网络投资理财类诈骗预警服务项目需求说明

网络投资理财类诈骗预警服务项目需求说明

序服务名子系统模块名

功能描述

号称名称称

域名为线索，可查询域名的基础信息、解析内

容相关数据、关联域名、关联恶意网址等用于

发现访问涉案域名的相关嫌疑人设备。（1）支

持以涉案域名为线索查询域名属性信息，包括

大数据

域名溯ICP备案、网站名称、注册时间、过期时间、

多维研

1源子系注册邮箱、注册者等信息，并标注域名标签、

判子系

统威胁值、置信度等安全属性信息。

统

（2）支持基于域名为线索的案件溯源扩线引

导，以涉案域名为线索扩线查询域名解析、关

联域名、关联恶意网址、关联终端等信息，便

涉网新

于案件进一步研判分析。

型案件

以IP为线索，可查询IP地址的基础信息（包

预警反

括ISP备案、代理类型、开放端口等信息，并

诈综合大数据

标注IP标签、威胁值、置信度等）安全属性

研判服多维研IP溯源

2信息。基于域名为线索的案件溯源扩线引导，

务判子系子系统

以涉案IP为线索查询IP反向解析域名、关联

统

恶意网址、传播源头文件、关联使用终端等信

息。

以APK文件为线索,可发现APK的基础信息、

通联域名、下载链数据、APK权限清单及风险

大数据

APK溯等级、涉案敏感词。主要用于发现涉案APK使

多维研

3源子系用的网络资源、文件特征值用用于进一步进行

判子系

统研判。支持基于静态解析特征、动态分析APK

统

应用程序，提供包名、版本号、证书MD5、图

标MD5、APK运行截图等基础信息，并标注APK

标签、威胁值、置信度等安全属性信息。

涉案APK使用的网络资源可通过本子系统的

域名溯源和TP溯源进行进一步分析，也可通

过公安机关其它业务系统进行案件串并；支

持以涉案APK为线索查询APK通联域名、司源

APK、SDK服务商、下载链数据、APK权限清单

及敏感词等信息，便于案件进一步研判分析。

终端画

搜索入搜索框提示“请输入终端码，例如：

4像子系

□9laea788caf028dfe0eb42cb6d9”

统

按照输入终端码显示以下信息：终端文件清

终端画

结果展单、终端软件清单，域名访问行为，历史IP、

5像子系

示网络行为、文件下载行为、进程信息、出口路

统

由。

其他模块查询到的终端码可跳转至终端画像

模块；

终端画像中查询到的域名、ip、mid、MD5都

终端画可以进行跳转查询；

关联扩

6像子系查询到的Routejmac地址可跳转至“团伙发

线

统现-基于路由发现”，是否可查询以团伙发现

模块的授权判断；

支持对虚拟身份进行跳转马甲追踪模块进行

查询。

输入QQ号，可关联出登录过此QQ号的终端的

马甲追信息，包括终端码、IP地址、IP所属位置和

7踪子系QQ追踪时间。通过输入的QQ号，追踪到登陆过此QQ

统号的终端等信息；通过终端码可扩线至终端画

像模块进行下一步案件分析。

2

用户输入微信号，可关联出登录过此微信号的

马甲追终端的信息，包括终端码、IP地址、IP所属

微信追

8踪子系位置和时间。通过输入的微信号，追踪到登陆

踪

统过此微信号的终端等信息；通过终端码可扩线

至终端画像模块进行下一步案件分析。

用户通过选择其它虚拟身份类型（账号、邮箱、

用户ID、昵称、快递单号、订单号）并输入

马甲追其它虚

对应的虚拟身份，可关联出登录过此虚拟身份

9踪子系拟身份

的终端的信息，包括终端码、IP地址、IP所

统追踪

属位置和时间；通过终端码可扩线至终端画像

模块进行下一步案件分析。

团伙发

终端发通过嫌疑人设备终端码发现更多同源设备，并

10现子系

现对设备进行刻画，分析设备对应团伙身份。

统

团伙发

现子系搜索入搜索框提示“请输入终端码，例如：

11

统一终端口66b6055bf09fc872e744a3e8854e”

