基于多元特征的微博被劫持账户检测

基于多元特征的微博被劫持账户检测 Compromised Accounts Detection in Weibo Based on Multiple Features 1 2 first-author 王丽娜，女，教授，现从事多媒体信息隐藏、隐写分析理论和技术、网络安全、云安全及人工智能安全方面的研究。E-mail：lnwang@whu.edu.cn 王丽娜，女，教授，现从事多媒体信息隐藏、隐写分析理论和技术、网络安全、云安全及人工智能安全方面的研究。E-mail：lnwang@whu.edu.cn lnwang@whu.edu.cn 1 2 1 2 1 2 武汉大学 空天信息安全与可信计算教育部重点实验室，湖北 武汉 430072 武汉大学 空天信息安全与可信计算教育部重点实验室，湖北 武汉 430072 Key Laboratory of Aerospace Information Security and Trusted Computing, Ministry of Education, Wuhan University, Wuhan 430072, Hubei, China Key Laboratory of Aerospace Information Security and Trusted Computing, Ministry of Education, Wuhan University, Wuhan 430072, Hubei, China 武汉大学 国家网络安全学院，湖北 武汉 430072 武汉大学 国家网络安全学院，湖北 武汉 430072 School of Cyber Science and Engineering, Wuhan University, Wuhan 430072, Hubei, China School of Cyber Science and Engineering, Wuhan University, Wuhan 430072, Hubei, China 微博作为一个拥有大量用户的社交平台，其较大的影响力与开放性吸引了攻击者的目光。攻击者会利用异常账户进行网络犯罪，对异常账户的检测是维护社交网络安全的重要途径之一。基于攻击者的常规行为以及正常用户的行为特征，提出了一种微博中被劫持账户的检测方法。该方法使用6个特征对用户行为进行分析，使用异常得分刻画用户行为的异常程度，使用传统机器学习分类器检测被劫持账户。为验证本文方法的有效性，采用了由复旦大学提供的公开微博数据集进行实验，结果表明，采用决策树分类器时，本文方法对被劫持账户的检测精确率高达97.5%。 As a social platform with a large number of users, Weibo has attracted the attention of attackers because of its significant influence and openness. Attackers will utilize anomaly accounts for cybercrime. One of preserving social network security methods is detecting anomaly accounts. Based on attackers’ routine behavior and benign users’ behavior features, this paper proposes a method to detect compromised accounts. In this paper, we use six features to analyze users’ behaviors and propose the abnormal scores to evaluate the degree of violation. To verify the effectiveness of our method, the public Weibo dataset provided by Fudan University is used in the experiment and the results show that the precision of our method for detecting compromised accounts can achieve 97.5% when using the decision tree classifier. 社交网络安全 被劫持账户检测 行为特征模型 微博 social network security compromised accounts detection behavior feature model Weibo 0　 引 言 1 社交网络 [ 1 1 ] 被定义为基于 Web 的服务，这种服务允许用户进行如下操作：1)在系统内创建公开或半公开的个人资料；2)展示与其保有联系的用户列表；3)浏览或查看自己和他人的联系列表。随着 Web 技术的快速发展，社交网络成为人们生活、工作交流的重要平台。然而，社交网络为人们带来便利的同时也带来了安全隐患。微博作为国内用户数量较多、影响力较大的开放性社交网络，其中的异常账户占了不小的比例，攻击者会利用异常账户进行网络犯罪，因此维护微博环境变得极为重要。 张玉清等 [ 2 2 ] 根据异常账号的创建阶段不同将其分为5类：僵尸账户 [ 3 3 ] 、Sybil账户 [ 4 4 ] 、 被劫持账户 [ 5 5 ] 、Spam账户 [ 6 6 ] 和Spam Compain [ 7 7 ] 。其中，Sybil账户为攻击者利用自动化攻击创建的并与正常账户有关联的虚假账户，被劫持账户是指原本正常的账户被攻击者接管，然后被用于恶意行为的账户，当这两类异常账户开始恶意活动时就形成了Spam账户。为了解决社交网络中越来越严重的异常账户问题，研究人员提出了很多检测方法。最早的研究是针对虚假账户，即Sybil账户的检测 [ 8 8 , 9 9 , 10 10 , 11 11 , 12 12 ] ,检测此类账户时，大部分研究是基于Sybil用户之间存在大量的联系，而与良性用户之间的联系较少的假设。针对Spam账户的检测方面，目前的方法 [ 13 13 , 14 14 ] 并不能很好地区分被劫持账户与虚假账户。这是由于：1） 被劫持账户有着正常的行为特征与良好的个人配置文件，而虚假账户的配置文件是由自动化工具生成且在行为方面也是由机器自动操作，随着攻击者技术的提高，被劫持账户的行为越来越接近正常用户的行为；2） 检测者无法确定账户被攻击者接管的时间段，从数据上判断账户是否异常更加困难；3） 攻击者发布的一串消息流中往往仅有少量消息是恶意的，这也为检测加大了难度。因此被劫持账户的检测一直以来都是社交网络异常用户检测中的一个难点问题。 目前针对被劫持账户的研究通常是基于用户行为的突变。2013年，Egele等 [ 5 5 ] 提出的COMPA系统为第一个针对被劫持账户检测的系统，其核心思想是为个人用户的常规行为进行建模，一旦用户被攻击者劫持，就可以观察到用户行为有明显的变化，从而判断账户是否被劫持。2015年，Ruan 等 [ 15 15 ] 提出通过使用待检测账户的正常历史社交活动模式来判断被入侵帐户的行为是否异常，即通过收集和分析用户的点击流，比较用户的点击行为差异来判断其是否为被劫持账户。Ruan 等提出的点击流特征确实能很好地反应用户的行为，但是在获取点击流的数据集方面却存在很大的难度。2018年，Seyler等 [ 16 16 ] 对COMPA系统中的语言特征进行了详细地分析，首先将用户分为 M user 和 M spam ；然后使用KL散度衡量 M user 和 M spam 的相似度，即使用一个正常账户与被劫持账户的语言模型之间的相似度来判断账户是否被劫持。