CN109905399B - 一种基于自我网络结构演化的社交媒体个体异常用户检测方法 - Google Patents

Abstract

本发明属于社交媒体异常用户检测的安全领域，具体涉及一种基于自我网络结构演化的社交媒体个体异常用户检测方法。包括比较快照G_T‑1和G_T来识别时变分量；基于时变分量构建可疑异常节点集合SAN‑Set(T)；对于SAN‑Set(T)中的每个节点v_i，构建核心网Core‑net^T‑1(v_i)和Core‑net^T(v_i)；对于SAN‑Set(T)中的每个节点v_i，求出异常分数Outlying‑Score(v_i)，并按照异常分数大小进行排序；输出前n个最大的异常分数。本发明针对社交媒体中个体用户发生异常行为的场景，在现有IcLEOD方法的基础上提出一种改进的基于有向图的增量局部演化异常检测方法Db‑IcLEOD，改进后的方法可以用于处理基于有向图的社交媒体用户交互状态网络，将用户交互的方向性考虑在内，通过此改进只有与可疑异常节点进行双向交互的节点才会被划进其核心网，从而避免原方法的异常误报。

Description

一种基于自我网络结构演化的社交媒体个体异常用户检测 方法

技术领域

本发明属于社交媒体异常用户检测的安全领域，具体涉及一种基于自我网络结构演化的社交媒体个体异常用户检测方法。

背景技术

近几年大批社交类应用开始涌现并且发展迅猛，如国内知名的有腾讯QQ、微信、新浪微博、百度贴吧、豆瓣、天涯社区、知乎等，国外知名的有职业社交网站LinkedIn、微博客社交网站Twitter、轻博客社交平台Tumblr、全球第一大社交网站Facebook、基于图片的社交网站Pinterest、SNS社交网站Google+等。这些社交应用使用户无论身处何地都能轻松互动，可以使素未谋面的陌生人交到兴趣相投的朋友、知己，它可以增加朋友的沟通频率，拉近人们的距离，增进人们的感情，给大家带来方便。然而，在线社交媒体在为人们提供各种便利服务的同时，其也成为不法分子获取巨大利益的新平台。社交媒体存储和共享大量的个人信息，又由于社交媒体的开放性，恶意用户可以通过收集这些用户的个人信息进行非法活动，例如身份盗用、网络攻击、垃圾邮件、欺诈性信息传播甚至恐怖主义攻击计划。此类恶意活动严重威胁到合法用户的个人隐私、用户账号的安全性、用户之间的信任度以及用户个人体验等，因此针对这类恶意行为的异常用户检测已成为在社交媒体安全研究的关键问题之一。

目前，针对社交媒体异常用户检测的研究越来越受到人们的重视，国内外已有大量的工作致力于解决社交媒体异常用户检测问题。现有的检测方法大致分为四类，分别为基于行为特征、基于内容、基于图以及无监督学习的检测方案。其中基于图的社交媒体异常用户检测方式大多从全局的角度来进行异常分析，然而当前的社交媒体结构复杂、规模庞大，因此掌握整个图的结构信息是不切实际的。而且在特定条件下全局的分析方式能够检测出异常，但是当异常对象在它们的邻域之间隐藏的时候，全局方法将会失效。此外，由于社交媒体中用户交互具有方向性，这种方向性可以使用有向图来刻画，然而现有的异常检测方法大部分基于无向图，因此具有一定的局限性。Ji T等人提出了一种增量局部演化异常检测方法 (Incremental Local Evolutionary Outlier Detection，以下简称IcLEOD)，该方法通过动态分析时变分量(节点、边和权重)以及由它们所影响的节点的邻域结构变化从而达到对局部异常的检测，这种技术虽然能够避免分析图的全局信息且可以检测局部异常，但是由于其处理的是无向图，因此不能考虑社交媒体中用户交互的方向性，这种局限性会产生以下两点问题：

