[論文レビュー] Uncovering Social Network Sybils in the Wild

Zhi Yang, Christo Wilson+4 more|arXiv (Cornell University)|Jun 27, 2011

Spam and Phishing Detection参考文献 17被引用数 19

ひとこと要約

本稿では、人人社が提供する真のデータを用いて、リアルタイムで動作する測定ベースのシビル検出手法を実装し、100,000件を超えるシビルアカウントを同定した。主な発見は、実際のOSNにおけるシビルは、凝集したコミュニティを形成しないことである。代わりに、シビル管理ツールにおけるスノーボールサンプリングによって偶然にリンクが生成されることが多く、既存の分散型検出手法が凝集クラスタを検出することに依存していることと矛盾する。

ABSTRACT

Sybil accounts are fake identities created to unfairly increase the power or resources of a single malicious user. Researchers have long known about the existence of Sybil accounts in online communities such as file-sharing systems, but have not been able to perform large scale measurements to detect them or measure their activities. In this paper, we describe our efforts to detect, characterize and understand Sybil account activity in the Renren online social network (OSN). We use ground truth provided by Renren Inc. to build measurement based Sybil account detectors, and deploy them on Renren to detect over 100,000 Sybil accounts. We study these Sybil accounts, as well as an additional 560,000 Sybil accounts caught by Renren, and analyze their link creation behavior. Most interestingly, we find that contrary to prior conjecture, Sybil accounts in OSNs do not form tight-knit communities. Instead, they integrate into the social graph just like normal users. Using link creation timestamps, we verify that the large majority of links between Sybil accounts are created accidentally, unbeknownst to the attacker. Overall, only a very small portion of Sybil accounts are connected to other Sybils with social links. Our study shows that existing Sybil defenses are unlikely to succeed in today's OSNs, and we must design new techniques to effectively detect and defend against Sybil attacks.

研究の動機と目的

• 真のデータを用いて、実世界のオンラインソーシャルネットワークにおけるシビルアカウントを検出・特徴付けること。
• 実世界のシビル行動に対して、既存の分散型シビル検出手法の有効性を評価すること。
• 大規模OSNにおけるシビルリンク作成の構造的・時間的性質を理解すること。
• ソーシャルネットワークにおける偶然発生するシビル同士のリンク形成の根本的要因を特定すること。

提案手法

• 人人社が提供する真のシビルデータを活用し、リアルタイムで動作するしきい値ベースのシビル検出手法を訓練および検証した。
• シビルに特徴的な行動的属性（友達リクエストの頻度が高く、受信リクエストの承認率が高いなど）を用いて、測定ベースの検出手法を構築した。
• エッジ作成のタイムスタンプを分析し、意図的か偶然かを区別した。
• 3つの代表的なシビル管理ツールの調査を通じて、スノーボールサンプリングの挙動と人気ノードへのバイアスを理解した。
• 660,000件のシビルアカウント（著者らが検出した100,000件と人人が検出した560,000件）を用いて、大規模なシビルグラフのトポロジーを構築・分析した。
• 次数分布と接続性解析を用いて、シビルコンポーネントの構造を評価し、意図的な連携の可能性を推定した。

実験結果

リサーチクエスチョン

• RQ1 既存の分散型検出アルゴリズムが仮定しているように、実際のOSNにおけるシビルアカウントは、凝集したコミュニティを形成するのか？
• RQ2 シビル同士のリンク作成の時間的パターンは何か？ これは意図的か偶然か？
• RQ3 シビル管理ツールは、シビル接続コンポーネントの形成にどのように寄与しているか？
• RQ4 どの程度までシビルアカウントは通常のユーザーのように、広範なソーシャルグラフに統合されるのか？

主な発見

• 人人におけるシビルアカウントの70％以上が、他のシビルアカウントと社会的リンクを一切持たない。これは、シビルが凝集したコミュニティを形成すると仮定する既存の仮定と矛盾する。
• シビル同士のリンクの大部分（90％以上）は、シビル管理ツールにおけるバイアスのかかったスノーボールサンプリングによって偶然に生成されており、攻撃者の意図的な行動によるものではない。
• リンクが存在するシビルのうち69％は、1つの大きな連結成分を形成しているが、これは意図的なリンク付けではなく、繰り返し発生する友達リクエストによって自然に形成されたものである。
• シビルの次数分布は、93.7％のシビルが10人以下の他のシビルと接続していることを示しており、低度の連携であり、高頻度の接続による偽装の試みも見られないことを示している。
• シビルアカウントは、通常のユーザーと比較して友達リクエストの送信頻度が著しく高く、一部のケースでは1時間に平均400件にのぼるが、特に人気のターゲットでは高い承認率を達成している。
• 本研究は、凝集したコミュニティを検出することに依存する既存のシビル防御手法が、現代のOSNでは効果が薄いことを確認した。これにより、新たな検出手法の開発が不可避である。