[論文レビュー] Anomaly detection in online social networks

David Savage, Xiuzhen Zhang+3 more|arXiv (Cornell University)|Aug 1, 2016

Network Security and Intrusion Detection参考文献 58被引用数 11

ひとこと要約

この論文は、オンライン・ソーシャル・ネットワークにおける異常検出のための計算的手法を調査し、静的／動的およびラベルあり／ラベルなしのタイプに分類する。特徴量選択と分類を含む二段階フレームワークを提案し、大規模ネットワークにおける詐欺や共謀などの悪意ある行動を特定するために、スケーラブルでヒューリスティック駆動の特徴量工学の必要性を強調する。

ABSTRACT

Anomalies in online social networks can signify irregular, and often illegal behaviour. Anomalies in online social networks can signify irregular, and often illegal behaviour. Detection of such anomalies has been used to identify malicious individuals, including spammers, sexual predators, and online fraudsters. In this paper we survey existing computational techniques for detecting anomalies in online social networks. We characterise anomalies as being either static or dynamic, and as being labelled or unlabelled, and survey methods for detecting these different types of anomalies. We suggest that the detection of anomalies in online social networks is composed of two sub-processes; the selection and calculation of network features, and the classification of observations from this feature space. In addition, this paper provides an overview of the types of problems that anomaly detection can address and identifies key areas of future research.

研究の動機と目的

• オンライン・ソーシャル・ネットワークに特化した異常検出手法の包括的サーベイを提供すること。
• 時間的性質（静的対動的）およびラベル状態（ラベルあり対ラベルなし）に基づいて異常を分類し、手法選定を支援すること。
• 通常の行動の定義における主な課題、および社会的ネットワークデータにおける進化するか、悪意あるパターンを検出する際の課題を特定すること。
• SNAにおける効果的な異常検出システムを構築するうえで、特徴量選択と分類の重要性を強調すること。
• オンライン・ソーシャル・ネットワークにおける異常検出のスケーラビリティ、現実性、耐性を向上させるための今後の研究方向性を提示すること。

提案手法

• 異常を4つのタイプに分類する：静的／ラベルあり、静的／ラベルなし、動的／ラベルあり、動的／ラベルなし。これにより、手法選定の指針が得られる。
• 二段階のプロセスを提案する：(1) ネットワーク特徴量（例：次数、クラスタリング係数、コミュニティ構造など）の選択と計算、(2) 監督付きまたは非監督付き学習を用いた観測値の分類。
• 複雑なユーザ行動を、異常パターンを反映する意味のあるネットワーク特徴量にマッピングするという非自明な課題に焦点を当てる。
• 統計的、スペクトル的、クラスタリング、近隣探索、情報理論的手法を含む既存の異常検出手法をレビューし、ネットワーク構造に適合させる。
• 異常検出手法の評価に使用するための現実的なテストデータを生成するために、現象的およびエージェントベースのネットワーク生成モデルの使用を検討する。
• 個々の行動をシミュレートするエージェントベースのモデルを提唱し、発生的ネットワーク特性を生成することで、悪意あるテストシナリオにおける現実性を向上させる。

実験結果

リサーチクエスチョン

• RQ1 オンライン・ソーシャル・ネットワークにおける異常は、その時間的特性およびラベル状態に基づいて、どのように体系的に分類できるか？
• RQ2 社会的ネットワークにおいて、異常行動と通常の行動を区別するために最も効果的なネットワーク特徴量は何か？
• RQ3 大規模なソーシャル・ネットワーク分析において、スケーラビリティと正確性を最適化するための特徴量選択と分類パイプラインはどのように設計できるか？
• RQ4 合成ネットワーク生成手法は、異常検出手法の検証と改善にどのような役割を果たすか？
• RQ5 動的かつ悪意あるオンライン・ソーシャル環境において、異常検出の耐性と適応性を高めるための主な課題と今後の研究方向性は何か？

主な発見

• オンライン・ソーシャル・ネットワークにおける異常検出は、特徴量工学の後に分類を実施する二段階的プロセスとして最適に扱われるべきであり、特徴量選択は重要かつ非自明なステップである。
• 静的異常は、期待されるネットワークパターンからの構造的逸脱に基づいて検出されるが、動的異常は時間的進化と変化点をモデル化する必要がある。
• ラベルあり異常検出は監督付き学習の恩恵を受けるが、ラベルなし検出はクラスタリングや外れ値検出に依存し、まれなまたは逸脱したパターンを同定する。
• 合成ネットワーク生成、特にエージェントベースのモデリングは、異常検出手法の評価に使用可能な現実的でテスト可能なデータを生成する有望なアプローチを提供する。
• 既存の異常検出手法はしばしば問題特化的であり、特定のネットワークタイプや行動に特化しているため、より汎用的なフレームワークの必要性が示唆される。
• 現実的な合成データ生成と高度な特徴量工学の統合は、実世界のオンライン・ソーシャル・ネットワークにおける異常検出システムの評価と導入を改善するために不可欠である。