1、分析大量无效信息：由于IcLEOD方法处理的图类型是无向图，而无向图无法刻画用户交互的方向，即只要两节点之间存在边就表示两用户进行了交互，所以无法判断两用户之间进行单向交互还是双向交互，以微博为例，诸如点赞、关注和转发等主要交互行为通常是单向交互，而大多数单向交互通常无法反映用户的异常行为，因此分析这些单向交互信息对于异常检测是无意义的。

2、存在异常误报：由于不考虑交互的方向性，就有可能造成异常误报。仍以微博为例，假设存在两个用户A和B，在一个时间步长内B多次向A发起单向交互，但是A并不回应B，针对这种情况如果采用IcLEOD算法，则作为正常用户的A会被误报为异常用户。

发明内容

本发明的目的在于提供一种基于自我网络结构演化的社交媒体异常个体用户检测方法。

一种基于自我网络结构演化的社交媒体异常个体用户检测方法，具体包括以下步骤：

步骤1、比较快照G_T-1和G_T来识别时变分量；

步骤2、基于时变分量构建可疑异常节点集合SAN-Set(T)；

步骤3、对于SAN-Set(T)中的每个节点v_i，构建核心网Core-net^T-1(v_i)和Core-net^T(v_i)；

步骤4、对于SAN-Set(T)中的每个节点v_i，求出异常分数Outlying-Score(v_i)，并按照异常分数大小进行排序；

步骤5、输出前n个最大的异常分数。

所述一种基于自我网络结构演化的社交媒体异常个体用户检测方法，步骤1具体包括将 T时刻的社交媒体用户交互状态表示为一个有向加权图G_T＝(V,E,W)，其中V代表顶点的集合，顶点用来表示用户，

代表顶点集合构成的边集，边用来表示用户之间是否存在交互关系，通过比较快照G_T-1和G_T来识别时变分量。

所述一种基于自我网络结构演化的社交媒体异常个体用户检测方法，步骤2具体包括以下步骤：

步骤2.1、计算出所有时变分量的自我网络Egonet：有向图G_T中，给定一个节点v_i∈V，则节点v_i的自我网络表示与节点v_i距离为一跳(包含节点v_i)且与节点v_i构成强联通分量的所有节点的集合，如以下公式：

Egonet(v_i)＝{v_i}∪{v_j|v_j∈V,e_ij∈E且e_ji∈E}

其中，e_ij表示节点v_i指向v_j的有向边，e_ji表示节点v_j指向v_i的有向边；

步骤2.2、取所有时变分量的自我网络的并集作为可疑异常节点集合，表示为以下公式：

所述一种基于自我网络结构演化的社交媒体异常个体用户检测方法，步骤3具体包括以下步骤：

步骤3.1、计算可疑异常节点的超自我网络Super-Egonet：有向图G_T中，给定一个节点 v_i∈V，则节点v_i的超自我网络表示与节点v_i距离为两跳(包含节点v_i)且与节点v_i构成强联通分量的所有节点的集合，表示为以下公式：

Super-Egonet(v_i)＝{Egonet(v_i)}∪{Egonet(v_j)|v_j∈V,e_ij∈E且e_ji∈E}；

步骤3.2、计算可疑异常节点的超自我网络中包含的节点与可疑异常节点的亲密度 Closeness：有向图G_T中，给定一个节点v_i∈V，

且v_j≠v_i，假设从节点v_i到v_j能构成 n个强联通分量，即有n条路径，并假设第k(1≤k≤n)条路径依次经过{v₀,v₁,v₂,...,v_j}，则节点的亲密度可表示为以下公式：

其中，

表示节点v_m和v_m+1之前的有效权重，

表示与节点v_m距离为一跳且与v_m构成强联通分量的所有节点的有效权重之和；

步骤3.3、计算出可疑异常节点的核心网Core-net：节点的自我网络及超自我网络只注重结构连通性，而节点亲密度计算只考虑亲密性传递，前者完全忽略边的权重信息，后者忽略了连续传递后可靠性降低的风险，因此为了更精准的构建节点的核心邻域，需要设置最小亲密度阈值K-Closeness，只有与待处理可疑异常节点亲密度大于阈值K-Closeness的节点才会被划入核心网，并且核心网的最大规模是两跳以内的邻居，即节点的超自我网络，核心网同时考虑了结构连通性和亲密性传递，节点的核心网可由以下公式表示：

