基于社区结构的女巫攻击检测

苏倩，黄玲，王昌栋

1.中山大学 计算机学院，广东 广州 510275

2.华南农业大学 数学与信息学院，广东 广州 510642

随着网络技术的发展，社交网络规模逐渐变大，对于网络性质的探索越来越重要，社区检测就是其中之一。社区检测旨在找出一组联系紧密的节点[1]，对许多下游任务都有重要的作用，例如群组推荐和链接预测。社区结构虽然没有统一的定义，但最普遍的定义是社区内部的节点之间连接密集，与社区外的节点连接稀疏。不同的网络社区具有不同的含义，例如在生物分子结构网络中，属于同一个社区的节点拥有相似的功能；
在论文引用网络中，位于同一个社区表示属于同一个领域的论文[2-7]。

然而，基于社交网络的诈骗现象频繁发生，网络攻防是社交网络中备受关注的问题。现实生活中针对社交网络的攻击主要体现在盗用账号、冒充账号窃取信息等，对于网络诈骗的检测在现实生活中具有重要意义。针对网络攻击的研究包括攻击网络中的边，即在添加最少的边的情况下，改变网络部分节点的连接结构，使节点隐藏其拓扑结构，或者使节点的分类结果下降。例如NETTACK 算法，提出了以最少的边变化为代价，降低目标节点在下游分类任务中的准确度[8]；
一些启发式算法也是通过改变网络的连边从而降低社区检测算法在该攻击网络中的准确度，即在改变的边最少的情况下，得到攻击后的网络在节点分类任务或者社区划分任务中准确度较低[9]。对于网络的攻击还包括攻击节点自主加入网络中，与网络中的正常节点建立连接，但是该节点是一个欺诈节点，节点建立连边的目的是欺诈其他正常节点，这种攻击也被称为女巫攻击。女巫攻击最早出现在分布式通信网络、交易网络中，往往需要复杂的协议[10]。然而在社交网络中，女巫攻击是容易的，例如女巫节点可以是垃圾邮件发送者、虚假用户等，文献表明10%的Twitter 用户是虚假用户，女巫节点可以执行各种恶意活动，例如破坏民主选举、影响金融市场、分发垃圾邮件、网络钓鱼攻击以及收集私人用户数据等[11]。以往的研究认为社交网络中的女巫攻击是有限攻击，即女巫节点的攻击能力有限[12]，然而，在真实网络中恶意用户往往是活跃度较高的节点，通常需要吸引正常用户的关注。文献[13]指出女巫节点通过“虚假”账户进行大量社交活动，为检测女巫节点带来了很大困难。这些女巫节点与真实用户互动，目的是获得虚假热度或者投票，这些虚假用户在社交网络中的行为通常是有害的。作者提出了结合用户的行为信息异构图的随机游走算法，结合各种行为信息检测出女巫节点，在Twitter 以及类似的网络中检测出这些用户并降低其影响力。女巫节点对于社区结构的攻击给社区检测算法带来了很大的困扰。文献[3]提出女巫节点与正常节点建立少量连边就可以被社区检测算法划分到正常节点所在的社区中，窃取该社区中正常用户的信息，并由此定义了几种女巫攻击模式，有效建模真实社交网络中的攻击模式，并且提出了对抗女巫攻击的层次社区检测方法。

在通信网络中，女巫攻击的特点是女巫节点盗用真实节点，利用真实节点的身份，在网络中传播恶意信息。在网络安全逐步提升的情况下，如今盗用账号的行为越来越少，而创建一个账户，与真实节点建立“廉价的”连接边，是一种代价较低的攻击方式，这些攻击节点通过社区结构接触到较多正常节点，从而窃取用户的信息。基于社区的女巫攻击之所以会造成严重后果，是由于我们的社区检测算法很容易将攻击节点错误划分到正常节点所在的社区中。

受到文献[3]中的女巫攻击定义的启发，本文提出了基于社区结构的女巫攻击模型，即女巫节点有目的地攻击某个特定社区的节点的行为。由于女巫节点攻击某一个社区的节点，使用以往的基于相似性的方法检测出女巫节点比较困难；
并且这些女巫节点除了攻击某些特定社区的节点，女巫节点之间可能也存在团队行为，因此不止要把这些女巫节点检测出来，排除在正常节点的社区外，而且有必要检测这些攻击节点是否形成一个“团伙”。

网络连边相似性是网络中节点对之间的连边概率，被广泛用于攻击检测算法。以往的攻击检测算法认为低相似边很有可能是攻击边，例如文献[7]提出了对抗攻击的社区检测算法，认为相似性较高的未连接边是被恶意删除了，而相似性较低的连接边是恶意增添的，因此使用相似性恢复原始网络连边的方法，以提高社区检测的准确率。虽然基于相似性的方法易于得到攻击边，但是也很容易破坏网络原始的连接结构，并且网络连边相似性的分布集中，边的相似度比较接近，确定相似度阈值需要进行大量尝试。本文提出的基于嫌疑度传播的攻击节点检测算法，在根据相似度得到种子嫌疑节点的基础上，通过嫌疑节点之间的交互传播，得到网络被攻击的区域，并将该攻击区域与正常节点所在的社区结构分隔，以免正常节点所在社区受到攻击节点影响。

社区检测方法包括基于模块度的启发式算法、非负矩阵分解法、标签传播算法以及基于深度学习的算法等[14]。本文使用基于模块度的方法获取原始网络的社区结构，从而生成基于社区结构的女巫攻击网络。