尽管仅通过语言模型能分辨部分正常账户与被劫持账户，但是该方法效果不够理想。 针对微博中被劫持账户检测难度较大的问题，本文提出了一种基于多元特征的微博中被劫持账户检测方法。该方法利用账户特征构建用户行为模型，使用异常得分来表示用户行为异常的程度，通过训练决策树等分类器进行被劫持账户检测。 1　 本文方法 1 1.1　方法概述 2 本文方法基于一种假设：用户的行为将遵从一定的行为习惯，在一段时间内用户的行为习惯不会有大的改变;一旦账户被劫持，用户的行为会发生明显的变化。本文方法流程如 图1 图1 所示，具体步骤如下： 1） 提取特征：通过用户历史数据提取特征； 2） 构建用户行为模型：使用上一步提取的特征分析用户行为习惯，构建行为模型； 3） 计算异常得分：根据新消息与用户的行为对比，计算异常得分，并判断消息中URL(uniform resource locator,统一资源定位符)的恶意性； 4） 分类：使用传统机器学习分类器进行异常账户与正常账户的识别与分类。 下文将详细介绍本文的特征提取过程、模型构建方法以及异常得分计算方式。 1.2　特征提取 2 用户行为特征代表着在过去的一段时间内用户在微博中表现出的一般性行为规律，能反映出用户的习惯、兴趣等。由于目前研究中针对社交网络中Spam账户和被劫持账户的检测所使用的特征相近，因此本文主要分析此两类账户的特征。这些特征主要分为元数据特征、内容特征、交互特征和流特征四大类。现有方法及本文方法使用的特征如 表1 表1 所示。 注： *表示本文方法使用的特征 特征 特征类别 文献 转发率 * [ 17 17 ] 元数据特征 自动转发率 [ 18 18 ] 发布源 * [ 5 5 ] [ 19 19 ] [ 20 20 ] URL 比例 [ 17 17 ] [ 18 18 ] [ 21 21 ] 恶意 URL * [ 21 21 ] [ 22 22 ] [ 23 23 ] 内容特征 内容特征 [ 14 14 ] 内容和标签相似度比例 * [ 14 14 ] [ 20 20 ] [ 24 24 ] [ 25 25 ] 提及数和唯一提及数 * [ 14 14 ] [ 18 18 ] [ 20 20 ] [ 25 25 ] 交互特征 粉丝比例 [ 20 20 ] 消息长度 [ 18 18 ] 语言 [ 5 5 ] [ 14 14 ] [ 16 16 ] [ 19 19 ] 流特征 发布时间 * [ 5 5 ] [ 19 19 ] [ 26 26 ] [ 27 27 ] 消息相似性 * [ 18 18 ] [ 22 22 ] [ 23 23 ] [ 24 24 ] [ 25 25 ] [ 27 27 ] 主题 * [ 5 5 ] [ 17 17 ] [ 19 19 ] 由于被劫持账户在大部分时间内是正常的账户，我们很难获取用户是否突然进行大量的点赞或者关注等交互行为，因此想要通过交互特征对被劫持账户进行检测有较大的难度。故本文方法选择使用涵盖元数据特征、内容特征和流特征的多元特征来综合描述用户的行为，选择的6个特征分别为发布时间特征、发布消息主题特征（包括内容和标签相似度比例、消息主题等）、发布源特征、发布消息中提及数和唯一提及数、发布消息中的URL与消息转发率（利用消息相似性判断该消息是否为转发消息）（如 表1 表1 ）。 1） 发布时间特征 3 发布时间特征为用户发布消息的确切时间。本文假设多数用户在一天中的某些相对固定的时间段内较为活跃，而在其他时间段内较为平静，如果用户在最不可能的时间发布消息，本文方法将其判定为异常。本文统计11 000个实验验本（详见2.1节）中用户在各个时间段内的消息总数, 得到用户活跃时间段的累积分布函数（cumulative distribution function，CDF）（ 图2 图2 ）。本文将活跃时间段定义为：一个用户在这些时间段内发布消息的数量超过其一天中发布消息的总数量的一半。由 图2 图2 可以看出，约75%的用户每天活跃的时间不大于7个小时，因此在下文的正常阈值设定中，我们选择用户最为活跃的7个时间段作为正常阈值。当一个用户在其活跃的时间段内发布消息，则认为是该行为是正常的；如果用户在其最不活跃的时间段内突然活跃，则认为其所发消息有一定的概率是异常的。 2） 发布消息主题特征 3 一般来说，用户倾向于发布自己感兴趣的内容信息。例如，某用户是一个篮球球迷，那么他发布的消息更有可能是体育类的，所以我们将以此为基准来刻画用户的行为特征。实验中，将主题分为 10 类，分别是体育、财经、房产、家居、教育、科技、时尚、时政、游戏和娱乐。本文统计了11 000个实验样本（详见2.1节）中用户消息的主题分类。如 图 3 图 3 所示，约85%的用户特别感兴趣的主题个数少于等于3个，在下文的阈值选取中，将用户最感兴趣的3个主题设置为正常阈值，当用户发布消息主题不属于其感兴趣的范围，本文方法将判定其行为是异常的。 除此之外，微博还提供了热门主题作为用户讨论的话题。用户在发布讨论此类话题的消息时会带有符号“#”，“#”后就是话题。文献[ 14 14 ]定义了一种垃圾邮件发送者的行为特征，即利用热门话题，将不相干内容带一个热门标题，这样可以利用话题的流行性吸引眼球，从而提高点击量，使消息的扩散效果更好。因此可利用标签与文本内容的相似度特征，即用户发布消息的标题与文本主题不一致时，本文方法亦将判定其行为是异常的。 3） 发布源特征 3 发布源指用户发布消息时使用的应用或者设备。一般来说，用户拥有固定的设备或者发布习惯。社交网络站点提供传统的网络端给用户使用，同时也会提供移动的基于安卓、 iOS 端或第三方的 app。根据用户发布源个数的CDF图(与前文类似，受篇幅限制，下文不再给出该图）,本文方法选择2个发布源作为正常阈值，并且加入发布源的突变作为异常检测的依据。 4） 发布消息中提及数和唯一提及数 3 用户可以在他们发布的消息中，提及到用户认识的人，一起分享消息。在微博中，@+提及的人名的意思是“对某人说”。随着用户发表消息的增加会建立一个用户交流的网络，这样我们就可以获取用户经常交流的账户。本文方法统计数据集中所有用户历史信息中的联系人，根据用户提及人物次数的CDF图，选取联系次数的阈值为3，若在新消息中用户提及的联系人的历史联系次数小于3，则判定该行为是异常的。 5） 发布消息中的URL 3 用户倾向于访问一些特定的网站、博客之类的链接，并将这些感兴趣的链接进行分享。因此，提取发布消息中的URL特征时，一方面，可以先从内容中使用正则表达式匹配到完整的 URL，然后提取域名并统计出用户经常访问的网站；另一方面，提取出URL后，判断其是否为钓鱼网站等恶意链接，进而计算消息的恶意性。根据用户感兴趣的域名个数的CDF图，本文选取用户访问网站次数的阈值为3。当消息中的URL的用户历史访问次数小于3时，则判定该行为是异常的。当用户发布一个新消息之后，本文方法通过提取其中的URL并对其进行分析，得出异常得分。 6） 消息转发率 3 消息转发率通常被用于对垃圾邮件发送者的检测。垃圾邮件发送在自动生成消息方面不是非常成熟，发布的消息与正常用户写出的消息存在一定差异。机器为了发布消息，通常会转发其他人发布的消息、使用概率性的方法（例如马尔科夫链算法 [ 28 28 ] 等）生成消息或者直接从数据库中获取消息。因此，新消息流中的消息转发率越高，表明用户异常的可能性越高。本文方法在用户发布的消息中匹配符号“/”，该符号后面为转发用户的观点，同时也将相似度较大的消息视为转发消息。根据用户发布消息中含有相似消息比例的CDF图，本文选取消息转发率的阈值为30%，若新消息流中消息的转发率高于30%，则将其视为异常。 1.3　构建模型 2 Chu等 [ 29 29 ] 的研究表明在发布行为特征上，正常用户、机器人与半机器人存在差异。同时，指出一个垃圾消息通常会有一个诱人的标题并附带一个额外的 URL，然而正常消息主要包含文字而不是链接。