[논문 리뷰] Discovery, Retrieval, and Analysis of 'Star Wars' botnet in Twitter

Juan Echeverría, Shi Zhou|arXiv (Cornell University)|2017. 01. 10.

Spam and Phishing Detection참고 문헌 29인용 수 6

한 줄 요약

이 논문은 2013년 이래로 활성 상태를 유지해 온 트위터에서 '스타리 워즈' 봇넷을 발견하고, 검색하며 분석한다. 이 봇넷은 스타워즈 소설에서 따온 무작위 문장을 전적으로 트윗하는 350,000개 이상의 봇을 포함하고 있으며, 이는 실시간 소셜 미디어 플랫폼에서의 봇 설계 및 행동에 대한 깊이 있는 분석을 가능하게 하며, 봇 감지에 대한 새로운 통찰을 제공한다. 또한 이는 500,000개 이상의 봇을 포함하는 두 번째로 더 큰 봇넷을 발견하는 데에도 기여하였다.

ABSTRACT

It is known that many Twitter users are bots, which are accounts controlled and sometimes created by computers. Twitter bots can send spam tweets, manipulate public opinion and be used for online fraud. Here we report the discovery, retrieval, and analysis of the `Star Wars' botnet in Twitter, which consists of more than 350,000 bots tweeting random quotations exclusively from Star Wars novels. The botnet contains a single type of bot, showing exactly the same properties throughout the botnet. It is unusually large, many times larger than other available datasets. It provides a valuable source of ground truth for research on Twitter bots. We analysed and revealed rich details on how the botnet was designed and created. As of this writing, the Star Wars bots are still alive in Twitter. They have survived since their creation in 2013, despite the increasing efforts in recent years to detect and remove Twitter bots.We also reflect on the `unconventional' way in which we discovered the Star Wars bots, and discuss the current problems and future challenges of Twitter bot detection.

연구 동기 및 목표

• 2013년 이래로 활성 상태를 유지해 온, 이전에 알려지지 않은 대규모 봇넷을 트위터에서 발견하고 회수하는 것.
• 동일한 속성을 가진 동일한 봇들로 구성된 균일한 봇넷의 설계, 구조, 행동을 분석하는 것.
• 미래의 봇 감지 및 행동 분석 연구를 위한 희귀한 대규모 실시간 봇 데이터셋을 제공하는 것.
• 침체된 장기적인 봇넷이 온라인 사기, 의견 조작, 감지 과제에 미치는 영향을 조사하는 것.

제안 방법

• 연구자들은 트위터 사용자 ID의 1% 랜덤 샘플을 분석하는 과정에서 봇넷을 우연히 발견했으며, 트위터 API를 사용해 사용자 프로필과 트윗 기록을 검색하였다.
• 연구자들은 동일한 트윗 내용(무작위 스타워즈 인용문)과 극도로 낮은 변동성을 보이는 게시 패턴을 가진 계정을 봇으로 식별하였다.
• 네트워크 분석을 통해 팔로워 관계, 트윗 빈도, 활동의 시간적 패턴을 포함한 봇넷을 분석하였다.
• 연구팀은 트윗 내용과 사용자 행동의 이질성을 탐지하기 위해 기초적인 머신러닝 분류기를 사용하여 봇넷의 균일성을 확인하였다.
• 연구팀은 봇넷의 지속성과 활동 수준을 평가하기 위해 시간에 따라 봇넷을 모니터링하여 그 존재가 계속 유지되고 있으며, 낮은 프로파일을 유지하고 있음을 확인하였다.
• 스타워즈 봇넷의 발견을 통해 공유된 행동 패턴 분석을 통해 500,000개 이상의 봇을 포함하는 두 번째로 더 큰 봇넷을 식별할 수 있었다.

실험 결과

연구 질문

• RQ1 실시간 소셜 미디어 플랫폼인 트위터에서 일관된 행동을 보이는 대규모 균일 봇넷을 어떻게 감지할 수 있는가?
• RQ2 '스타워즈' 봇넷의 구조적 및 행동적 특성은 무엇이며, 이는 이전에 보고된 봇넷과 어떻게 다를까?
• RQ3 2013년 이래로 지속적으로 활성 상태를 유지하고 있음에도 불구하고, '스타워즈' 봇넷이 트위터에서 감지되지 않았던 이유는 무엇인가?
• RQ4 침체된, 저활성 봇넷이 가짜 팔로워, 의견 조작, 스트리밍 API 오염 등의 위협을 얼마나 심각하게 유발할 수 있는가?
• RQ5 한 개의 대규모 균일 봇넷을 발견함으로써 공유된 행동 서명을 통해 다른 더 큰 봇넷을 식별할 수 있는가?

주요 결과

• '스타워즈' 봇넷은 스타워즈 소설에서 따온 문장만을 트윗하는 350,000개 이상의 봇으로 구성되어 있으며, 내용이나 행동에 변동이 전혀 없다.
• 이 봇넷은 2013년 창설 이래로 트위터에서 활성 상태를 유지하며 감지되지 않아 현재의 봇 감지 메커니즘의 한계를 드러냈다.
• 봇들은 극도로 낮은 활동 수준을 보이며, 트윗 수와 연결 수가 적어 인간처럼 보이며 의심스럽지 않다.
• 연구자들은 스타워즈 봇이 몇몇 유명한 사용자들에게 수만 개의 봇 팔로워로 사용되고 있음을 발견하였다.
• 봇넷의 균일성과 장기성 덕분에 공유된 행동 패턴을 바탕으로 500,000개 이상의 봇을 포함하는 두 번째로 더 큰 봇넷을 식별할 수 있었다.
• 이 연구는 침체된 저활성 봇넷이 수년간 감지되지 않을 수 있으며, 여전히 온라인 사기와 조작과 같은 심각한 위협을 유발할 수 있음을 드러냈다.