所述一种基于自我网络结构演化的社交媒体异常个体用户检测方法，步骤4中异常分数 Outlying-Score(v_i)求取方法包括以下步骤：

步骤1、若T时刻，图G_T-1中节点v_i的Core-net(v_i)成员在图G_T中不再存在；或者从G_T-1到 G_T，Core-net(v_i)成员与节点v_i的亲密度降低，表示成异常指标Score₁；

步骤2、若T时刻加入到Core-net(v_i)中的新成员与T-1时刻Core-net(v_i)中已有的成员有明显区别，而且新成员与节点v_i的亲密度很高，表示成异常指标Score₂；

步骤3、考虑上述两个异常指标，异常分数的计算方法：给定两个时序上相邻的社交媒体用户交互状态快照G_T-1和G_T，Core-net^T-1(v_i)和Core-net^T(v_i)分别表示图G_T-1和G_T中节点 v_i的核心网，C_old表示除节点v_i之外Core-net^T-1(v_i)和Core-net^T(v_i)的交集， C_removed＝Core-net^T-1(v_i)\C_old表示在T时刻从Core-net^T-1(v_i)中移除的邻居， C_new＝Core-net^T(v_i)\C_old表示在T时刻新增的邻居，节点v_i的异常分数由以下公式表示：

公式中前两个叠加和可以衡量由指标Score₁引起的异常，第三个叠加和可以衡量由指标Score₂引起的异常，节点的异常分数越高，代表其发生异常的概率越大。

本发明的有益效果在于：

本发明针对社交媒体中个体用户发生异常行为的场景，在现有IcLEOD方法的基础上提出一种改进的基于有向图的增量局部演化异常检测方法Db-IcLEOD，改进后的方法可以用于处理基于有向图的社交媒体用户交互状态网络，将用户交互的方向性考虑在内，通过此改进只有与可疑异常节点进行双向交互的节点才会被划进其核心网，从而避免原方法的异常误报。

附图说明

图1中 (a)为快照1中节点101的自我网络拓扑结构；

图1中 (b)为快照2中节点101的自我网络拓扑结构；

图2中 (a)为有向图快照1中节点101的自我网络拓扑结构；

图2中 (b)为有向图快照2中节点101的自我网络拓扑结构；

图3中 (a)为快照1中节点101的自我网络拓扑结构；

图3中 (b)为快照3中节点101的自我网络拓扑结构。

具体实施方式

下面结合附图对本发明作进一步描述。

1、将T时刻的社交媒体用户交互状态表示为一个有向加权图G_T＝(V,E,W)，其中V代表顶点的集合，顶点用来表示用户。

代表顶点集合构成的边集，边用来表示用户之间是否存在交互关系，例如两个节点v_i,v_j∈V，若存在一条由v_i指向v_j的有向边，那么就表示v_i向v_j发起单向交互。W代表边的权重，权重用来表示用户之间的单向交互次数。

2、构建可疑异常节点集合SAN-Set(T)

(1)通过比较快照G_T-1和G_T来识别时变分量，表1描述了时变分量的意义及相关表示符号。

表1时变分量及其符号

(2)计算出所有时变分量的自我网络Egonet

有向图G_T中，给定一个节点v_i∈V，则节点v_i的自我网络表示与节点v_i距离为一跳(包含节点v_i)且与节点v_i构成强联通分量的所有节点的集合，如公式(1)所示：

Egonet(v_i)＝{v_i}∪{v_j|v_j∈V,e_ij∈E且e_ji∈E} (1)

