[논문 리뷰] Quick survey of graph-based fraud detection methods

Paul Irofti, Andrei Pătraşcu외 1명|arXiv (Cornell University)|2019. 10. 24.

Network Security and Intrusion Detection참고 문헌 78인용 수 4

한 줄 요약

이 논문은 금융 및 사회적 네트워크에서 이질성을 식별하기 위해 위상적 구조와 노드/에지 속성 정보를 통합하는 그래프 기반 사기 탐지 기법을 종합적으로 조사한다. 실제 데이터 기반으로 기존 방법 대비 최대 7.93% 높은 재현율과 4.63% 높은 F-스코어를 달성하기 위해 그래프 클러스터링, 오토에인코더, MDL와 같은 정보 이론적 원리를 활용한 하이브리드 기법을 제안한다.

ABSTRACT

In general, anomaly detection is the problem of distinguishing between normal data samples with well defined patterns or signatures and those that do not conform to the expected profiles. Financial transactions, customer reviews, social media posts are all characterized by relational information. In these networks, fraudulent behaviour may appear as a distinctive graph edge, such as spam message, a node or a larger subgraph structure, such as when a group of clients engage in money laundering schemes. Most commonly, these networks are represented as attributed graphs, with numerical features complementing relational information. We present a survey on anomaly detection techniques used for fraud detection that exploit both the graph structure underlying the data and the contextual information contained in the attributes.

연구 동기 및 목표

• 속성 부여된 그래프 내의 관계적 구조와 속성 정보를 활용하여 사기성 엔티티—노드, 에지 또는 부분그래프—를 식별하고 분류하는 것.
• 거래를 독립적인 데이터 포인트로 간주하는 데서 비롯하는 한계를 해결하기 위해 시간적 및 위상적 특성을 갖춘 동적이고 관련성 있는 네트워크로 모델링하는 것.
• 실제 적용에 필수적인 광범위한 레이블이 부여된 사기 데이터에 의존하지 않고도 비지도 및 준지도 학습 방법을 개발하여 이질성을 탐지하는 것.
• 시간적 동역학을 그래프 모델에 통합하여 스팸이나 자금세탁과 같은 고빈도 또는 패턴 기반의 사기 행동을 탐지할 수 있도록 하는 것.
• 금융, 사회 네트워크, 전자상거래 등 다양한 분야에서 기존 방법을 평가하고 비교하여 확장성과 해석 가능성에 중점을 두는 것.

제안 방법

• 노드와 에지에 수치적 특성이 부여된 속성 부여된 그래프를 사용하며, 정상 패턴에서의 이탈을 탐지하기 위해 그래프 구조 분석을 적용한다.
• 최소 기술 길이(MDL) 원리를 활용해 네트워크 위상과 속성 분포를 함께 모델링하고, 정상 하위구조의 인코딩 비용을 최소화한다.
• 비음수 행렬 분해(NMF)를 적용하여 연결성과 특성 유사성 기반으로 노드를 동시에 클러스터링함으로써 구조와 속성의 공동 최적화를 가능하게 한다.
• 딥 오토에인코더를 활용해 네트워크 워크에서 노드 또는 에지의 저차원 재구성 임베딩을 학습하고, 국소적 거리 정보를 유지하며 이질성 점수를 산출한다.
• 라플라시안 정규화와 CUR 분해를 통합하여 대표적인 인스턴스를 식별하고 고차원 속성 공간에서 잔차 분석을 통해 정상성을 측정한다.
• 동적 클러스터링과 리저보이어 샘플링을 적용하여 변화하는 네트워크에서 효율적이고 업데이트 가능한 표현을 유지함으로써 실시간 사기 탐지 지원

실험 결과

연구 질문

• RQ1 기존의 벡터 기반 모델을 초월해 그래프 구조와 속성 정보를 공동으로 활용하여 사기 탐지 성능을 향상시킬 수 있는 방법은 무엇인가?
• RQ2 클리크, 조밀한 부분그래프 또는 고차수 노드와 같은 위상적 특성이 금융 및 사회 네트워크에서 사기 행동을 식별하는 데 어떤 역할을 하는가?
• RQ3 레이블이 부여된 사기 데이터가 부족한 상황에서 비지도 및 준지도 학습 방법이 지도 학습 기반 모델보다 얼마나 뛰어나게 성능을 발휘하는가?
• RQ4 고빈도 거래와 같은 시간 패턴을 그래프 프레임워크 내에서 효과적으로 모델링하여 시간 민감한 사기를 탐지할 수 있는가?
• RQ5 MDL와 같은 정보 이론적 원리가 대규모 속성 부여된 네트워크에서 희귀하거나 이질적인 부분그래프 패턴을 체계적으로 탐지하는 데 유용한가?

주요 결과

• 메타패스와 레이블 집계를 활용한 HitFraud 알고리즘은 EA 데이터셋에서 SVM 및 랜덤 포레스트 기반 기준 대비 재현율 7.93% 향상과 F-스코어 4.63% 향상을 달성했다.
• MDL 기반 클러스터링 방법은 인코딩 비용을 최소화함으로써 정상 하위구조를 효과적으로 식별하며, 이질적인 부분그래프는 가장 흔하지 않거나 가장 압축하기 어려운 패턴을 보이는 것으로 나타났다.
• 오토에인코더와 그래프 워크를 조합한 하이브리드 모델은 국소적 구조를 유지하면서도 충실도 높은 노드 및 에지 표현을 생성하여 재구성 오차를 통한 정확한 이질성 탐지가 가능했다.
• 리저보이어 샘플링을 활용한 동적 표현 학습은 네트워크 변화에 대응하여 임베딩을 효율적으로 업데이트할 수 있어 스트리밍 환경에서 실시간 사기 탐지에 기여했다.
• CUR 분해와 잔차 분석을 활용한 모델은 희소한 정상 프로토타입에 의해 잘 표현되지 않는 인스턴스를 식별함으로써 이상치를 성공적으로 탐지했다.
• 혼합 모델에 네트워크 엔트로피 정규화를 통합함으로써 속성 유사성과 위상적 맥락을 동시에 기반으로 노드를 구성 요소에 보다 잘 할당할 수 있었다.