基于傳播時空特性的社交網絡灰帽用戶檢測

何 歡，朱 焱，李春平

（1.西南交通大學 信息科學及技術學院，成都 611756；2.清華大學 軟件學院，北京 100091）

0 概述

Twitter、Facebook、YouTube、新浪微博等在線社交網絡（Online Social Network，OSN）的擴散模式為“去中心化”，該模式能使用戶生成內容（User Generated Content，UGC）在用戶間建立的“關注-被關注”社交網絡上廣泛傳播，并呈現出傳播速度快、覆蓋范圍廣、社會影響力大等特點［1］。但由于其自帶的開放性、普適性、低成本、便捷性等優勢，容易成為攻擊目標。

常見灰帽用戶（非正常用戶）有僵尸粉、營銷號、垃圾用戶等，與白帽用戶（正常用戶）通過OSN 實時分享生活、交友聊天、獲取信息等不同，灰帽用戶利用OSN平臺不斷擴大自身影響力以提高可信度，而后進行推廣營銷、引導輿論導向、散步謠言、盜取泄露他人信息、散布非法鏈接、釣魚攻擊等不友好甚至非法活動，嚴重威脅平臺安全性及性能。因此，檢測OSN 中的灰帽用戶至關重要，有利于OSN 管理、廣告、新聞媒體與讀者等之間的交互優化。

為檢測OSN 中的灰帽用戶，ER?AHIN 等［2］通過分析用戶名、個人資料、背景圖片、朋友和關注者數量、推文內容、用戶描述、推文的數量等用戶屬性信息進行分類檢測。根據UGC 的靜態屬性信息，RAYMOND 等［3］基于自然語言處理的文本分類，通過分析評論文本與正常用戶評論的差異發現網絡用戶發布的虛假評論。ZHANG 等［4］使用基于鏈接相似性的方法關聯用戶活動，并采用基于機器學習的方法對可能的用戶活動進行檢測。以上方法簡單有效，但需要UGC 中的垃圾信息（如廣告、非法字段等）含有明顯關鍵字或是惡意鏈接，因此灰帽用戶容易通過修改相關信息躲避檢測。此外，上述方法只能針對特定數據而無法應對新的威脅，因此不具有普適性。

針對上述問題，有研究人員從“用戶-關注-用戶”社會關系網絡入手提出有限攻擊邊緣假設，該假設認為白帽用戶很少與灰帽交朋友，即白帽用戶與灰帽用戶之間的友誼鏈接數量有限。基于該假設，研究人員提出大量檢測算法［5-7］。然而，有研究人員發現灰帽用戶能產生更多的攻擊邊緣［8-10］，即有限攻擊邊緣假設在現實世界的OSN 中不成立。這導致基于該假設基礎提出的監測方法存在缺陷，檢測精度有待提高［11-12］。因此，研究人員嘗試通過分析用戶關注、轉發、回復、提及、共享話題等更具可靠性的用戶交互行為的方法進行檢測。ZHANG 等［13］開發了社交活動網絡（Social Activity Network，SAN），通過2 層超圖統一用戶的關注和行為，充分利用用戶的行為模式以描述灰帽用戶活動到達其受眾的方式，并揭示主導信息傳播功能的因素。CRESCI 等［14］受生物學遺傳信息DNA 的啟發，通過對垃圾收集器的集體行為進行深入分析，提高了灰帽用戶檢測的有效性。理論上，與用戶關注誰相比，用戶在選擇與誰互動上更具選擇權和可信度。但實際上，該類方法仍只適用于檢測具有明顯異常行為的灰帽用戶。

與單一視圖檢測方法局限于檢測特定種類灰帽用戶不同，多視圖融混合模型能在海量信息中綜合使用各類特征或算法，從而保證了低漏檢率。MATEENETAL 等［15］提出一種基于用戶、內容和圖這3 類特征的混合檢測技術，通過整合特征區分用戶，獲得更高的效率和精確度。與MATEENETAL 類似，LI 等［16］和LIU 等［17］分別針對融合多視圖特征提出了檢測機制。LI 提出一種半監督混合模型，基于用戶、用戶社交信任網絡、UGC 和用戶評論轉發結構這4 類特征檢測用戶，通過階梯網絡融合過濾各類特征區分用戶，并獲得更高的效率和精確度。結果表明，融合多類特征的混合模型檢測精度更高，其針對不同種類灰帽的檢測效果更具有魯棒性和穩定性。然而，混合方法需要考慮多種視圖，檢測復雜且時空耗費巨大，且當出現新的種類時仍需重新考量評估參數，不具有普適性。