因此，针对正常用户与机器人、半机器人的这些差异，本文提出了基于多元特征的被劫持账户检测模型。根据发布消息中提取的特征存在的必要性将该模型分为两大类：必需的特征模型和可选的特征模型。必需的模型特征包括发布时间、发布源、发布消息主题；可选的模型特征包括发布消息中的提及数以及唯一提及数、发布消息中的URL和消息转发率。用户行为模型构建算法如算法1所示。 算法1 用户行为模型构建算法 输入： 用户待检测消息和历史消息记录 输出： 用户行为模型 1.  procedure UserModel （User u ） 2.    timeList ← get( u .content.create_at) 3.    for time in set(timeList) 4.      countList ← timeList.count(time)//计数 5.    end for 6.    sort (countList) //从大到小排序 7.    total = sum (countList) 8.    for count in countList 9.       i ← i +1 10.      sum ← sum + count 11.      if sum > total×0.5 12.        return i 13.      end if 14.    end for 15.  end procedure 1.4　计算异常得分 2 当检测过程中收到一个新的消息流时，本文方法会计算其异常得分。异常得分是刻画消息违背用户常规行为程度的标准，其值范围为[0,1]。异常得分越高，表示当前行为越偏离用户的行为特征，由攻击者发布的可能性越大。异常得分的计算算法如算法2所示。 算法2 异常得分计算算法 输入: 待检测数据 输出: 消息判定结果 1.  procedure calcAnomalyScore (User u , message m ) 2.    UserModel ( u ) 3.    getFeature ( m ) //提取 m 的特征，例如时间、发布源、主题等 4.    if m .time in ActiveTime 5.    score = 0 6.    else 7.    score = 1-prob ( m .time) 8.    end if 9.  end procedure 异常得分计算流程如下： 1) 统计用户的历史消息：每一个特征都统计成 n 个元组〈属性,值〉，其中，属性为一个特征的各种取值，值表示属性值，如时间特征有24个属性(1,2,…,24)，属性值表示每个时间段的消息数量。 2) 设定正常阈值：对于每个特征，本文通过CDF图来设定正常阈值（详见1.2节）。 3) 计算异常得分：得到了用户的正常特征属性值之后就为每个消息计算异常得分。对于一个新消息，提取其特征，对于每个特征，我们将特征对应于元组的属性，假设对应于〈attr i ,val i 〉，如果attr i （此特征的第 i 个属性） 属于正常区间，那么score i =0；否则， <math display="block" id="M1"><mi mathvariant="normal">s</mi><mi mathvariant="normal">c</mi><mi mathvariant="normal">o</mi><mi mathvariant="normal">r</mi><msub><mrow><mi mathvariant="normal">e</mi></mrow><mrow><mi>i</mi></mrow></msub><mo>=</mo><mn mathvariant="normal">1</mn><mo>-</mo><mfrac><mrow><mi mathvariant="normal">v</mi><mi mathvariant="normal">a</mi><msub><mrow><mi mathvariant="normal">l</mi></mrow><mrow><mi>i</mi></mrow></msub></mrow><mrow><mi mathvariant="normal">s</mi><mi mathvariant="normal">u</mi><mi mathvariant="normal">m</mi></mrow></mfrac></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=3416515&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=3416514&type= 27.43200111 7.62000036 其中， <math id="M2"><mi mathvariant="normal">s</mi><mi mathvariant="normal">u</mi><mi mathvariant="normal">m</mi><mo>=</mo><munder><mrow><mo movablelimits="false">∑</mo></mrow><mrow><mi>i</mi></mrow></munder><mi mathvariant="normal">v</mi><mi mathvariant="normal">a</mi><msub><mrow><mi mathvariant="normal">l</mi></mrow><mrow><mi>i</mi></mrow></msub></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=3416517&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=3416516&type= 21.67466736 6.60399961 ，表示可疑区间内的属性值总和。 2　 实验及结果 1 2.1　数据集 2 本文的数据集源自复旦大学自然语言处理实验室收集整理的微博数据( http://sma.fudan.edu.cn/dataset.html http://sma.fudan.edu.cn/dataset.html )，共有15亿推文数据和2 000多万个用户的数据，发布时间为2012年到2015年。由于该数据集未对被劫持用户进行标记，故在本次实验中，首先，随机选择了11 000个账户作为实验样本，然后对其进行处理：1） 将所有的消息都标记为良性；2） 选取其中的1 000账户作为被劫持账户，随机交换所有账户的部分消息，并且使用开源的Trec垃圾邮件数据集( http://plg.uwaterloo.ca/~gvcormac/treccorpus06/ http://plg.uwaterloo.ca/~gvcormac/treccorpus06/ )替换掉部分消息，将此类账户标记为被劫持账户。经统计，11 000个实验样本中，良性账户有10 000 个，发布了1 965 432条消息；被劫持账户有1 000个，发布了174 294条消息。 