发现

输入终端码后，自动查询路由mac并显示

此路由地址相关的终端码清单，终端码清单中

展示如下信息“终端码”、“IP地址”、“TP

归属地”（可筛选）、“路由mac”和“时间”；

团伙发

同时系统将基于输入的终端码生成团伙图

现子系结果展

12分析•，图分析中各节点展示内容如下：

统一终端示

终端码节点展示内容:终端码、cpu核数、

发现

硬盘、系统盘、IE版本、网吧、服务器系统、

集群类型、操作系统版本等基本信息；

MAC节点展示内容：mac地址。

IP节点展示内容：ip的基本信息，包括威

3

胁值、isp、管理者、自制系统类型、使用类

型、代理类型

团伙发

现子系关联扩“基于终端发现”中查询到的ip、mid都可以

13

统一终端线进行跳转查询C

发现

通过案件研判中发现的路由mac信息，发现更

团伙发

路由发多访问过该路由mac的设备，进行同网络环境

14现子系

现设备分析，对设备进行刻画，分析设备对应团

统

伙身份。

团伙发

现子系搜索入搜索框提示“请输入路由mac地址，例如：

15

统一路由口00-fi-f3-17-a3-26w；

发现

输入路由mac地址后，自动查询路由mac

并显示此路由地址相关的终端码清单，终端码

清单中展示如下信息“终端码”、“IP地址”、

“IP归属地”（可筛选）、“路由mac”和“时

团伙发

间”；

现子系结果展

16同时系统将基于输入的终端码生成团伙图

统一路由示

分析，图分析中各节点展示内容如下：

发现

终端码节点展示内容:终端码、cpu核数、

硬盘、系统盘、TE版本、网吧、服务器系统、

集群类型、操作系统版本等基本信息

MAC节点展示内容：mac地址

4

IP节点展示内容：ip的基本信息，包括威

胁值、isp、管理者、自制系统类型、使用类

型、代理类型

团伙发“基于终端发现”中查询到的ip、mid都可以

现子系关联扩进行跳转查询C

17

统一路由线“终端画像”的“出口路由”模块下

发现"Routermac地址”可跳转至当前子系统。

团伙发通过案件侦办过程中发现的涉案文件特征值，

文件发

18现子系发现更多存在同样文件特征值的设备，并对设

现

统备进行刻画，分析设备对应团伙身份。

团伙发

现子系搜索入搜索框提示“请输入文件md5、shal>sha256,

19

统一文件口例如：6bddc6b6055bf09fc872e744a3e8854e”

