[论文解读] Composite Behavioral Modeling for Identity Theft Detection in Online Social Networks

Cheng Wang, Bo Yang|arXiv (Cornell University)|Jan 21, 2018

Spam and Phishing Detection参考文献 45被引用 5

一句话总结

本文提出一种复合行为建模方法，联合分析社交网络中多维、低质量的线上与线下用户行为，以检测身份盗用。通过利用检查签到和用户生成内容等数据中的互补模式，该方法在仅使用每次认证一个复合行为的情况下，实现了高检测准确率（AUC最高达0.956）、低延迟和低于1%的误报率。

ABSTRACT

In this work, we aim at building a bridge from poor behavioral data to an effective, quick-response, and robust behavior model for online identity theft detection. We concentrate on this issue in online social networks (OSNs) where users usually have composite behavioral records, consisting of multi-dimensional low-quality data, e.g., offline check-ins and online user generated content (UGC). As an insightful result, we find that there is a complementary effect among different dimensions of records for modeling users' behavioral patterns. To deeply exploit such a complementary effect, we propose a joint model to capture both online and offline features of a user's composite behavior. We evaluate the proposed joint model by comparing with some typical models on two real-world datasets: Foursquare and Yelp. In the widely-used setting of theft simulation (simulating thefts via behavioral replacement), the experimental results show that our model outperforms the existing ones, with the AUC values $0.956$ in Foursquare and $0.947$ in Yelp, respectively. Particularly, the recall (True Positive Rate) can reach up to $65.3\%$ in Foursquare and $72.2\%$ in Yelp with the corresponding disturbance rate (False Positive Rate) below $1\%$. It is worth mentioning that these performances can be achieved by examining only one composite behavior (visiting a place and posting a tip online simultaneously) per authentication, which guarantees the low response latency of our method. This study would give the cybersecurity community new insights into whether and how a real-time online identity authentication can be improved via modeling users' composite behavioral patterns.

研究动机与目标

• 利用低质量、稀疏的行为数据，解决在在线社交网络中检测身份盗用的挑战。
• 克服单一维度行为模型因数据不足和鲁棒性差而带来的局限性。
• 利用多维用户行为（如线下签到和线上用户生成内容）之间的互补性，构建更有效的行为模型。
• 开发一种实时、非侵入性且持续的身份认证机制，提升检测性能，且不依赖密码或令牌。
• 在标准身份盗用模拟设置下，基于真实世界数据集验证该方法的有效性。

提出的方法

• 提出一种联合概率生成模型，将线上（如用户生成内容）和线下（如签到）行为特征整合为统一的复合行为表示。
• 使用张量分解建模多维行为数据，从而从稀疏且低质量的记录中实现有效学习。
• 利用熵的链式法则从理论上证明结合多个行为维度所带来的互补增益。
• 设计一种检测框架，通过分析在学习模型下复合行为模式的可能性来评估用户行为。
• 实现一种轻量级验证流程，每次认证仅需检查一个复合行为（例如，访问某地并发布提示），以确保低响应延迟。

实验结果

研究问题

• RQ1 与单一维度模型相比，结合多个低质量行为维度（如签到和UGC）是否能提升身份盗用检测性能？
• RQ2 当个体行为数据稀疏或嘈杂时，联合建模方法在检测被攻破账户方面的有效性如何？
• RQ3 线上与线下行为之间的互补关系在多大程度上增强了检测的鲁棒性和准确性？
• RQ4 复合行为模型是否能以极小的系统响应时间影响实现高检测性能，从而支持实时部署？
• RQ5 在身份盗用检测中使用复合行为模式时，检测召回率与误报率之间的权衡如何？

主要发现

• 在标准身份盗用模拟条件下，所提出的联合模型在Foursquare数据集上AUC达到0.956，在Yelp数据集上达到0.947。
• 该模型在Foursquare上的真正例率（召回率）最高达65.3%，在Yelp上达72.2%，同时保持低于1%的误报率。
• 该方法仅需在每次认证时检查一个复合行为（如签到+发布提示），即可维持高检测性能，确保低响应延迟。
• 线上与线下行为之间的互补效应显著提升了模型的鲁棒性和检测有效性，即使单个数据流质量较低亦然。
• 基于熵链式法则的理论分析支持联合建模带来的经验增益，表明复合行为模式的整体不确定性降低。