2.2　性能评价指标 2 采用精确率(precision)、召回率(recall) 和 F 1 ⁃ score评估本文方法的性能，计算公式如下： <math display="block" id="M3"><mi mathvariant="normal">p</mi><mi mathvariant="normal">r</mi><mi mathvariant="normal">e</mi><mi mathvariant="normal">c</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">s</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">o</mi><mi mathvariant="normal">n</mi><mo>=</mo><mfrac><mrow><mi mathvariant="normal">T</mi><mi mathvariant="normal">P</mi></mrow><mrow><mi mathvariant="normal">T</mi><mi mathvariant="normal">P</mi><mo>+</mo><mi mathvariant="normal">F</mi><mi mathvariant="normal">P</mi></mrow></mfrac><mo>×</mo><mn mathvariant="normal">100</mn><mi mathvariant="normal">%</mi></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=3416519&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=3416518&type= 48.34466553 7.62000036 <math display="block" id="M4"><mi mathvariant="normal">r</mi><mi mathvariant="normal">e</mi><mi mathvariant="normal">c</mi><mi mathvariant="normal">a</mi><mi mathvariant="normal">l</mi><mi mathvariant="normal">l</mi><mo>=</mo><mfrac><mrow><mi mathvariant="normal">T</mi><mi mathvariant="normal">P</mi></mrow><mrow><mi mathvariant="normal">T</mi><mi mathvariant="normal">P</mi><mo>+</mo><mi mathvariant="normal">F</mi><mi mathvariant="normal">N</mi></mrow></mfrac><mo>×</mo><mn mathvariant="normal">100</mn><mi mathvariant="normal">%</mi></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=3416521&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=3416520&type= 43.51866913 7.62000036 <math display="block" id="M5"><mtable columnalign="left"><mtr><mtd><msub><mrow><mi>F</mi></mrow><mrow><mn mathvariant="normal">1</mn></mrow></msub><mo>-</mo><mi mathvariant="normal">s</mi><mi mathvariant="normal">c</mi><mi mathvariant="normal">o</mi><mi mathvariant="normal">r</mi><mi mathvariant="normal">e</mi><mo>=</mo><mn mathvariant="normal">2</mn><mo>×</mo><mfrac><mrow><mi mathvariant="normal">T</mi><mi mathvariant="normal">P</mi></mrow><mrow><mn mathvariant="normal">2</mn><mi mathvariant="normal">T</mi><mi mathvariant="normal">P</mi><mo>+</mo><mi mathvariant="normal">F</mi><mi mathvariant="normal">P</mi><mo>+</mo><mi mathvariant="normal">F</mi><mi mathvariant="normal">N</mi></mrow></mfrac><mo>=</mo></mtd></mtr><mtr><mtd><mn mathvariant="normal">2</mn><mo>×</mo><mfrac><mrow><mi mathvariant="normal">p</mi><mi mathvariant="normal">r</mi><mi mathvariant="normal">e</mi><mi mathvariant="normal">c</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">s</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">o</mi><mi mathvariant="normal">n</mi><mo>×</mo><mi mathvariant="normal">r</mi><mi mathvariant="normal">e</mi><mi mathvariant="normal">c</mi><mi mathvariant="normal">a</mi><mi mathvariant="normal">l</mi><mi mathvariant="normal">l</mi></mrow><mrow><mi mathvariant="normal">p</mi><mi mathvariant="normal">r</mi><mi mathvariant="normal">e</mi><mi mathvariant="normal">c</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">s</mi><mi mathvariant="normal">i</mi><mi mathvariant="normal">o</mi><mi mathvariant="normal">n</mi><mo>+</mo><mi mathvariant="normal">r</mi><mi mathvariant="normal">e</mi><mi mathvariant="normal">c</mi><mi mathvariant="normal">a</mi><mi mathvariant="normal">l</mi><mi mathvariant="normal">l</mi></mrow></mfrac></mtd></mtr></mtable></math> http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=3416523&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=3416522&type= 57.40399933 17.86466599 其中，TP 表示检测为被劫持账户实际也为被劫持账户的个数；FP 表示检测为良性账户实际为被劫持账户的个数；FN代表检测为被劫持账户实际为良性账户的个数。precision 代表本文方法预测的精确程度； recall代表对可疑消息的判断准确性； F 1 ⁃ score值平衡精确率和召回率，综合评价检测方法的性能。 