发现

团伙发输入文件hash码后，存在此文件的终端玛清

现子系结果展单，终端码清单中展示如下信息“终端码”、

20

统一文件示“IP地址”、“TP归属地”（可筛选）和“时

发现间”；

团伙发“基于文件团伙发现”中查询到的ip、mid都

现子系关联扩可以进行跳转查询。

21

统一文件线其他模块下的“文件hash”都可跳转至当前

发现子系统。

案件管

案件管针对现有输入案件进行统一管理，包括所有历

22理子系

理史案件研判数据统一汇聚

统

23案件管账号审针对所有账号的研判过程数据进行保存、溯源

5

理子系计审计

统

案件协查服务团队有多个安全领域的技术专

家团队，具备业界领先技术能力，覆盖黑白样

本分析、木马病毒分析、botnet追踪研判、

案件管漏洞挖掘、网络钓鱼线索分析\DD0S攻击分

案件协

24理子系析、APT攻击发现和溯源等方面。特别在黑灰

查

统产案件研究中心，拥有多名经验丰富的案件专

家，覆盖网络钓鱼线索分析、黑客勒索溯源、

黑灰产链研判、电信网络诈骗协查等服务，协

助侦破多起网络相关要案。

PC端数据，月活覆盖5.5亿+终端设备，覆盖

市场90%占有率；累计处理超过2EB实时网络

安全数据库，包括50000亿条存活网址库、90

25数据服务亿条域名信息库、22万亿条程序行为日志库。

在C端特征数据占有率部高达97%；为支撑该

数据服务，每天均处理20000亿条日志数据；

实时更新数据100万/年

服务期内提供专案支撑服务，包括省部督、百

26协查服务

万案件、交办案件等服务

6

对来自移动互联网、重点网站、恶意APP、用

户举报、用户标记、以及公安业务工作的非标

准数据需要进行格式转换，将非标准数据转化

为标准数据进入大数据嫌疑线索情报分析平

台。

大数据嫌疑线索情报分析平台根据数据标准

对数据进行检查，数据格式转化、异常数据清

洗，数据运维与统计（按照不同的数据类型进

行统计，包含正确数据量、分类错误数据量

等），采用元数据、格转策略、校验策略设计，

数据接入平台具有灵活性、通用性、扩展性。

主要工作包括：

大数据（1）数据传输、质量校验等标准制定

嫌疑线制定数据封装形式、数据结构、数据类型、引

数据接数据接

27索情报用字典等数据传输和质量校验的标准，为后续

入入

分析平工作提供基本依据

台（2）样本分析、质量分析

采集数据样本，对样本数据的结构、字段内容

语义、数据统计规律、字段合规性等内容进行

分析，为数据标准化、数据对象提取策略、数

据归一策略等工作提供必要的支撑

（3）数据标准化

根据数据样本分析和质量分析的结果，制定预

处理策略，主要包括数据清洗、格式校验、格

式转换等数据标准化策略

（4）数据对象提取策略

根据数据样本分析和质量分析的结果，制定对

象档案、对象关系的提取策略以及和其他来源

数据对象化结果的归并策略

7

(5)数据归一化策略

根据数据样本分析和质量分析的结果，制定归

一化策略，并与其他来源数据的归一化策略融

合，扩展归一化场景，完善归一化权重计算等

算法，提升对象归一化结果的质量

PC终端、移动互联网用户数据、重点网站数

据、举报数据以及公安业务工作数据进入预处

理层，预处理层对采集的公安大数据进行统一

流式预处理，使得不同来源的数据格式相对统

一、关联标识清楚，在一定程度上减少后续数

据存储处理量，方便更为复杂的业务处理，为

数据预

28预处理公安业务中日常管理、落地调查、分析关联、

处理

区域管控、线索挖掘、情报发现和预警等提供

必要支撑。

预处理采用动态、可配置、可扩展的开放式架

构，支持任务动态可编排。建立预处理数据流

和控制流的统一协同机制，实现数据生命周期

的统一编址管理，确保数据的完整性、一致性。

8

建立数据缓存机制，能够处理瞬时高峰数据，

避免数据丢失C

预处理服务器按照信息提取、数据清洗、数据

关联、数据比对、数据标识五步，将每条接入

数据与人、地、物、事、组织（关系）、行为

等实时关联和标识。

数据提数据提取主要包括网页信息提取、全文数据结

29

取构化提取，利于数据长期存储和使用。

数据清洗包括垃圾信息过滤、数据去重和格式

数据清清洗，提高数据的价值密度。

30

洗垃圾信息过滤主要采取样本分析和内容过滤

等方式，对垃圾信息进行辨别利分离。

数据关联将网民上网数据与接入认证数据、IP

地址备案信息、上网场所备案信息、基站信息

数据关

31等公安基础数据进行关联，主要包括认证数据

联

关联、地理位置信息关联、用户实名信息关联

等。

数据比对包括结构化比对、关键词比对、二进

制比对、文件特征比对，满足线索发现、触网

报警等业务需要。

结构化比对：通过对线索（如网络身份、身份

数据比证件号码）的比对，在海量日志数据中命中发

32

对现线索相关信息。

关键词比对：通过对关键词及关键词组合的比

对，在海量全文数据中命中发现关键词相关信

息。

二进制比对：通过对二进制文件（如文档文件、

9

图片文件）的比对，在数据中命中发现二进制

文件相关信息C

文件特征比对：通过对文件特征的比对，在数

据中命中发现文件特征相关信

数据标识依托基础资源库和基础知识库，对数

据进行语言、区域、位置、业务等属性标识，

为上层应用提供支撑。数据标识分为通用标识

和业务标识，通用标识是数据自身所蕴含的特