用戶交互是OSN 中信息傳播的根本途徑，灰帽用戶雖然種類多樣、善于偽裝并極易衍生出新種類，但因其最終目的均是通過OSN 散布信息擴大自身影響力，故在交互行為上具有共同特性。此外，因為灰帽用戶與正常用戶的交互行為有明顯差異，所以從傳播交互角度出發進行檢測將更簡單有效且通用性更高。本文提出一種基于時空傳播的灰帽用戶檢測機制，從用戶UGC 傳播交互角度出發，在時序、空間2 個維度挖掘正常用戶與灰帽用戶的本質區別。同時在靜態屬性、社交網絡基礎上，進一步利用傳播網絡信息尋找潛在灰帽用戶，使灰帽用戶識別算法更具普適性。

1 社交網絡灰帽用戶檢測機制

現階段社交網絡灰帽用戶檢測機制因檢測對象極易隱藏且類型多樣，目前存在2 個問題：1）單一且普適性低，只能針對某一特定數據；2）適配性低，當灰帽用戶出現新種類時，需重新評估并改變檢測模型。然而，灰帽用戶雖然種類多樣且善于偽裝，但因最終目的均是擴大自身影響力，故在交互行為上具有共同特性，即在其UGC 或參與他人UGC 傳播過程中與白帽用戶相比有明顯差異。具體來講，灰帽用戶可通過偽裝諸如性別、年齡、愛好等屬性使自身與白帽用戶差異性減小，也能通過發布正常UGC 使之不包含垃圾關鍵字躲避平臺檢測。但研究數據表明，所有灰帽用戶的目的都是為了擴大自身在整個社交網絡中的比重，以便達成自己營銷、宣傳、發布廣告等最終目的，因此可以從用戶UGC 傳播角度考慮。一方面，社交網絡用戶影響力主要取決于用戶UGC 的傳播能力；另一方面，灰帽用戶經常活躍在其他用戶UGC 傳播鏈中以便達到宣傳目的。此外，用戶UGC 在發布后越短時間內（時序特性）影響的用戶人群（空間特性）越多，傳播能力就越強，所以傳播特性可以從傳播時序和傳播空間兩方面體現。

本文提出一種基于傳播時空特性（Diffusion Spatio Temporal Characteristics，DSTC）的社交網絡灰帽用戶檢測機制，融合傳播時序和傳播空間2 類特性進行最終檢測，其具體過程如圖1 所示。

圖1 時空特性傳播過程Fig.1 Process of diffusion spatio temporal characteristics

由圖1 可知，對社交網絡用戶源數據集進行擴展并預處理，可得到用戶UGC 及UGC 傳播過程源數據。基于DSTC 對預處理后社交網絡用戶UGC 傳播數據進行的檢測具體可分為2 部分：1）對預處理后的源數據進行時空特征提取工作并得到兩類傳播特征，包括時序特征和空間特征，時序特征即傳播過程在時序上的特性，空間特征即UGC 形成的傳播網絡圖所體現的特性；2）融合傳播時空兩類特征，并分別采用判別式模型代表（SVM）、生成式模型代表（Naive Bayes）、集成學習代表（AdaBoost）這3 類分類算法檢測灰帽用戶，得到最終檢測結果。

2 傳播特征提取

為更好定義傳播特征提取過程，現給出相關重要符號定義：用UUGC(u)表示用戶u的用戶生成內容，u∈U，U?V。其中U表示評論過用戶u該條UGC的所有用戶，V表示整個網絡中的的所有用戶。假設用戶u的一條UGC 被發布后收到n-1 條UGC 評論，設三元組集合UUGC(u)={}，ui，uj∈U，i>1，j則間接表明UGC 的傳播空間特性。根據已定義好的符號，提取傳播時序和空間特征。

