[论文解读] Identifying Discriminating Network Motifs in YouTube Spam

Derek O’Callaghan, Martin Harrigan+2 more|arXiv (Cornell University)|Feb 23, 2012

Spam and Phishing Detection参考文献 26被引用 11

一句话总结

本文提出一种网络基元轮廓分析方法，通过识别与不同垃圾信息策略相关联的一组最小 discriminating 基元（即特定的小规模网络模式），以检测有组织的 YouTube 垃圾信息活动。通过使用特征选择方法优先筛选出最能区分垃圾用户与正常用户的基元，该方法在实现与完整基元枚举相当的检测准确率的同时，显著提升了大规模网络的可扩展性。

ABSTRACT

Like other social media websites, YouTube is not immune from the attention of spammers. In particular, evidence can be found of attempts to attract users to malicious third-party websites. As this type of spam is often associated with orchestrated campaigns, it has a discernible network signature, based on networks derived from comments posted by users to videos. In this paper, we examine examples of different YouTube spam campaigns of this nature, and use a feature selection process to identify network motifs that are characteristic of the corresponding campaign strategies. We demonstrate how these discriminating motifs can be used as part of a network motif profiling process that tracks the activity of spam user accounts over time, enabling the process to scale to larger networks.

研究动机与目标

• 检测利用机器人生成评论推广恶意网站的有组织 YouTube 垃圾信息活动。
• 解决大规模社交网络中完整网络基元枚举的可扩展性挑战。
• 识别出能表征不同垃圾信息活动策略的一组最小且具有区分性的网络基元。
• 通过仅聚焦于最具信息量的基元来提升检测性能，降低计算开销。
• 通过基于基元的用户轮廓分析，实现对垃圾账号活动的长期追踪。

提出的方法

• 从 YouTube 评论数据构建以用户为中心的网络，其中每个用户为一个中心节点（ego），其评论互动构成网络结构。
• 在每个用户的以用户为中心的网络中枚举所有可能的小型网络基元（3-和4-节点子图），以生成基元轮廓。
• 使用信息增益进行特征选择，识别出最具有区分性的基元，以最好地区分垃圾用户与正常用户。
• 将归一化的基元比率轮廓用作用户级别的特征，用于分类和可视化。
• 通过比较仅使用所选区分性基元与使用全部基元的检测性能，验证该方法的有效性。
• 通过时间序列可视化基元轮廓，以追踪重复出现的垃圾信息活动并评估其时间一致性。

实验结果

研究问题

• RQ1 在 YouTube 评论网络中，哪些网络基元最能有效区分垃圾用户账号与正常用户？
• RQ2 一个精简的区分性基元集合是否能维持与完整基元枚举相当的检测准确率？
• RQ3 不同垃圾信息活动策略（例如，大量账号向少数视频发帖 vs. 少量账号向大量视频发帖）在基元轮廓中如何体现？
• RQ4 基于基元的轮廓分析能否有效追踪垃圾信息活动在时间上的重复行为？
• RQ5 使用最小基元集合在多大程度上能提升大规模网络分析的计算可扩展性？

主要发现

• 通过信息增益筛选出的 21 个区分性基元子集，实现了与完整基元枚举相当的检测准确率。
• 基元轮廓的空间化可视化成功地将已知垃圾信息活动（如活动 1 和活动 2）与正常用户及其他垃圾簇区分开来。
• 两个关键基元（基元 4 和基元 12）足以区分两种主要活动策略，尽管部分边界用户被错误分类为正常用户。
• 垃圾信息活动的重复性得到证实，因为相同的基元和活动模式在首次检测后的一个月内持续存在。
• 许多基元具有较高的信息增益，表明可在不显著损失检测性能的前提下进一步减少基元集合规模。
• 使用区分性基元显著提升了计算效率，使该方法在大规模 YouTube 垃圾信息检测中具备可行性。