網(wǎng)金融科技集團雄安平臺聚焦金融科技、征信風控、數(shù)字經(jīng)濟三大領域，大部分業(yè)務實現(xiàn)線上化辦理，為用戶帶來便利的同時也存在網(wǎng)絡風險隱患及挑戰(zhàn)?，F(xiàn)以國網(wǎng)金融科技集團雄安平臺為例，對金融科技業(yè)務風險知識本體進行仿真推理。

若存在風險R集合，在金融科技業(yè)務風險知識本體中添加風險的屬性(名稱，權重，優(yōu)先級及對應策略等)，根據(jù)定義好的公理進行計算推理，即可得到此時風險等級對應的安全策略集合。其中用R：{N，W，P，Po}代表風險信息：{名稱，權重，優(yōu)先級，對應策略}。

例1：非特殊期時，存在風險：信息非正常傳送，系統(tǒng)中木馬，明文傳送信息，其中

R1：{明文傳送信息，0.5，6，傳輸加密}

R2：{系統(tǒng)中木馬，0.7，6，木馬清除工具}

R3：{信息非正常傳送，0.6，8，網(wǎng)絡進出信息管理}

關系：“明文傳送信息”依賴于“信息非正常傳送”。

R1：影響程度=3，風險等級=低級

R2：影響程度=4.2，風險等級=中級

R3：影響程度=4.8，風險等級=中級

Query1：非特殊期 and 對應策略 and (防御 value 信息非正常傳送) and (防御 value 系統(tǒng)中木馬) and (防御 value 明文傳送信息)。Query1推理結(jié)果如圖4所示。

圖4 Query1推理結(jié)果

目前系統(tǒng)處于中級風險，推薦使用安全策略集{木馬清除工具，網(wǎng)絡進出信息管理}。

例2：若在特殊期時存在例1所示風險，且具有相同的描述屬性，那么

R1：影響程度=3，風險等級=中級

R2：影響程度=4.2，風險等級=高級

R3：影響程度=4.8，風險等級=高級

Query2：特殊期 and 對應策略 and (防御 value 信息非正常傳送) and (防御 value 系統(tǒng)中木馬) and (防御 value 明文傳送信息)。Query2推理結(jié)果如圖5所示。

圖5 Query2推理結(jié)果

目前系統(tǒng)處于高級風險，推薦使用安全策略集{木馬清除工具，網(wǎng)絡進出信息管理，傳輸加密}。

若同時存在多個依賴關系，例如：在非特殊期時，存在例1中風險，“明文傳送信息”依賴于“信息非正常傳送”，并且“系統(tǒng)中木馬”也依賴于“信息非正常傳送”，那么推理出的安全策略組只有{網(wǎng)絡進出信息管理}，然而這在實際中并不能做到最佳防御。

4 結(jié)論

本文通過Protégé5.0構(gòu)建了金融科技業(yè)務風險知識本體，并通過對國網(wǎng)金融科技集團雄安平臺的仿真驗證了該知識本體的完整性和準確性，最后使用Jena定義規(guī)則推理出風險發(fā)生時的安全策略，解決了信息集成中存在的語義異構(gòu)問題，提高了查全率和查準率，實現(xiàn)了對金融科技業(yè)務風險的有效精準防御。