采用受试者操作特性（receiver operating characteristic, ROC）曲线直观反映分类器的好坏，ROC曲线下的面积（area under the curve，AUC）越大，表示分类越精确。 2.3　性能测试 2 为验证不同分类器对本文方法性能的影响，分别选用支持向量机（support vector machine，SVM） [ 30 30 ] 、决策树 [ 31 31 ] 、随机森林 [ 32 32 ] 和贝叶斯网络 [ 33 33 ] 作为分类器，在上文所述实验样本上测试本文方法的精确率、召回率和 F 1 -score，结果如 表2 表2 。如 表2 表2 所示，分别采用决策树和SVM作为分类器时，检测方法的精确率相近，均能达到97.5%；采用决策树作为分类器时，检测方法的召回率和 F 1 -score均最高，分别为97.2%和0.970；采用贝叶斯网络和随机森林作为分类器时，检测方法的精确率、召回率和 F 1 -score均较低。总的来说，采用决策树分类器时，本文方法对被劫持账户的检测结果更理想，能检测出更多的被劫持账户并具有更低的误检率。 分类器 Precision/% Recall/% F 1 -score SVM 97.5 96.5 0.940 决策树 97.5 97.2 0.970 随机森林 96.0 93.0 0.945 贝叶斯网络 97.0 95.8 0.963 图4 图4 展示了决策树分类模型的ROC曲线和AUC值，其中，FPR表示检测为良性账户实际为被劫持账户的比例，TPR表示检测为被劫持账户实际也为被劫持账户的比例。由 图4 图4 可知，AUC值高达0.940 9，这表明采用决策树分类器时，本文方法的预测效果和泛化性能表现良好。 为了确定特征的识别能力，本文使用组合特征和单类型的特征分别进行3组实验。第一组实验：选取所有特征(上文所述共6个特征)，第二组与第三组实验分别使用了特征类别A与B，3组实验通过各自选取的特征，构建行为模型，并计算异常得分，使用决策树分类器在2.1节所述实验样本上进行分类实验。特征A（必需的模型特征）:发布时间、发布源和发布消息主题；特征B(可选的模型特征):发布消息中的提及数和唯一提及数、URL和消息转发率。从 表3 表3 中可以看到，当选取所有特征时，本文方法的精确率、召回率与 F 1 ⁃score均最高，比仅选取类别A时分别提高了1.9%、1.2%、0.016；比仅选用类别B时分别提高了5%、4%、0.044。 特征 Precision/% Recall/% F 1 ⁃score 所有特征 97.5 97.0 0.972 特征A 95.6 95.8 0.956 特征B 92.5 93.0 0.928 选取2种性能较高的方法：COMPA [ 5 5 ] 和文献[ 16 16 ]提出的方法作为对比方法，以验证本文方法的有效性。本文对COMPA系统进行复现，并在2.1节所选取的实验样本上进行测试；对于文献[ 16 16 ]提出的方法，由于本文使用的微博数据集在语言类别方面较为单一，因此不容易对语言模型进行建模，故使用文献[ 16 16 ]中该方法在推特数据集上的检测结果作为对比。 由 表4 表4 可知，本文方法的精确率、召回率和 F 1 -score均最高。相较于COMPA和文献[ 16 16 ]提出的方法，本文方法的 F 1 -score分别提高0.014与0.132。这是因为本文方法在如下方面进行了改进：1) 在特征选取方面，去除了作用不大的语言特征与邻近性判别，加入了发布消息中的提及数和消息转发率；2) 改变了异常得分的计算方法，使得异常得分更能刻画新消息对用户行为模型的违反程度。 方法 Precision/% Recall/% F 1 ⁃score 本文方法 97.5 97.0 0.972 COMPA [ 5 5 ] 95.2 96.0 0.958 文献[ 16 16 ]方法 88.0 80.0 0.840 3　 结 语 1 社交网络安全关系到个人的财产安全、社会稳定甚至于国家安全，而异常账户的检测是维护社交网络安全的重要途径之一。本文提出一种基于多元特征的微博中被劫持账户检测方法，通过分析用户行为特征，构建用户行为模型，并提出异常得分计算方法，用以刻画消息相对于用户行为的违背程度。实验结果表明，相较于COMPA和文献[ 16 16 ]提出的方法，本文方法在精确率、召回率和 F 1 -score 方面均有提高。 但本文方法仍然存在着一定的局限性：1）攻击者模仿良性用户的行为特征和语言特征的能力越来越强,导致异常用户与良性用户行为之间的差异越来越小,因此本文方法对于攻击行为由人工设计的被劫持账户的检测效果还有待提高；2）当账户未暴露自身过多的历史信息时，本文方法的误检率较高。因此，本文方法还有待改进。在今后的工作中，可以使用神经网络学习用户行为，选取更为合适的特征组合，提高刻画良性用户与异常用户之间差异的能力。 参考文献 ELLISON N B . Social network sites: Definition, history, and scholarship [J]. Journal of Computer-Mediated Communication , 2007 , 13 ( 1 ): 210 - 230 . DOI: 10.1111/j.1083-6101.2007.00393.x http://dx.doi.org/10.1111/j.1083-6101.2007.00393.x . Social network sites: Definition, history, and scholarship 张玉清 ， 吕少卿 ， 范丹 . 在线社交网络中异常帐号检测方法研究 [J]. 计算机学报 ， 2015 ， 38 ( 10 )： 2011 - 2027 . DOI: 10.11987/SP.J.1016.2015.02011 http://dx.doi.org/10.11987/SP.J.1016.2015.02011 . 在线社交网络中异常帐号检测方法研究 ZHANG Y Q , LÜ S Q , FAN D . Anomaly detection in online social networks [J]. Chinese Journal of Computers , 2015 , 38 ( 10 ): 2011 - 2027 . DOI: 10.11987/SP.J.1016.2015.02011 (Ch) . Anomaly detection in online social networks DAVIS C A , VAROL O , FERRARA E , et al . BotOrNot: A system to evaluate social bots [C]// WWW’16 Companion Proceedings of the 25th International Conference Companion on World Wide Web. New York: ACM Press , 2016 : 273 - 274 . BotOrNot: A system to evaluate social bots DOI: 10.1145/2872518.2889302 http://dx.doi.org/10.1145/2872518.2889302 . DOUCEUR J R . The Sybil attack [C]// The First International Workshop on Peer⁃to⁃Peer Systems . Berlin : Springer , 2002 : 251 - 260 . The Sybil attack DOI: 10.1007/3-540-45748-8_24 http://dx.doi.org/10.1007/3-540-45748-8_24 . EGELE M , GIANLUCA S , CHIRSTOPHER K , et al . COMPA : Detecting Compromised Accounts on Social Networks [EB/OL]. [ 2019-03-02 ]. http://www.seclab.tuwien.ac.at/papers/compa⁃ndss13.pdf http://www.seclab.tuwien.ac.at/papers/compa⁃ndss13.pdf . COMPA ADEWOLE K S , NOR B A , AMIRRUDIN K , et al . Malicious accounts: Dark of the social networks [J]. Journal of Network and Computer Applications , 2017 , 79 ( 11 ): 41 - 67 . DOI: 10.1016/j.jnca.2016.11.030 http://dx.doi.org/10.1016/j.jnca.2016.11.030 . Malicious accounts: Dark of the social networks DINH S , AZEBA T , FORTIN F , et al . Spam campaign detection, analysis, and investigation [J]. Digital Investigation , 2015 , 12 ( 1 ): 12 - 21 . DOI: 10.1016/j.diin.2015.01.006 http://dx.doi.org/10.1016/j.diin.2015.01.006 . Spam campaign detection, analysis, and investigation YU H F , KAMINSKY M , GIBBONS P B , et al . SybilGuard: Defending against Sybil attacks via social networks [J]. IEEE/ACM Transactions on Networking , 2008 , 16 ( 3 ): 576 - 589 . DOI: 10.1109/TNET.2008.923723 http://dx.doi.org/10.1109/TNET.2008.923723 . SybilGuard: Defending against Sybil attacks via social networks WANG B H , ZHANG L , GONG N . Z. SybilSCAR: Sybil detection in online social networks via local rule based propagation [C]// IEEE INFOCOM 2017⁃IEEE Conference on Computer Communications . New York : IEEE Press , 2017 : 1 - 9 . DOI: 10.1109/infocom.2017.8057066 http://dx.doi.org/10.1109/infocom.2017.8057066 . Z. SybilSCAR: Sybil detection in online social networks via local rule based propagation WANG B H , ZHANG L , GONG N Z . SybilBlind: Detecting fake users in online social networks without manual labels [C]//International Symposium on Research in Attacks, Intrusions, and Defenses (LNCS 11050) . Heidelberg : Springer⁃Verlag , 2018 : 228 - 249 . DOI: 10.1007/978-3-030-00470-5_11 http://dx.doi.org/10.1007/978-3-030-00470-5_11 . SybilBlind: Detecting fake users in online social networks without manual labels WANG B H , JIA J , ZHANG L , et al . Structure-based Sybil detection in social networks via local rule-based propagation [J]. IEEE Transactions on Network Science and Engineering , 2019 , 6 ( 3 ): 523 - 537 . DOI: 10.1109/TNSE.2018.2813672 http://dx.doi.org/10.1109/TNSE.2018.2813672 . Structure-based Sybil detection in social networks via local rule-based propagation GONG N Z , FRANK M , MITTAL P . SybilBelief: A semi-supervised learning approach for structure-based Sybil detection [J]. IEEE Transactions on Information Forensics and Security , 2014 , 9 ( 6 ): 976 - 987 . DOI: 10.1109/TIFS.2014.2316975 http://dx.doi.org/10.1109/TIFS.2014.2316975 . SybilBelief: A semi-supervised learning approach for structure-based Sybil detection ZHOU Y D , KIM D W , ZHANG J J , et al . ProGuard: Detecting malicious accounts in social-network-based online promotions [J]. IEEE Access , 2017 , 5 : 1990 - 1999 . DOI: 10.1109/ACCESS.2017.2654272 http://dx.doi.org/10.1109/ACCESS.2017.2654272 . ProGuard: Detecting malicious accounts in social-network-based online promotions MOHD F , ABULAISH M . A hybrid approach for detecting automated spammers in Twitter [J]. IEEE Transactions on Information Forensics and Security , 2018 , 13 ( 11 ): 2707 - 2719 . DOI: 10.1109/TIFS.2018.2825958 http://dx.doi.org/10.1109/TIFS.2018.2825958 . A hybrid approach for detecting automated spammers in Twitter RUAN