[论文解读] Smoke Screener or Straight Shooter: Detecting Elite Sybil Attacks in User-Review Social Networks

Haizhong Zheng, Minhui Xue+5 more|arXiv (Cornell University)|Sep 20, 2017

Spam and Phishing Detection参考文献 23被引用 7

一句话总结

该论文提出ElsieDet，一种用于在用户评分社交网络（如大众点评）中识别精英Sybil用户的三阶段检测系统。这些用户通过发布高质量、时间上分散的虚假评论来模仿真实用户。通过社区聚类、活动窗口识别以及一种新颖的'Sybilness'度量方法，ElsieDet能够高精度地发现逃避传统检测方法的精英Sybil用户。

ABSTRACT

Popular User-Review Social Networks (URSNs)---such as Dianping, Yelp, and Amazon---are often the targets of reputation attacks in which fake reviews are posted in order to boost or diminish the ratings of listed products and services. These attacks often emanate from a collection of accounts, called Sybils, which are collectively managed by a group of real users. A new advanced scheme, which we term elite Sybil attacks, recruits organically highly-rated accounts to generate seemingly-trustworthy and realistic-looking reviews. These elite Sybil accounts taken together form a large-scale sparsely-knit Sybil network for which existing Sybil fake-review defense systems are unlikely to succeed. In this paper, we conduct the first study to define, characterize, and detect elite Sybil attacks. We show that contemporary elite Sybil attacks have a hybrid architecture, with the first tier recruiting elite Sybil workers and distributing tasks by Sybil organizers, and with the second tier posting fake reviews for profit by elite Sybil workers. We design ElsieDet, a three-stage Sybil detection scheme, which first separates out suspicious groups of users, then identifies the campaign windows, and finally identifies elite Sybil users participating in the campaigns. We perform a large-scale empirical study on ten million reviews from Dianping, by far the most popular URSN service in China. Our results show that reviews from elite Sybil users are more spread out temporally, craft more convincing reviews, and have higher filter bypass rates. We also measure the impact of Sybil campaigns on various industries (such as cinemas, hotels, restaurants) as well as chain stores, and demonstrate that monitoring elite Sybil users over time can provide valuable early alerts against Sybil campaigns.

研究动机与目标

• 为应对用户评分社交网络（URSNs）中日益严重的精英Sybil攻击威胁，其中高评分用户被策反以发布逼真的虚假评论。
• 克服现有Sybil检测方法依赖社交图连通性或聚合行为的局限性，这些方法在稀疏连接的URSNs中失效。
• 检测那些撰写具有真实时间模式的可信评论、从而逃避传统基于特征和聚类防御的精英Sybil用户。
• 通过长期监控精英Sybil用户，实现在广泛破坏发生前提供可操作警报的早期检测。
• 设计一种可扩展的独立系统，可应用于大众点评以外的URSNs，如Yelp和Amazon。

提出的方法

• 第一阶段：通过基于协同发布行为的聚类方法，检测在协同活动中表现出异常的Sybil社区。
• 第二阶段：使用一种新颖的活动检测算法，识别Sybil活动的起止时间，过滤掉非活动期间的评论。
• 第三阶段：基于用户参与活动的频率和时间分布，计算每个用户的'Sybilness'得分，从而识别精英Sybil用户。
• 利用大众点评（2014年1月至2016年6月）的1000万条评论大规模数据集进行实证评估和模型训练。
• 采用混合检测方法，结合行为聚类、时间模式分析和用户级评分，以提高检测准确性。
• 避免依赖上下文特征或NLP模型，使ElsieDet对AI生成的虚假评论具有鲁棒性。

实验结果

研究问题

• RQ1 精英Sybil用户在评论发布模式和内容质量上与真实用户有何不同？
• RQ2 哪些结构和行为特征定义了URSN中精英Sybil活动的特征？
• RQ3 三阶段检测系统能否有效识别那些逃避传统基于图和基于特征防御的精英Sybil用户？
• RQ4 长期监控精英Sybil用户在提供Sybil活动早期预警方面有多有效？
• RQ5 精英Sybil攻击在电影院、酒店和餐厅等行业中在多大程度上扭曲了评分？

主要发现

• 精英Sybil用户发布的评论在时间上分布更分散，有助于逃避检测。
• 精英Sybil用户的评论经过更精心的编辑，更具说服力，导致更高的过滤绕过率。
• 通过监控精英Sybil用户，大多数Sybil活动可在其启动后的前两周内被检测到。
• Sybilness度量方法即使在精英Sybil用户模仿真实用户行为时，也能以高精度识别出这些用户。
• 精英Sybil攻击显著扭曲了电影院、酒店和餐厅等行业的评分，连锁店尤其容易受到攻击。
• ElsieDet在大众点评的真实1000万条评论数据集上表现出高度有效性和可扩展性。