2.1 傳播時序特征的提取

白帽用戶發布的UGC 能達到的傳播范圍與自身在社交網絡中重要程度、UGC 內容包含的模態、UGC 文本情感傾向等諸多因素有關。因此，白帽用戶UUGC(u)中體現的傳播時間與傳播范圍沒有具體的界限，隨機性較強。而灰帽用戶一般在在特定時間有目的性地發布UGC，過了特定時間段不再傳播，傳播時間上相似性更強。綜上所述，鑒別灰帽用戶可以從UUGC(u)的傳播時間角度考慮。

平均傳播AADT代表UUGC(u)傳播開始至結束收到每個用戶評論所用的時間間隔。灰帽用戶AADT較白帽而言更加穩定，數值相差小。平均傳播時間的計算公式如式（1）所示：

首次傳播時間FFDT代表UUGC(u)從傳播開始至收到第1 個用戶評論的時間間隔。灰帽用戶評論其他用戶UGC 的通道較單一，通常是經過給定的鏈接直接進入，且灰帽用戶UGC 一般只會收到灰帽用戶評論。所以，白帽用戶發布UGC 后，關注該白帽的其他用戶在接收推送后對其進行評論互動具有實時特性，灰帽則沒有。因此，灰帽用戶的FFDT一般要比白帽用戶更長。首次傳播時間的計算公式如式（2）所示：

傳播啟動時間的計算公式如式（3）所示：

其中：m為傳播啟動的閾值，即當UUGC(u)中n>m時（UGC 至少收到m條評論），認為該條UGC 達到傳播認定條件。本文設m=100（OSN 中UGC 評論數量中位數），即當轉發量達到100 后UGC 被認為是啟動傳播，可以對整個OSN 存在影響。SSDT越小，影響范圍越大。過濾用戶發布的不重要UGC，只考慮傳播范圍較大能對OSN 產生影響的UGC。此外，m所花費的時間大小表明UGC 的受歡迎程度，能側面體現用戶u在社交網絡中的重要性。灰帽用戶由于經常發送重復相似垃圾UGC，不被大多數用戶認可，被關注的可能性小，影響力一般較小。

平均傳播間隔如式（4）所示：

傳播間隔方差如式（5）所示：

其中：平均傳播間隔AADI和傳播間隔方差VVDI分別代表元組之間的時間間隔及分布情況。因灰帽用戶行為多集中在短時間之內進行，呈現出突發特性，因此每2 條相鄰信息之間的時間間隔相對白帽用戶要小。另外，突發性不僅表現在時間間隔短，時間間隔分布與白帽相比也會處于一個相對較小的范圍內。而白帽用戶的轉發評論等受訪問隨機推送影響表現出更大的差異性。

2.2 傳播空間特征的提取

以用戶ui為節點，UUGC(u)={}中元組代表的“用戶-評論-用戶”為邊構造傳播網絡，可反映在UGC 動態傳播空間中用戶的節點信息特性。

基于圖結構的檢測方法通常比其他檢測方法效率高，因為灰帽用戶雖然能偽造信息躲避檢測，但是其行為模式卻不能輕易改變。本文從傳播空間上提取以下幾類特征。

2.2.1 傳播網絡結構統計特征

直接由圖結構統計計算獲取，諸如PageRank、clustering、betweenness 等常見圖節點結構信息。

2.2.2 傳播網絡圖嵌入特征

圖嵌入技術能對網絡中的用戶節點進行低維向量表示，且該低維特征向量能較好地保留原有網絡的拓撲結構。Node2vec 模型［18］認為網絡結構上相似節點具有相似的嵌入表示，屬于同一社區的節點在低維空間的距離更相近。本文采用Node2vec 模型對傳播網絡圖進行圖嵌入特征提取，得到用戶節點特征向量。