X , WU Z , WANG H , et al . Profiling online social behaviors for compromised account detection [J]. IEEE Transactions on Information Forensics and Security , 2015 , 11 ( 1 ): 176 - 187 . DOI: 10.1109/TIFS.2015.2482465 http://dx.doi.org/10.1109/TIFS.2015.2482465 . Profiling online social behaviors for compromised account detection SEYLER D , LI L N , ZHAI C X . Identifying Compromised Accounts on Social Media Using Statistical Text Analysis [EB/OL]. [ 2019-03-02 ]. http://arxiv.org/pdf/1804.07247.pdf http://arxiv.org/pdf/1804.07247.pdf . Identifying Compromised Accounts on Social Media Using Statistical Text Analysis BENEVENUTO F , MAGNO G , RODRIGUES T , et al . Detecting spammers on Twitter [C]//Collaboration, Electronic Messaging, Anti⁃Abuse and Spam Conference. Berlin: Springer⁃Verlag , 2010 : 55 – 65 . DOI: 10.1.1.297.5340 http://dx.doi.org/10.1.1.297.5340 . Detecting spammers on Twitter YANG C , HARKREADER R , GU G . Empirical evaluation and new design for fighting evolving twitter spammers [J]. IEEE Transactions on Information Forensics and Security , 2013 , 8 ( 8 ): 1280 - 1293 . DOI: 10.1109/TIFS.2013.2267732 http://dx.doi.org/10.1109/TIFS.2013.2267732 . Empirical evaluation and new design for fighting evolving twitter spammers EGELE M , STRINGHINI G , KRUEGEL C , et al . Towards detecting compromised accounts on social networks [J]. IEEE Transactions on Dependable and Secure Computing , 2017 , 14 ( 4 ): 447 - 460 . DOI: 10.1109/TDSC.2015.2479616 http://dx.doi.org/10.1109/TDSC.2015.2479616 . Towards detecting compromised accounts on social networks AMLESHWARAM A A , REDDY N , YADAV S , et al . Cats: Characterizing automation of Twitter spammers [C]// 2013 Fifth International Conference on Communication Systems and Networks (COMSNETS) . New York : IEEE Press , 2013 : 1 - 10 . DOI: /10.1109/COMSNETS.2013.6465541 http://dx.doi.org//10.1109/COMSNETS.2013.6465541 . Cats: Characterizing automation of Twitter spammers STRINGHINI G , KRUEGEL C , VIGNA G . Detecting spammers on social networks [C]// Proceedings of the 26th Annual Computer Security Applications Conference . New York : ACM Press , 2010 : 1 - 9 . DOI： 10.1145/1920261.1920263 http://dx.doi.org/10.1145/1920261.1920263 . Detecting spammers on social networks LEE S , KIM J . WarningBird : Detecting Suspicious URLs in Twitter Stream [EB/OL]. [ 2019-02-01 ]. http://sangho2.github.io/papers/lee:warningbird.pdf http://sangho2.github.io/papers/lee:warningbird.pdf . WarningBird THOMAS K , GRIER C , MA J , et al . Design and evaluation of a real-time URL spam filtering service [C]// 2011 IEEE Symposium on Security and Privacy . New York : IEEE Press , 2011 : 447 - 462 . DOI: 10.1109/SP.2011.25 http://dx.doi.org/10.1109/SP.2011.25 . Design and evaluation of a real-time URL spam filtering service THOMAS K , LI F , GRIER C , et al . Consequences of connectivity: Characterizing account hijacking on Twitter [C]// Proceedings of the 2014 ACM SIGSAC Conference on Computer and Communications Security . New York : ACM Press , 2014 : 489 - 500 . DOI: 10.1145/2660267.2660282 http://dx.doi.org/10.1145/2660267.2660282 . Consequences of connectivity: Characterizing account hijacking on Twitter LEE K , CAVERLEE J , WEBB S . Uncovering social spammers: Social honeypots+ machine learning [C]// Proceedings of the 33rd International ACM SIGIR Conference on Research