[论文解读] Uncovering Social Network Sybils in the Wild

Zhi Yang, Christo Wilson+4 more|arXiv (Cornell University)|Jun 27, 2011

Spam and Phishing Detection参考文献 17被引用 19

一句话总结

本文提出了一种在人人网部署的实时、基于测量的Sybil检测器，利用人人网公司提供的真实数据，识别出超过10万个Sybil账号。关键发现是，真实在线社交网络中的Sybil账号并未形成紧密的社区；相反，大多数Sybil之间的链接是通过Sybil管理工具中的雪球采样机制偶然形成的，这破坏了依赖于检测紧密聚集簇的现有去中心化检测方法的有效性。

ABSTRACT

Sybil accounts are fake identities created to unfairly increase the power or resources of a single malicious user. Researchers have long known about the existence of Sybil accounts in online communities such as file-sharing systems, but have not been able to perform large scale measurements to detect them or measure their activities. In this paper, we describe our efforts to detect, characterize and understand Sybil account activity in the Renren online social network (OSN). We use ground truth provided by Renren Inc. to build measurement based Sybil account detectors, and deploy them on Renren to detect over 100,000 Sybil accounts. We study these Sybil accounts, as well as an additional 560,000 Sybil accounts caught by Renren, and analyze their link creation behavior. Most interestingly, we find that contrary to prior conjecture, Sybil accounts in OSNs do not form tight-knit communities. Instead, they integrate into the social graph just like normal users. Using link creation timestamps, we verify that the large majority of links between Sybil accounts are created accidentally, unbeknownst to the attacker. Overall, only a very small portion of Sybil accounts are connected to other Sybils with social links. Our study shows that existing Sybil defenses are unlikely to succeed in today's OSNs, and we must design new techniques to effectively detect and defend against Sybil attacks.

研究动机与目标

• 利用真实数据检测并表征真实在线社交网络中的Sybil账号。
• 评估现有去中心化Sybil检测技术在真实世界Sybil行为面前的有效性。
• 理解大规模OSN中Sybil链接创建的结构与时间特性。
• 识别社交网络中Sybil账号之间意外链接形成的根本原因。

提出的方法

• 利用人人网公司提供的真实Sybil数据，训练并验证一种实时、基于阈值的Sybil检测器。
• 基于Sybil独有的行为特征（如高好友请求频率和高接收请求接受率）构建基于测量的检测器。
• 分析边创建的时间戳，以区分Sybil之间的有意链接与偶然链接。
• 对三种流行的Sybil管理工具进行调查，以理解其雪球采样行为及其对热门节点的偏倚。
• 利用66万个Sybil账号（其中10万个由作者检测，56万个由人人网检测）构建并分析大规模Sybil图拓扑。
• 使用度分布和连通性分析，评估Sybil组件的结构，并推断有意协调的可能性。

实验结果

研究问题

• RQ1 真实OSN中的Sybil账号是否如现有去中心化检测算法所假设的那样，形成高度连接的社区？
• RQ2 Sybil账号之间的链接创建具有怎样的时间模式？是出于有意行为还是偶然形成？
• RQ3 Sybil管理工具如何促成Sybil连接组件的形成？
• RQ4 Sybil账号在多大程度上像普通用户一样融入更广泛的社交图谱？

主要发现

• 人人网中超过70%的Sybil账号与其他Sybil账号之间没有任何社交链接，这与Sybil形成紧密社群的假设相矛盾。
• 绝大多数Sybil之间的链接（超过90%）是由于Sybil管理工具中存在偏倚的雪球采样机制而偶然形成的，而非攻击者有意识的协调行为。
• 在已连接的Sybil账号中，69%构成一个单一的大型连通组件，但该组件是通过重复的好友请求自然形成的，而非有意链接。
• Sybil的度分布显示，93.7%的Sybil连接到10个或更少的其他Sybil，表明其协调程度极低，且无通过高连通性伪装成正常用户的企图。
• Sybil账号发送好友请求的频率远高于普通用户——在某些情况下，平均每小时达400次，但仍能获得很高的接受率，尤其是在热门目标上。
• 本研究证实，基于检测紧密连接社区的现有Sybil防御机制在当今的OSN中已失效，亟需开发新的检测技术。