[論文レビュー] FLOCK: Combating Astroturfing on Livestreaming Platforms

Neil Shah|arXiv (Cornell University)|Oct 4, 2016

Spam and Phishing Detection被引用数 5

ひとこと要約

FLOCK は、放送行動をモデル化し、同期的で異常な視聴を特定することで、ライブ配信プラットフォームにおける人工視聴（ビュー봇）を、教師なしでスケーラブルに検出する手法である。敵対的状況下でも、ボットが注入された放送の検出で98％を超える精度を達成し、個々のボット視聴の検出では90％を超える精度・再現率を達成する。

ABSTRACT

Livestreaming platforms have become increasingly popular in recent years as a means of sharing and advertising creative content. Popular content streamers who attract large viewership to their live broadcasts can earn a living by means of ad revenue, donations and channel subscriptions. Unfortunately, this incentivized popularity has simultaneously resulted in incentive for fraudsters to provide services to astroturf, or artificially inflate viewership metrics by providing fake "live" views to customers. Our work provides a number of major contributions: (a) formulation: we are the first to introduce and characterize the viewbot fraud problem in livestreaming platforms, (b) methodology: we propose FLOCK, a principled and unsupervised method which efficiently and effectively identifies botted broadcasts and their constituent botted views, and (c) practicality: our approach achieves over 98% precision in identifying botted broadcasts and over 90% precision/recall against sizable synthetically generated viewbot attacks on a real-world livestreaming workload of over 16 million views and 92 thousand broadcasts. FLOCK successfully operates on larger datasets in practice and is regularly used at a large, undisclosed livestreaming corporation.

研究の動機と目的

• ライブ配信プラットフォームにおけるビュー봇詐欺の問題を形式的に定義し、特徴づけること。ここでの目的は、偽の視聴を用いて人気指標を不正に上昇させることである。
• 教師データを必要とせず、ボットが注入された放送および個々のボット視聴を両方効果的に検出できる、スケーラブルで教師なしの手法を開発すること。
• 変動するタイミングとIP制御を用いるビュー봇を検出する課題に取り組むこと。これは、従来の密な部分グラフ法や教師あり検出手法では回避される。
• 実際の視聴行動を模倣するために経験的ブラケット分布からサンプリングする攻撃者を想定した状況下でも、手法の頑健性を評価すること。
• 1600万件の視聴と9万2000件の放送を含む実世界のデータセットを用いて、実用的効果を示すこと。高い精度とスケーラビリティを実証する。

提案手法

• FLOCK は各放送を視聴イベントの集合としてモデル化し、開始時刻と継続時間の割合を用いて、異常な行動パターンを検出する。
• 視聴回数の乖離度を可視化した図（viewcount-deviance plot）を用い、期待される視聴行動から著しく乖離している放送を特定し、ボットによるインflatedと疑われる放送としてマークする。
• マークされた放送に対して、FLOCK は X-means クラスタリングを適用し、時間的同期に基づいて視聴をグループ化することで、ボット活動を示す一斉行動を同定する。
• 繰り返し除去ヒューリスティック（PRUNE-ITERATIVE）を適用し、同期的行動を示す視聴を段階的に削除することで、疑わしいボット視聴の集合を洗練させる。
• 実際の放送時間の分布と視聴行動の経験的分布を活用して「通常の」行動をモデル化し、ラベルなしで乖離を検出可能にする。
• 敵対的頑健性を評価するために、真のブラケット分布からサンプリングして正常行動を模倣する攻撃者をシミュレートし、その攻撃に対するIPコストが上昇することを示す。

実験結果

リサーチクエスチョン

• RQ1 ライブ配信プラットフォームにおける人工視聴（ビュー봇）は、どのように形式的に定義され、本物の視聴行動と区別されるか？
• RQ2 教師データに依存せず、ボットが注入された放送および個々のボット視聴を効果的に検出できる、教師なしでスケーラブルな手法は何か？
• RQ3 攻撃者が経験的分布からサンプリングして正常行動を模倣する敵対的状況下で、FLOCK はどのように動作するか？
• RQ4 FLOCK の検出メカニズムを用いた場合、ビュー봇の実行にかかる実際のコスト（特に必要なIPアドレス数）はどの程度か？
• RQ5 FLOCK は、数百万件の視聴と数千件の放送を含む大規模な実世界データセットにおいて、どのようにスケーリングするか？

主な発見

• FLOCK は、1600万件の視聴と9万2000件の放送を含む実世界のデータセットにおいて、ボットが注入された放送の検出で98％を超える精度を達成した。
• 大規模な合成ビュー봇攻撃の状況下でも、個々のボット視聴の検出において90％を超える精度と再現率を達成した。
• 攻撃者が真のブラケット分布からサンプリングして正常行動を模倣しても、FLOCK はその攻撃に必要なIP数を、単純なレート制限と比較して40％増加させた。
• FLOCK は視聴数に比例して線形にスケーリングし、大規模な産業用途においても優れたパフォーマンスを示した。
• FLOCK は、放送全体の継続時間にわたって視聴が続くといった、ボット活動の特徴となる一斉視聴行動のパターンを効果的に同定できた。
• FLOCK の結果は、詐欺的ストリーマーのマーク、懸念されるIPアドレスのペナルティ適用、および導出されたシグネチャを用いた教師あり学習システムの支援に活用できる。