and Development in Information Retrieval . New York : ACM Press , 2010 : 435 - 442 . DOI: 10.1145/1835449.1835522 http://dx.doi.org/10.1145/1835449.1835522 . Uncovering social spammers: Social honeypots+ machine learning GAO H , HU J , WILSON C , et al . Detecting and characterizing social spam campaigns [C]// Proceedings of the 10th ACM SIGCOMM Conference on Internet Measurement . New York : ACM Press , 2010 : 35 - 47 . DOI: 10.1145/1879141.1879147 http://dx.doi.org/10.1145/1879141.1879147 . Detecting and characterizing social spam campaigns GRIER C , THOMAS K , PAXSON V , et al . @spam: The underground on 140 characters or less [C]// Proceedings of the 17th ACM Conference on Computer and Communications Security . New York : ACM Press , 2010 : 27 - 37 . DOI: 10.1145/1866307.1866311 http://dx.doi.org/10.1145/1866307.1866311 . @spam: The underground on 140 characters or less GILKS W R , RICHARDSON S , SPIEGELHALTER D J . Introducing Markov Chain Monte Carlo [EB/OL]. [ 2019-04-01 ]. http://b.glgoo.top/books?hl=zh⁃CN&lr=&id=TRXrMWY_i2IC&oi=fnd&pg=PA1&dq=Introducing+markov+chain+monte+carlo&ots=7iYqqpJwqu&sig=qWdXdKOSWUOQdBThkEXwAmbJLY0#v=onepage&q=Introducing%20markov%20chain%20monte%20carlo&f=false http://b.glgoo.top/books?hl=zh⁃CN&lr=&id=TRXrMWY_i2IC&oi=fnd&pg=PA1&dq=Introducing+markov+chain+monte+carlo&ots=7iYqqpJwqu&sig=qWdXdKOSWUOQdBThkEXwAmbJLY0#v=onepage&q=Introducing%20markov%20chain%20monte%20carlo&f=false Introducing Markov Chain Monte Carlo CHU Z , GIANVECHIO S , WANG H , et al . Who is tweeting on Twitter: Human, bot, or cyborg ? [C]//Proceedings of the 26th Annual Computer Security Applications Conference. New York: ACM Press . DOI: 10.1145/1920261.1920265 . Who is tweeting on Twitter: Human, bot, or cyborg ? CORTES C , VAPNIK V . Support-vector networks [J]. Machine Learning , 1995 , 20 ( 3 ): 273 – 297 . DOI: 10.1007/BF00994018 http://dx.doi.org/10.1007/BF00994018 . Support-vector networks QUINLAN J R . Induction of decision trees [J]. Machine Learning ， 1986 , 1 ( 1 ): 81 - 106 . DOI: 10.1007/BF00116251 http://dx.doi.org/10.1007/BF00116251 . Induction of decision trees BREIMAN L . Random forests [J]. Machine Learning , 2001 , 45 ( 1 ): 5 ⁃ 32 . DOI: 10.1023/A:1010933404324 http://dx.doi.org/10.1023/A:1010933404324 . Random forests RISH I . An Empirical Study of the Naive Bayes Classifier [EB/OL]. [ 2019-03-02 ]. http://citeseerx.ist.psu.edu/viewdoc/download?doi=10.1.1.330.2788&rep=rep1&type=pdf http://citeseerx.ist.psu.edu/viewdoc/download?doi=10.1.1.330.2788&rep=rep1&type=pdf . An Empirical Study of the Naive Bayes Classifier 10.14188/j.1671-8836.2019.0501 TP309 A 1671-8836（2020）02-0095-08 WANG Lina,KE Jianpeng,YE Aoshuang, et al .Compromised Accounts Detection in Weibo Based on Multiple Features [J]. J Wuhan Univ （ Nat Sci Ed ）,2020,66(2):95-102. DOI:10.14188/j.1671-8836.2019.0501(Ch). WANG Lina,KE Jianpeng,YE Aoshuang,et al.Compromised Accounts Detection in Weibo Based on Multiple Features [J]. J Wuhan Univ（Nat Sci Ed）,2020,66(2):95-102. DOI:10.14188/j.1671-8836.2019.0501(Ch). 王丽娜,柯剑鹏,叶傲霜, 等.基于多元特征的微博被劫持账户检测[J].武汉大学学报（理学版）,2020,66(2):95-102. DOI:10.14188/j.1671-8836.2019.0501. 王丽娜,柯剑鹏,叶傲霜, 等.基于多元特征的微博被劫持账户检测[J].武汉大学学报（理学版）,2020,66(2):95-102. DOI:10.14188/j.1671-8836.2019.0501. 国家自然科学基金(U1836112,61876134); 国家重点研发计划(2016YFB0801100) 2019-09-27 2020-04-24 2020-09-30 武汉大学学报（理学版） 2 66