[論文レビュー] Quick survey of graph-based fraud detection methods

Paul Irofti, Andrei Pătraşcu+1 more|arXiv (Cornell University)|Oct 24, 2019

Network Security and Intrusion Detection参考文献 78被引用数 4

ひとこと要約

本稿は、金融およびソーシャルネットワークにおける異常を同定するために、トポロジー的構造とノード／エッジ属性を統合するグラフベースの不正検出手法を概説する。本稿では、グラフクラスタリング、オートエンコーダー、MDL（最小記述長）などの情報理論的原則を組み合わせたハイブリッド手法を提案し、実世界のデータ上でベースライン手法に比べて最高で7.93%高い再現率および4.63%高いFスコアを達成した。

ABSTRACT

In general, anomaly detection is the problem of distinguishing between normal data samples with well defined patterns or signatures and those that do not conform to the expected profiles. Financial transactions, customer reviews, social media posts are all characterized by relational information. In these networks, fraudulent behaviour may appear as a distinctive graph edge, such as spam message, a node or a larger subgraph structure, such as when a group of clients engage in money laundering schemes. Most commonly, these networks are represented as attributed graphs, with numerical features complementing relational information. We present a survey on anomaly detection techniques used for fraud detection that exploit both the graph structure underlying the data and the contextual information contained in the attributes.

研究の動機と目的

• 属性付きグラフにおける関係的構造と属性情報の両方を活用して、不正なエンティティ（ノード、エッジ、またはサブグラフ）を同定・分類すること。
• 取引を独立したデータポイントとして扱う限界を克服し、時間的およびトポロジカルな特徴を持つ動的で関係的なネットワークとしてモデル化すること。
• 大量のラベル付き不正データに依存せずに、異常を検出可能な教師ありおよび半教師あり手法を開発すること。これは、実世界への展開において極めて重要である。
• 時間的ダイナミクスをグラフモデルに統合し、スパムやマネーロンダリングなどの高頻度またはパターン化された不正行動を検出可能にする。
• 金融、ソーシャルネットワーク、ECなど多様な分野において、スケーラビリティと解釈可能性に焦点を当て、既存手法の評価と比較を行うこと。

提案手法

• ノードおよびエッジに数値的特徴を持つ属性付きグラフを用い、ネットワーク構造解析により正常パターンからの逸脱を検出する。
• 最小記述長（MDL）の原則を用いて、ネットワークトポロジーと属性分布を同時にモデル化し、正常サブ構造の符号化コストを最小化する。
• 非負値行列分解（NMF）を用いて、接続性と特徴類似度に基づくノードの同時クラスタリングを実施し、構造と属性の最適化を統合する。
• 深層オートエンコーダーを用いて、ネットワークウォークからノードまたはエッジの低次元再構成埋め込みを学習し、局所的距離を保持するとともに、異常スコアリングを可能にする。
• ラプラシアン正則化とCUR分解を統合し、高次元属性空間における残差解析を用いて代表的インスタンスを特定し、正規性を測定する。
• 動的クラスタリングとリザボアサンプリングを適用し、変化するネットワークにおける効率的かつ更新可能な表現を維持し、ストリーミング環境でのリアルタイム不正検出を支援する。

実験結果

リサーチクエスチョン

• RQ1 従来のベクトルベースのモデルを上回る不正検出を実現するため、グラフ構造と属性情報はどのように統合的に活用できるか？
• RQ2 クリーク、密なサブグラフ、または高次数ノードといったトポロジカル特徴が、金融およびソーシャルネットワークにおける不正行動の同定に果たす役割は何か？
• RQ3 ラベル付き不正データが限られる状況において、教師ありおよび半教師あり手法は、教師ありベースラインをどの程度上回るのか？
• RQ4 高頻度取引などの時間的パターンは、どのようにグラフフレームワーク内で効果的にモデル化可能か？
• RQ5 情報理論的原則（MDLなど）は、大規模な属性付きネットワークにおけるレアまたは異常なサブグラフパターンを原理的かつ一貫して検出可能か？

主な発見

• メタパスとラベル集約を用いるHitFraudアルゴリズムは、EAデータセットにおいてSVMおよびランダムフォレストのベースラインに比べ、再現率で7.93%、Fスコアで4.63%の向上を達成した。
• MDLに基づくクラスタリング手法は、符号化コストを最小化することで、正常なサブ構造を効果的に同定でき、異常サブグラフは周辺頻度が低いか、圧縮が困難なパターンとして顕在化する。
• オートエンコーダーとグラフウォークを組み合わせたハイブリッドモデルは、局所構造を保持する忠実なノードおよびエッジ表現を生成し、再構成誤差に基づく正確な異常検出を可能にする。
• リザボアサンプリングを用いた動的表現学習により、ネットワーク変化に応じた効率的な埋め込み更新が可能となり、ストリーミング環境におけるリアルタイム不正検出を支援する。
• CUR分解と残差解析を用いたモデルは、正常プロトタイプのスパース集合にうまく表現されないインスタンスを特定することで、異常なインスタンスを効果的に検出できた。
• 混合モデルにネットワークエントロピー正則化子を統合することで、属性類似性とトポロジカルコンテキストの両面に基づいたノードの成分への適切な割り当てが可能になった。