2.2.3 用戶傳播能力特征

用戶傳播特征由以下指標表征：

1）一階自我中心網絡環路路徑數量，用以評估用戶傳播的量級程度。用戶一階傳播網絡如圖2所示。

圖2 用戶一階傳播網絡Fig.2 First order diffusion network of user

在圖2 中，白色為白帽用戶，黑色為灰帽用戶。可以看到，圖2（a）中有3 條環路，圖2（b）只有1 條環路，證明2 類用戶在自我一階傳播網絡之間確實存在差異。

一階自我中心網絡環路路徑數量是指由當前用戶出發經過一階鄰居后最終能回到用戶并構成回路的數量。構成環路的用戶集實際是社交網絡中的一個社區，代表了因同一興趣形成的社交圈。白帽用戶的自我中心網絡通常呈現局部分散而整體聚集的狀態，這是因為白帽用戶興趣多元交叉，擴散開后又形成多個社區；而灰帽用戶由于不關心其他用戶，其社交圈也并非由興趣促使形成，因此其傳播網絡呈現整體、局部都分散的狀態。所以，灰帽用戶自我中心網絡所形成的回路路徑數量一般比白帽用戶少。

2）用戶傳播指數，用以評估用戶在網絡中的傳播能力的指標。借鑒微博傳播指數BCI（Blog Communication Index），通過微博的活躍度和傳播度反映用戶傳播能力和傳播效果，利用用戶傳播指數UUCI(u)評估用戶u的傳播能力，其計算公式如式（6）所示：

其中：W1代表用戶活躍度；W2代表用戶在傳播網絡中能達到的傳播度；計算公式如式（7）和式（8）所示：其中：X1為UGC（總數UGC 代表用戶傳播能力）；X2為原創UGC數；X3為轉發UGC數；X4為評論UGC數；X5為原創UGC轉發數；X6為原創UGC評論數；X7為原創UGC 點贊數。式（8）中每個X特征代表一類評價指標，對每個X特征進行X=ln(X+1)的標準化處理后分配權重。

3）用戶傳播信任度，用以評估傳播用戶在網絡中傳播信任的能力。通過用戶傳播網絡中其一階鄰居用戶給予的信任度可大致判斷其種類。通常來說，白帽用戶更傾向與白帽交互，故傳播網絡中節點的一階出度鄰居為白帽的越多，該用戶為白帽的可能性就越大，即他人給予的信任度越高。反之，當入度節點的灰帽節點越多，代表越信任灰帽用戶，自身為灰帽用戶的可能性越大，他人給予的不信任度越高。

借鑒PageRank 算法的思想，定義節點u的信任度ttrust(u)與不信任度ddistrust(u)的計算公式分別如式（9）和式（10）所示：

其中：p代表用戶u的出度節點，即用戶u評論用戶p的UGC；ttrust(u)代表節點p擁有的信任值；iindegree(p)為p的所有入邊數量，代表u信任p；兩者相除代表p分配給u的信任值，求和得到u從自身一階鄰居所得到的信任值；s(u)代表用戶u的初始信任值，通過參數α調節自身信任值與從一階鄰居獲取分配的信任值，更新信任用戶u為白帽的信任值。不信任值計算原理與信任值一樣，不同的是不信任值從用戶u的出度節點q獲取，且q的不信任值分配通過q的出度數量ooutdegree(q)計算。

4）用戶傳播率，用以評估用戶傳播占整個OSN的比重。傳播率是指信息接受人群占傳播對象的百分比，即UGC 自身網絡節點數與整個研究對象網絡的比率。

其中：AAll為所有UGC 傳播網絡中的節點數；為用戶u的UGC 參與傳播的用戶數量。

2.3 傳播特征融合

將傳播時序和空間兩類特征結合后更能反映用戶特性，故借鑒早期先融合多層特征再訓練預測的思想，選擇并行策略將時序、空間兩類特征向量組合成復向量。對于輸入的時序特征x和空間特征y，通過超參數β調節權重得到社交網絡用戶特征向量z=β×x+(1-β)×y。最終選取判別式模型代表SVM、生成式模型代表Naive Bayes 及集成學習分類算法代表AdaBoost 檢測社交網絡灰帽用戶，并對檢測結果進行比較分析。

