[论文解读] Towards Detecting Compromised Accounts on Social Networks

Manuel Egele, Gianluca Stringhini+2 more|arXiv (Cornell University)|Sep 11, 2015

Spam and Phishing Detection参考文献 12被引用 5

一句话总结

Compa 是一种行为异常检测系统，通过建模历史发帖模式来识别被 compromise 的高影响力社交媒体账户；它会标记与这些稳定行为特征的偏差，实现高检测准确率且误报率低，并成功识别出三次真实世界攻击，同时能抵御人为策划的宣传活动。

ABSTRACT

Compromising social network accounts has become a profitable course of action for cybercriminals. By hijacking control of a popular media or business account, attackers can distribute their malicious messages or disseminate fake information to a large user base. The impacts of these incidents range from a tarnished reputation to multi-billion dollar monetary losses on financial markets. In our previous work, we demonstrated how we can detect large-scale compromises (i.e., so-called campaigns) of regular online social network users. In this work, we show how we can use similar techniques to identify compromises of individual high-profile accounts. High-profile accounts frequently have one characteristic that makes this detection reliable -- they show consistent behavior over time. We show that our system, were it deployed, would have been able to detect and prevent three real-world attacks against popular companies and news agencies. Furthermore, our system, in contrast to popular media, would not have fallen for a staged compromise instigated by a US restaurant chain for publicity reasons.

研究动机与目标

• 解决现有系统多聚焦于虚假或垃圾账户而忽视被 compromise 的高影响力社交媒体账户这一关键检测空白。
• 开发一种可扩展的自动化检测机制，基于用户行为偏离而非内容启发式规则来识别账户劫持。
• 克服依赖 URL 或消息聚类的系统在无恶意链接时无法检测单条消息攻击的局限性。
• 提供一种适用于孤立账户 compromise 的解决方案——此类事件在高影响力事件中常见，但通常不涉及大规模垃圾信息或 URL 分发。
• 通过利用高影响力账户随时间保持稳定一致的行为，确保对误报的鲁棒性。

提出的方法

• Compa 基于历史消息模式（包括时间、频率、设备使用和互动模式）为每个社交媒体账户构建行为画像。
• 应用统计异常检测方法，将新发消息与学习到的行为模型进行比较，将显著偏差标记为潜在 compromise。
• 系统使用时间序列分析和画像稳定性度量，以区分正常的行为变化与恶意异常。
• 利用高影响力账户表现出一致且可预测行为的特性，使偏差高度指示账户 compromise。
• 该方法不依赖内容分析、URL 检测或消息聚类，从而能够检测单条消息攻击。
• 系统设计可扩展至大规模社交网络，即使账户未参与垃圾信息活动也能检测其 compromise。

实验结果

研究问题

• RQ1 行为异常检测能否有效识别出具有稳定、可预测使用模式的被 compromise 高影响力社交媒体账户？
• RQ2 Compa 在检测不涉及大规模消息发送或恶意 URL 的孤立账户 compromise 时表现如何？
• RQ3 Compa 在检测账户 compromise 时能否避免误报，特别是在行为一贯的账户上？
• RQ4 与依赖 URL 检测、消息聚类或垃圾行为的现有系统相比，Compa 在识别账户劫持方面表现如何？
• RQ5 Compa 能否检测出此前人工或启发式系统未能发现的真实世界账户 compromise？

主要发现

• Compa 成功检测出三起针对高影响力公司和新闻机构的账户 compromise 事件，包括造成标普 500 指数下跌 1% 的美联社 Twitter 账户重大泄露事件。
• 该系统本可阻止美联社虚假突发新闻警报的传播，因其已通过检测异常消息与账户稳定发帖行为的偏差而识别出该攻击。
• Compa 未对一家美国连锁餐厅为宣传而策划的虚假 compromise 事件发出警报，证明其对非恶意但吸引关注的行为具有抗性。
• 由于高影响力账户行为画像的一致性，系统实现了极低的误报率，其行为可预测性高于普通用户。
• Compa 在性能上优于依赖 URL 检测或消息聚类的现有系统，因为它无需恶意链接或消息相似性即可检测单条消息攻击。
• 该方法对孤立账户 compromise 有效，而此类威胁类别常被传统垃圾信息或机器人检测系统所忽略。