[論文レビュー] Discovery, Retrieval, and Analysis of 'Star Wars' botnet in Twitter

Juan Echeverría, Shi Zhou|arXiv (Cornell University)|Jan 10, 2017

Spam and Phishing Detection参考文献 29被引用数 6

ひとこと要約

この論文は、2013年から活動を続けている、35万件を超えるボットから成る「スターデアウィズ」ボットネットを発見・収集・分析した。このボットネットは、スターデアウィズの名言をランダムに投稿するのみで、一貫した動作を示す。このボットネットは、活発なボットの大きな均質的データセットを提供しており、ボット設計や行動の深い分析を可能にするとともに、検出に関する新たな知見を明らかにした。特に、50万件を超えるボットを含む第二の、より大きなボットネットの発見にもつながった。

ABSTRACT

It is known that many Twitter users are bots, which are accounts controlled and sometimes created by computers. Twitter bots can send spam tweets, manipulate public opinion and be used for online fraud. Here we report the discovery, retrieval, and analysis of the `Star Wars' botnet in Twitter, which consists of more than 350,000 bots tweeting random quotations exclusively from Star Wars novels. The botnet contains a single type of bot, showing exactly the same properties throughout the botnet. It is unusually large, many times larger than other available datasets. It provides a valuable source of ground truth for research on Twitter bots. We analysed and revealed rich details on how the botnet was designed and created. As of this writing, the Star Wars bots are still alive in Twitter. They have survived since their creation in 2013, despite the increasing efforts in recent years to detect and remove Twitter bots.We also reflect on the `unconventional' way in which we discovered the Star Wars bots, and discuss the current problems and future challenges of Twitter bot detection.

研究の動機と目的

• 2013年から活動を続けている、これまでに未知であった大規模ボットネットをTwitter上で発見・収集すること。
• 同一の性質を有する同一のボットから成る均質的ボットネットの設計、構造、行動を分析すること。
• 今後のボット検出および行動分析研究のため、ライブなTwitterボットの貴重な大規模な真実データセットを提供すること。
• 長期間にわたり不活性化されたままのボットネットが、オンラインの詐欺、意見操作、検出の難易度に与える影響を調査すること。

提案手法

• 研究者たちは、TwitterユーザーIDの1%ランダムサンプルを分析していた際に、TwitterのAPIを用いてユーザーのプロフィールとツイート履歴を取得することで、ボットネットを偶然発見した。
• 同じ内容のツイート（ランダムに選ばれたスターデアウィズの名言）を投稿し、投稿パターンの変動が最小限であるアカウントを、ボットとして特定した。
• ネットワーク解析を用いてボットネットを分析した。これには、フォロワー関係、ツイート頻度、活動の時間的パターンが含まれる。
• 基本的な機械学習分類器を用いて、ツイート内容およびユーザー行動における異常を検出することで、ボットネットの均質性を明らかにした。
• ボットネットの活動を時間経過とともに監視し、その持続性と活動レベルを評価した。これにより、ボットネットが継続的に存在しており、低リスクな運用を続けていることが確認された。
• スターデアウィズボットネットの発見が、共通する行動パターンの分析を通じて、50万件を超えるボットを含む第二の、より大きなボットネットの同定を可能にした。

実験結果

リサーチクエスチョン

• RQ1 リアルタイムのソーシャルメディアプラットフォーム、たとえばTwitter上において、一貫した行動を示す大規模かつ均質的なボットネットをどのように検出できるか？
• RQ2 「スターデアウィズ」ボットネットの構造的・行動的特徴は何か？ これまでは報告されてきたボットネットとはどのように異なるか？
• RQ3 2013年から現在まで、継続的に活動を続けているにもかかわらず、「スターデアウィズ」ボットネットは、なぜ長期間にわたり検出されなかったのか？
• RQ4 不活性化され、低活動なボットネットが、フェイクフォロワー、意見操作、ストリーミングAPIの汚染といった脅威を、どの程度引き起こす可能性があるか？
• RQ5 均質的で大規模なボットネットの発見が、共通する行動シグネチャを用いて、より大きなボットネットの同定を可能にするか？

主な発見

• 「スターデアウィズ」ボットネットは、スターデアウィズ小説からのランダムな名言のみを投稿する35万件を超えるボットから成り、コンテンツや行動に変化がない。
• このボットネットは、2013年創設以降、Twitter上で活動を続け、かつ検出されないままに保たれており、現在のボット検出メカニズムの限界を示している。
• ボットは最小限の活動（少ないツイート数、少ない接続数）を示しており、人間のユーザーに似た行動を示し、より疑わしく見えにくくなっている。
• 研究者たちは、スターデアウィズボットがフェイクフォロワーとして使用されており、複数の著名ユーザーが数万件ものこれらのボットにフォローされているのを発見した。
• ボットネットの均質性と長期間の存続が、共通する行動パターンに基づき、50万件を超えるボットを含む第二の、より大きなボットネットの同定を可能にした。
• 本研究では、不活性化され、低活動なボットネットが数年間も検出されないままに保たれ、依然としてオンライン詐欺や操作の重大な脅威を引き起こす可能性があることが明らかになった。