其中，e_ij表示节点v_i指向v_j的有向边，e_ji表示节点v_j指向v_i的有向边。

(3)取所有时变分量的自我网络的并集作为可疑异常节点集合，如公式(2)所示：

3、构建可疑异常节点的核心网Core-net

(1)计算可疑异常节点的超自我网络Super-Egonet

有向图G_T中，给定一个节点v_i∈V，则节点v_i的超自我网络表示与节点v_i距离为两跳(包含节点v_i)且与节点v_i构成强联通分量的所有节点的集合，如公式(3)所示：

Super-Egonet(v_i)＝{Egonet(v_i)}∪{Egonet(v_j)|v_j∈V,e_ij∈E且e_ji∈E} (3)

为了进一步说明有向图中节点的自我网络和超自我网络概念，举一个例子如附图1所示的社交网络交互状态图。图中共有7个节点，将v₁节点作为待处理节点，从图中可以看出：与节点v₁构成强联通分量且距离为一跳的节点为v₂、v₄，则节点v₁的自我网络 Egonet(v₁)＝{v₁，v₂，v₄}；与节点v1构成强联通分量且距离为两跳以内的节点为v₂、v₄、 v₆和v₇，则节点v1的超自我网络为Super-Egonet(v₁)＝{v₁，v₂，v₄，v₆，v₇}。

(2)计算可疑异常节点的超自我网络中包含的节点与可疑异常节点的亲密度Closeness

有向图G_T中，给定一个节点v_i∈V，

且v_j≠v_i，假设从节点v_i到v_j能构成n个强联通分量，即有n条路径，并假设第k(1≤k≤n)条路径依次经过{v₀,v₁,v₂,...,v_j}，则节点的亲密度可由公式(4)表示：

其中，

表示节点v_m和v_m+1之前的有效权重，

表示与节点v_m距离为一跳且与v_m构成强联通分量的所有节点的有效权重之和。

由于上述公式比较复杂，以附图2所示的社交网络交互状态图为例作进一步说明。计算图中v1与v5的亲密度：路径1{v₁，v₃，v₅}：

路径2{v₁，v₄，v₅}：

则v₁与v₅的亲密度取最大值为

(3)计算出可疑异常节点的核心网Core-net

节点的自我网络及超自我网络只注重结构连通性，而节点亲密度计算只考虑亲密性传递，前者完全忽略边的权重信息，后者忽略了连续传递后可靠性降低的风险，因此为了更精准的构建节点的核心邻域，需要设置最小亲密度阈值K-Closeness，只有与待处理可疑异常节点亲密度大于阈值K-Closeness的节点才会被划入核心网，并且核心网的最大规模是两跳以内的邻居，即节点的超自我网络，核心网同时考虑了结构连通性和亲密性传递，节点的核心网可由公式(5)表示：

4、计算可疑异常节点异常分数

对于待处理节点v_i，以下两个主要的迹象表明v_i很可能是一个异常节点：

(1)T时刻，图G_T-1中节点v_i的Core-net(v_i)成员在图G_T中不再存在；或者从G_T-1到G_T， Core-net(v_i)成员与节点v_i的亲密度降低。

(2)T时刻加入到Core-net(v_i)中的新成员与T-1时刻Core-net(v_i)中已有的成员有明显区别，而且新成员与节点v_i的亲密度很高。

以上两个异常指标分别用Score₁和Score₂表示。通过考虑上述两个异常指标，下面给出异常分数的计算方法：给定两个时序上相邻的社交媒体用户交互状态快照G_T-1和G_T，Core-net^T-1(v_i)和Core-net^T(v_i)分别表示图G_T-1和G_T中节点v_i的核心网，C_old表示除节点v_i之外Core-net^T-1(v_i)和Core-net^T(v_i)的交集，C_removed＝Core-net^T-1(v_i)\C_old表示在T时刻从Core-net^T-1(v_i)中移除的邻居，C_new＝Core-net^T(v_i)\C_old表示在T时刻新增的邻居，节点v_i的异常分数可由公式(6)表示：

公式(6)中前两个叠加和可以衡量由指标Score₁引起的异常，第三个叠加和可以衡量由指标Score₂引起的异常，节点的异常分数越高，代表其发生异常的概率越大。

5、计算可疑异常节点异常分数。

Claims (1)