3 實驗結果與分析

3.1 數據集

為分析驗證DSTC 的適用性和有效性，本文實驗共用了4 個數據集，各數據集統計信息如表1所示。

表1 DSTC 數據集數據分布Table 1 Distribution of DSTC dataset

在表1中，UGC 和diffusion分別表示數據集中是否包含用戶發布的UGC 及對應傳播信息，√代表包含，×代表不包含。當源數據不包含UGC 或UGC傳播信息時，通過網絡爬蟲對社交網絡源數據進行數據擴展，根據源數據中的用戶信息匹配查找并確定用戶，爬取用戶最新的信息和最近50 條UGC 及其傳播過程，保證源數據最新且數量足夠用來分析UGC 及UGC 傳播過程信息。如果出現用戶已注銷或源UGC 已刪除等錯誤，則忽略該用戶或該UGC。

Caverlee 數據集由RYUMINL 等［19］提供，包含從2009 年12 月30 日 至2010 年8 月2 日 在Twitter 上 收集的社交蜜罐數據集。該數據集包含用戶基本屬性信息，用戶粉絲數隨時間的變化及這段時間內用戶發布的推文。

根據2018 年美國中期選舉期間收集的政治推文，美國印第安納大學復雜網絡與系統研究中心的YANG 等［20］篩選收集了相關用戶及數據，并手動確定了一些真正參與了有關選舉和在線討論的真實人類用戶及發現的機器人帳戶。在選舉后，大多數機器人程序帳戶都已被Twitter 暫停，證實了作者標注標簽的正確性。

CRESCI-17［14］和CRESCI-15［21］均 由CRESCI 團隊提供。CRESCI-15 包含手動標注的真實和虛假Twitter 帳戶。CRESCI-17 數據集中的僵尸用戶包含更細粒度的分類：傳統的垃圾用戶、社交垃圾用戶和假粉絲。傳統的垃圾用戶監聽程序是簡單的漫游器，會反復發布相同的內容；社交垃圾用戶模仿普通用戶的個人資料和行為，可以躲避某些檢測方法；假粉絲是某用戶為了擴大影響力而購買的用戶。本文將3 類不同類標的灰帽用戶統一為灰帽用戶（不區分灰帽類型，類標一致）。

3.2 實驗設計及結果分析

3.2.1 傳播特征有效性驗證

為了驗證所提傳播時空特征是否有效，另提取傳統方法所用的用戶屬性特征和UGC 文本特征。用戶屬性特征包括粉絲數量、關注數量、UGC 總數、F-F 比率、性別、年齡、是否為認證用戶等特征；UGC 文本特征包括最近一周發布UGC 的數量、包含超鏈接的UGC 占UGC 總數的比率、評論他人的UGC 占UGC 總數的比率、轉發他人的UGC 占UGC 總數的比率、@他人的UGC 占UGC 總數的比率、參與話題的UGC 占UGC總數的比率、UGC 之間的相似性等特征。針對3 類特征分別采用SVM、Na?ve Bayes、Adaboost分類算法進行檢測，實驗結果如表2 所示。評價指標采用準確率（Accuracy）、F1-score 和AUC（Area Under Curve）。其中F1-score 代表precision（正確預測的正樣本數占所有預測為正樣本的數量的比值）和recall（正確預測的正樣本數占真實正樣本總數的比值）的調和平均，F1-score 越高說明試驗方法越有效；AUC代表ROC 曲線（以假正率（FP_rate）和真正率（TP_rate）為軸的曲線）的面積，AUC 越高，分類性能越好。

表2 不同分類器在不同數據集下特征分類性能對比Table 2 Comparison of feature classification performance of different classifiers on different datasets

表2 中加粗數據表示不同分類方法針對同一分類器下在同一數據上分類指標最優的數據。由表2 可知，本文提出的DSTC 方法所提取的傳播時空特征在各個數據集上的分類效果均優于傳統方法所用的用戶屬性和UGC 文本特征，證明了DSTC 所提傳播時空特征的有效性。以研究應用最廣且分類效果差別不大的Caverlee 數據集為例，選用集成學習AdaBoost 方法時，通過對比用戶特征和文本特征，發現傳播特征在AUC值上也能分別提高0.000 8 和0.064 6。用戶特征性能優于文本特征是因為相比用戶特征單一選項更改性不強，灰帽用戶更容易通過發布正常UGC 文本來隱藏自身，而傳播特征直接反映用戶行為特性，可以更好地揭示用戶之間的差異，故分類效果更好。

