[论文解读] Detecting Malicious Content on Facebook

Prateek Dewan, Ponnurangam Kumaraguru|arXiv (Cornell University)|Jan 5, 2015

Spam and Phishing Detection参考文献 19被引用 6

一句话总结

本文提出了一种基于17起重大事件的公开数据训练的42个特征机器学习模型，实现了对恶意Facebook内容的实时、零时检测系统。通过利用实体资料、文本内容、元数据和URL特征，该模型实现了86.9%的准确率，检测到的恶意帖子数量是以往基于聚类技术的两倍以上，并已部署REST API和Chrome浏览器插件以支持实际应用。

ABSTRACT

Online Social Networks (OSNs) witness a rise in user activity whenever an event takes place. Malicious entities exploit this spur in user-engagement levels to spread malicious content that compromises system reputation and degrades user experience. It also generates revenue from advertisements, clicks, etc. for the malicious entities. Facebook, the world's biggest social network, is no exception and has recently been reported to face much abuse through scams and other type of malicious content, especially during news making events. Recent studies have reported that spammers earn $200 million just by posting malicious links on Facebook. In this paper, we characterize malicious content posted on Facebook during 17 events, and discover that existing efforts to counter malicious content by Facebook are not able to stop all malicious content from entering the social graph. Our findings revealed that malicious entities tend to post content through web and third party applications while legitimate entities prefer mobile platforms to post content. In addition, we discovered a substantial amount of malicious content generated by Facebook pages. Through our observations, we propose an extensive feature set based on entity profile, textual content, metadata, and URL features to identify malicious content on Facebook in real time and at zero-hour. This feature set was used to train multiple machine learning models and achieved an accuracy of 86.9%. The intent is to catch malicious content that is currently evading Facebook's detection techniques. Our machine learning model was able to detect more than double the number of malicious posts as compared to existing malicious content detection techniques. Finally, we built a real world solution in the form of a REST based API and a browser plug-in to identify malicious Facebook posts in real time.

研究动机与目标

• 识别在高互动事件期间逃避Facebook现有检测机制的恶意Facebook内容。
• 描述在重大新闻事件期间，恶意内容与合法内容之间的差异特征。
• 仅使用公开的、实时可获取的特征，开发一种实时、零时检测系统。
• 通过REST API和浏览器插件构建可部署的解决方案，使终端用户能够即时检测并识别恶意Facebook帖子。

提出的方法

• 收集了2013年4月至2014年7月间，17起全球重大事件中来自330万个独立实体的440万条公开Facebook帖子。
• 仅基于公开数据，构建了涵盖实体资料、文本内容、元数据和URL特征的42个综合特征集。
• 使用WOT评分对标注数据集进行训练，采用多种机器学习模型（特别是随机森林）识别恶意内容。
• 通过突发性与分布阈值，与现有的基于聚类的活动检测技术进行性能对比评估。
• 开发基于REST的API，接收Facebook帖子ID并返回通过预训练模型推理得出的恶意/合法分类结果。
• 构建Chrome浏览器插件，通过查询REST API实现实时自动检测并标记恶意帖子。

实验结果

研究问题

• RQ1 在高互动事件期间，哪些特征能够区分恶意Facebook帖子与合法帖子？
• RQ2 现有的Facebook检测机制在病毒式传播事件中未能捕获恶意内容的程度如何？
• RQ3 仅基于公开实时特征的零时检测系统，是否能优于现有的活动检测技术？
• RQ4 基于公开特征训练的机器学习模型，在识别逃避Facebook原生防护机制的恶意内容方面效果如何？
• RQ5 一种实用的、面向用户的解决方案（API与浏览器插件）是否能有效实现实时检测并提醒用户关于恶意Facebook内容？

主要发现

• 恶意实体主要通过网页和第三方应用发布内容，而合法用户则更倾向于使用移动平台。
• 大量恶意内容源自Facebook页面，凸显了此前被低估的攻击向量。
• 所提出的机器学习模型在42个特征集上使用随机森林分类器，实现了86.9%的准确率。
• 该模型检测到的恶意帖子数量是现有基于聚类的活动检测技术的两倍以上。
• 在4,306个聚类中仅有183个（共429.4万个帖子）满足突发性与分布阈值条件，表明先前方法的假阴性率高达61.7%。
• REST API与浏览器插件成功将实时检测集成到用户工作流中，实现了即时的用户级防护。