1.一种基于自我网络结构演化的社交媒体个体异常用户检测方法，其特征在于，具体包括以下步骤：

步骤1：将T时刻的社交媒体用户交互状态表示为一个有向加权图G_T＝(V,E,W)，其中V代表顶点的集合，顶点用来表示用户；

代表顶点集合构成的边集，边用来表示用户之间是否存在交互关系；W代表边的权重，权重用来表示用户之间的单向交互次数；

步骤2：基于时变分量构建可疑异常节点集合SAN-Set(T)；

步骤2.1：比较T时刻有向加权图G_T和T-1时刻有向加权图G_T-1，获取T时刻新插入的节点v⁺、T时刻相对于T-1时刻删除的节点v^-、T时刻相对于T-1时刻产生的新边e⁺的端点

T时刻相对于T-1时刻删除的旧边e^-的端点

T时刻相对于T-1时刻权重增加的边w⁺的端点

T时刻相对于T-1时刻权重减小的边w^-的端点

步骤2.2：计算出所有时变分量的自我网络Egonet，取所有时变分量的自我网络的并集作为可疑异常节点集合SAN-Set(T)；

有向加权图G_T中，节点v_i∈V的自我网络Egonet表示为：与节点v_i距离为一跳，包含节点v_i，且与节点v_i构成强联通分量的所有节点的集合；

SAN-Set(T)＝Egonet^T(v⁺)∪Egonet^T-1(v^-)

Egonet(v_i)＝{v_i}∪{v_j|v_j∈V，e_ij∈E且e_ji∈E}

其中，e_ij表示节点v_i指向v_j的有向边；e_ji表示节点v_j指向v_i的有向边；v⁺为T时刻新插入节点；

步骤3：构建可疑异常节点的核心网Core-net；

步骤3.1：计算可疑异常节点的超自我网络Super-Egonet；

有向加权图G_T中，节点v_i∈V的超自我网络Super-Egonet表示为：与节点v_i距离为两跳，包含节点v_i，且与节点v_i构成强联通分量的所有节点的集合；

Super-Egonet(v_i)＝{Egonet(v_i)}∪{Egonet(v_j)|v_j∈V，e_ij∈E且e_ji∈E}

步骤3.2：计算可疑异常节点的超自我网络Super-Egonet中包含的节点与可疑异常节点的亲密度Closeness；

有向加权图G_T中，节点v_i∈V，

且v_j≠v_i，从节点v_i到v_j能构成n个强联通分量，即有n条路径，第k条路径依次经过{v₀，v₁，v₂，...，v_j}，1≤k≤n，则节点v_i与v_j的亲密度为：

其中，

表示节点v_m和v_m+1之间的有效权重；

表示与节点v_m距离为一跳且与v_m构成强联通分量的所有节点的有效权重之和；

步骤3.3：计算可疑异常节点的核心网Core-net；

设置最小亲密度阈值K-Closeness，只有与待处理可疑异常节点亲密度大于阈值K-Closeness的节点才会被划入核心网Core-net，并且核心网Core-net的最大规模是两跳以内的邻居，即节点的超自我网络；

步骤4：计算可疑异常节点的异常分数Outlying-Score(v_i)，节点的异常分数越高，代表其发生异常的概率越大；

其中，Core-netT^-1(v_i)表示T-1时刻有向加权图G_T-1中节点v_i的核心网；Core-net^T(v_i)表示T时刻有向加权图G_T中节点v_i的核心网；C_old表示除节点v_i之外Core-net^T-1(v_i)和Core-net^T(v_i)的交集；C_removed＝Core-net^T-1(v_i)\C_old表示在T时刻从Core-net^T-1(v_i)中移除的邻居；C_new＝Core-net^T(v_i)\C_old表示在T时刻新增的邻居；

步骤5：按照可疑异常节点的异常分数大小进行排序，输出前n个最大的异常分数对应的可疑异常节点；根据有向加权图G_T，输出可疑异常节点对应的用户，完成对社交媒体个体异常用户的检测。

Images