数据标

33定含义的显性化，通常由数据的自身定义或由

识

预处理关联、比对结果等来确定；业务标识是

根据不同的知识库形成具有明确业务含义的

标签，对数据进行业务标识，支撑业务资源库

的形成及模型分析。

经过数据预处理之后，业务预处理对数据进行

二次处理，丰富数据标签用于业务分类，提高

数据关联率，为大数据嫌疑线索情报分析平台

各业务系统提供可视化规则配置、接口化规则

管理、数据缓存、数据比对、数据打标（数据

流式打标、数据异步打标）、数据关联、数据

业务预抽取及分流、数据回溯、模型处理、可信度效

34

处理验。

数据打标为业务预处理的重要功能，数据打标

基于业务应用对数据添加业务标识，如涉诈业

务需求的涉诈人员、涉诈手机号、涉诈网站、

涉诈网络应用、涉诈关键词、涉诈敏感地域等

标识，涉诈业务需求的涉诈人员、涉诈手机号、

涉诈网络应用、涉诈网站、涉诈群组等标识。

10

对象化预处理将每条接入数据与人、地、物、

对象化

35事、组织等实时提取形成基本对象化数据，为

预处理

对象化分析提供支撑。

数据中心包括存储中心和计算与分析中心，存

储中心负责存储数据资源，包括基础资源库、

基础知识库、对象库、业务知识库、业务资源

库、业务实体库、索引等，计算与分析中心负

责按人、地、物、事、组织进行对象数据的合

数据中数据中

36并、归一和对象数据分析。

心心

基础资源库是综合公安各种数据资源、对各项

业务工作都具有支撑作用的公共数据集合，可

以脱离任何业务而独立存在，也与每一项业务

相关。基础资源库数据也是人、地、物、事、

组织（关系）、行为等对象化数据的来源。

应用支撑是大数据嫌疑线索情报分析平台中

业务层的核心部分，用于支撑运行在其上的业

务系统。应用支撑向上对接各业务系统，提供

统一的综合查询、互联查询、互联布控、统计

服务、权限管理、报警服务、元数据管理服务、

任务管理服务、缓存服务、异常服务、日志管

理和消息服务；向下对接数据中心，为业务系

应用支应用支

37统提供统一的支撑平台、统一的业务服务，屏

撑撑

蔽业务系统与数据中心的直接关系，数据中心

的变化对业务不会有影响。另外，还提供数据

自提取策略配置、应用对外服务接口注册、系

统初始化组件及公共组件包功能。其中系统初

始化组件是应用支撑平台的初始化入口；公共

组件包为应用支撑平台各组件及业务系统提

供公共组件支持，包括工具包、资源调度、实

II

体转换组件（业务实体转元数据实体）、通用

组件（如Tree、Node^Table封装等）。

基于用户电话端和网络端行为的综合预警模

系统应电话断式。主要预警原因包括：用户执行了呼叫转移、

38

用预警用户频繁接到国际来电、用户在接到电话后安

装了APPo

基于用户网络端行为的预警模型。不仅仅依据

用户安装了特定的APP进行预警，还根据用户

的网络行为步骤进行预警。例如，某人被“新

城国际APP”诈骗，但他绝不是凭空安装该APP

反诈预网络端

39的，一定是有何种渠道被人诱导安装。所以，

警中心预警

我们找出来该人安装“新城国际APP”之前，

以及被诈骗之前的所有网络行为去定义模型。

找到所有和该人有类似网络行为的人进行预

警。

移动端数据，全国总计覆盖10亿+终端设备，

覆盖市场70%占有率；

实时监测XX境内设备量在500万左右，具有

40数据服务

网络端、电话端高风险行为，预警数据每日输

出在1600条价值线索左右，月预警数据输出

在50000条，年预警数据总量在60万条左右

AI止付快捷部快捷部实现通过“一键部署安装”的方式完成平台运

41

RPA机署安装署安装行环境和软件系统的部署

42器人服账号密账号密实现通过账号密码登录使用平台管理端页面

12

务码登录码登录

支持以“任务”的形式通过模板导入的方式按

批次划分导入银行卡止付信息；支持对上传的

任务管创建任

43批量导入文件检测填充内容是否异常或重复，

理务

以协助人员校对上传的封堵信息降低出错概

率

支持展示当前选定“任务”的详细信息，包括

任务管任务详

44提交状态、识别状态、银行卡持续封堵情况及

理情

解除封堵情况、识别失败情况

机器人

机器人以列表的方式展示各个节点的IP、角色、工

45列表概

列表作量、状态、过期时间属性

1吠

见

机器人机器人通过机器人编辑功能，可以对机器人进行参数

46

列表编辑配置、角色变更等操作

以列表的方式展示平台中止付和解封的任务，

止付列止付列提供各种条件的检索便于数据查询。列表展示

47

表表概览的相关字段有：银行卡号、提交状态、身份证、

下次提交时间、结束封堵时间、识别状态

止付列止付任提供止付任务模板，让用户根据模板导入需要

48

表务导入止付的数据，快捷批量生成止付任务

止付列解封任提供解封任务模板，让用户根据模板导入需要

49

表务导入解封的数据，快捷批量停止止付任务

提供快捷批量导入归属行的入口，使识别失败

1上付列归属行

50的银行卡可以在修改归属行信息后被再次识

表修改

别

平台提供数据导出功能，可以根据数据筛选条

止付列记录导

51件进行止付数据的导出，方便用户进行数据跟

表出

踪、核验等操作

52止付列运行日以日历的形式对止付的银行卡数据进行展示，

13

表历能够清晰直观的看到每个银彳亍卡的实时动态