以差異最明顯的CRESCI-17 數據集為例，選用集成學習AdaBoost 方法對比用戶特征和文本特征，發現傳播特征在AUC 值上分別提高0.103 2和0.112 6。此外，雖然同樣是傳播特征且在不同數據集不同分類器中傳播特征分類表現有差異，但整體分類性能表現良好。而用戶屬性、文本特征的分類性能雖然在某個數據集上優于DSTC 傳播特征，但在其他數據集的分類效果并不理想，證明傳統方法并不適合所有數據集，其魯棒性不高。本文DSTC 方法提出的傳播特征適用性更高。

3.2.2 DSTC 方法有效性驗證

為驗證本文DSTC 檢測方法的有效性，與其他同類檢測方法進行對比，包括與傳統檢測方法和當前較為流行或新穎的灰帽用戶檢測算法進行對比，如CRESCI 提出關于用戶UGC 傳播相似性的社交指紋數字DNA 檢測方法（DDNA）、通過常用混合模型方法檢測的SSDMV 方法和最近提出的集成用戶社交網絡和活動圖網絡的SAN 方法，AUC 值對比如圖3 所示，實驗對比結果如表3 所示。

表3 不同方法在不同數據集下分類性能對比Table 3 Comparison of Classification performance of different methods on different datasets

圖3 不同方法在不同數據集下AUC 的對比Fig.3 Comparison of Area Under Curve of different methods on different datasets

由圖3 和表3 可以看出，DDNA 方法在其他數據集上的效果并不理想，這是因為DDNA 通過作者自定義設計的數字DNA 轉換方法將用戶UGC 轉為DDNA 序列，并通過計算序列之間的相似性學習兩類用戶之間的差異。DDNA 方法雖簡單高效，但因為設計主觀性太強，普適性并不高，只在針對表現差異明顯的CRESCI 數據集時有較好表現。

SAN 方法通過統一用戶社交網絡與UGC 傳播活動網絡，并耦合3 種基于隨機游動的算法檢測灰帽用戶，該方法在各個數據集上表現良好。但因SAN 所采取的半監督信任傳播策略本身存在實驗效果穩定但精度不夠的問題，雖然已解決普適性和適配性問題，但該方法在各個數據集上的表現也并非最優。

SSDMV 方法效果與DSTC 差異不大甚至在有些數據集上優于DSTC，能解決普適性和適配性問題，但SSDMV 方法需提取用戶、文本、社交網絡關注圖結構、用戶回復圖結構等4 類特征后將各個視圖特征通過階梯網絡設計過濾門組件融合訓練，方法復雜且難于計算，時空耗費太高。

基于DSTC 的用戶檢測性能在多個數據集上優于其他方法，例如準確率最高提升26.08%，AUC 值最高提升30.54%。這是因為DSTC 提取的基于傳播時序和空間特性能更好地反映各類灰帽與白帽用戶之間的差異，簡化檢測算法的同時增強了檢測算法的魯棒性和普適性。

綜上所述，本文所提DSTC 方法能有效檢測社交網絡灰帽用戶，不僅解決了灰帽用戶檢測算法只能針對特定種類的問題，而且更加簡單，檢測精度和適用性更高。

4 結束語

本文針對社交網絡灰帽用戶檢測算法適用性較差的問題，提出一種基于傳播時空特性的檢測算法。根據社交網絡UGC 傳播中的時空特性定義提取相關特征，從UGC 傳播角度區分灰帽白帽之間的差異性，并融合傳播時序和傳播空間特征進行分類檢測。實驗結果表明，該算法在CAVERLEE、CRESCI-15、CRESCI-17 等多個數據集上效果較好，在保證檢測精度的前提下，簡化了檢測算法，提高了算法適用性。下一步將研究傳播序列的上下文關系特性，同時結合特征融合算法實現更好的分類性能。