[论文解读] Quick survey of graph-based fraud detection methods

Paul Irofti, Andrei Pătraşcu+1 more|arXiv (Cornell University)|Oct 24, 2019

Network Security and Intrusion Detection参考文献 78被引用 4

一句话总结

本文综述了基于图的欺诈检测方法，通过整合拓扑结构与节点/边属性，识别金融和社交网络中的异常行为。提出了一种结合图聚类、自编码器和信息论原理（如MDL）的混合技术，用于检测欺诈性节点、边或子图，在真实数据集上相比基线方法，召回率最高提升7.93%，F-score最高提升4.63%。

ABSTRACT

In general, anomaly detection is the problem of distinguishing between normal data samples with well defined patterns or signatures and those that do not conform to the expected profiles. Financial transactions, customer reviews, social media posts are all characterized by relational information. In these networks, fraudulent behaviour may appear as a distinctive graph edge, such as spam message, a node or a larger subgraph structure, such as when a group of clients engage in money laundering schemes. Most commonly, these networks are represented as attributed graphs, with numerical features complementing relational information. We present a survey on anomaly detection techniques used for fraud detection that exploit both the graph structure underlying the data and the contextual information contained in the attributes.

研究动机与目标

• 通过利用属性图中的关系结构与属性信息，识别并分类欺诈性实体——节点、边或子图。
• 通过将交易建模为具有时间与拓扑特征的动态关系网络，解决将交易视为独立数据点所带来的局限性。
• 开发无监督与半监督方法，实现在缺乏大量标注欺诈数据情况下的异常检测，这对实际部署至关重要。
• 将时间动态特性整合到图模型中，支持对高频或模式化欺诈行为（如垃圾信息或洗钱）的检测。
• 在金融、社交网络和电子商务等领域，对现有方法进行评估与比较，重点关注可扩展性与可解释性。

提出的方法

• 使用带有数值特征的属性图，应用图结构分析检测与正常模式的偏差。
• 采用最小描述长度（MDL）原则，联合建模网络拓扑与属性分布，最小化正常子结构的编码成本。
• 应用非负矩阵分解（NMF）同时基于连通性与特征相似性对节点进行聚类，实现结构与属性的联合优化。
• 利用深度自编码器从网络游走中学习节点或边的低维重建嵌入，保留局部距离关系，并支持异常评分。
• 结合拉普拉斯正则化与CUR分解，识别代表性实例，并通过高维属性空间中的残差分析衡量正常性。
• 应用动态聚类与蓄水池采样，维持演化网络中高效可更新的表示，支持实时欺诈检测。

实验结果

研究问题

• RQ1 如何联合利用图结构与属性信息，超越传统向量模型，提升欺诈检测性能？
• RQ2 拓扑特征（如团、密集子图或高阶度节点）在金融与社交网络中识别欺诈行为方面发挥何种作用？
• RQ3 当标注欺诈数据稀缺时，无监督与半监督方法在多大程度上优于监督基线方法？
• RQ4 如何在图框架内有效建模时间模式（如高频交易），以检测时间敏感型欺诈？
• RQ5 信息论原理（如MDL）能否为大规模属性图中稀有或异常子图模式的检测提供合理方法？

主要发现

• HitFraud算法通过在属性图上使用元路径与标签聚合，在EA数据集上相较SVM与随机森林基线，召回率提升7.93%，F-score提升4.63%。
• 基于MDL的聚类方法通过最小化编码成本，有效识别规范性子结构，异常子图则表现为出现频率最低或最不可压缩的模式。
• 结合自编码器与图游走的混合模型，生成忠实的节点与边表示，保留局部结构特征，并通过重建误差实现高精度异常检测。
• 结合蓄水池采样的动态表示学习，可高效响应网络变化更新嵌入，支持流式环境下的实时欺诈检测。
• 采用CUR分解与残差分析的模型，通过识别难以由少量正常原型良好表示的实例，成功检测异常实例。
• 在混合模型中引入网络熵正则化项，可基于属性相似性与拓扑上下文，更优地将节点分配至组件。