在本文中，首先提出了基于社区结构的女巫攻击模型，即女巫节点优先攻击位于同一个社区的节点；
针对这种攻击模型，提出了基于嫌疑度传播的女巫节点检测方法sybilCom，主要解决以往基于相似性方法的检测算法召回量过大、准确度不高的问题，从种子节点的嫌疑传播的角度，检测出具有共同嫌疑的女巫节点。模型建立在女巫节点之间有交互并且女巫节点有目的地攻击特定社区的假设之上，如果只基于相似性排除低相似边，得到一些没有交互的离散的女巫节点，就会召回大量非女巫节点，导致召回率相同的情况下，准确度比较低。通过嫌疑传播算法，利用女巫节点攻击社区的行为，sybilCom 算法检测具有共同攻击行为的女巫节点所在的攻击区域，从而检测出这些女巫节点形成的团体。

在实验部分，我们使用精确度、召回率以及F 分数验证本文提出的方法，发现sybilCom 算法对于检测诈骗团队更有效，比以往的只基于边相似度的算法效果更好。

网络攻防是社交网络中备受关注的问题，网络社区结构的破坏或者更改网络核心结构都会导致网络结构被大程度破坏。网络攻防往往被作为是一个相互促进的任务，如果知道了怎么攻击，就能够知道怎么防御。文献[15]探究了网络攻击对于链路预测任务的影响，结果表明在模拟退火攻击下预测任务的精确度下降最快，使用共同邻居相似性在对抗网络攻击时鲁棒性更强。文献[8]表明攻击算法企图以最小的代价破坏网络结构，并且攻击后的网络应该与原始网络具有相同的性质，即限制更改的边的数目以及节点的度的幂律分布必须服从同一分布，该文献使用代理模型作为节点分类的分类器，最大化攻击前后的节点分类误差，得到生成攻击网络的方法。在此之后，许多工作都采用了这种模式，设计一个攻击算法并且使用代理模型作为分类器，通过2 个部分迭代的学习得到攻击算法的参数。文献[16]提出了基于强化学习与启发式学习的网络攻击算法，使得下游算法在整体节点分类任务中效果下降最快。文献[9]提出网络不同层次的攻击算法，例如全局网络结构攻击、社区攻击以及目标节点攻击，该算法使用代理社区检测算法，被攻击后的网络在不同的社区检测算法下效果都有下降。文献[17]认为社区结构被过度挖掘是一种隐私泄露，因此提出对比网络全局信息与局部信息的算法，从而在限制全局信息与局部信息相似性的情况下，学习得到最有可能出现的边和可能被移去的边，得到的重构图使目标节点隐藏其社区结构。

作为本文关注的重点，针对女巫攻击的检测算法大致可以分为基于随机游走的算法以及基于循环可信度传播的算法这2 类。sybilRank 算法[18]假设了从正常节点出发的随机游走路径有很大几率是在正常节点的内部，使用随机游走算法获取从种子节点到达其他节点的归一化概率作为节点的可信度，然而存在的问题是种子节点对于最终的结果有很大影响，该算法不是一个鲁棒的算法。基于循环可信度传播的算法的特点是使用信念传播的方式，结合了邻居节点信念的二跳传播。由于其非线性使得时间与空间复杂度较高，但对于初始标签的容错率更高，存在的问题是不一定收敛。sybilScar 算法[12]结合了2 种思想，提出了新的局部更新规则，易于计算。然而这些算法都假设了女巫节点的攻击强度较小，正常节点与正常节点的交互较多，这在日益复杂的社交网络中并不成立。一些女巫节点利用较高的人气获取关注，以上方法都难以检测这些节点，因此本文关注具有社区攻击行为的女巫节点的检测算法。

文献[19]提供了一种检测异常节点的思路，即比较节点与其邻居节点之间的标签分布差异。因为不能完全更改一个节点所有的边，所以节点所连接的邻居的标签分布能反映出节点是否拥有异质结构，根据节点与一阶邻居标签分布的相对熵，以及与二阶邻居的相对熵，利用正常节点以及异常节点的2 个分布不同，得到异常节点。

单分类支持向量机也被广泛地用于网络异常检测算法[20]，该方法是一种基于域的异常检测方法，使用支持向量机的非线性核方法获取分隔目标类以及非目标类的最佳阈值，本文使用离群检测(outlier detection,OD)算法作为对比算法，基于节点标签的单分类支持向量机方法检测网络异常连边。

文献[7]基于相似度随机恢复网络中的连接边，指出相似度是衡量边可信度的度量。文献[3]对于女巫节点的检测方法是建立节点相似度矩阵，通过提高边存在的阈值，不断从网络结构中删除低可信度边，则女巫节点就是删除边之后的孤立节点，在检测出女巫节点的同时完成了社区的层次划分。但是该算法没有考虑女巫节点攻击特定社区的行为以及女巫节点之间有团队行为的情况下的检测。即使通过提高边存在的阈值最终一定可以将这些女巫节点检测出来，但是精确度比较低。因此我们在本文中提出了基于嫌疑度传播的女巫攻击社区检测算法sybilCom。

网络拓扑结构的相似性有很多种度量，例如共同邻居相似性（common neighbor,CN）、杰卡德相似系数（Jaccard）和资源分配指数(resource allocation,RA)等[7]。CN 相似性是指节点的共同邻居在邻居总数中的占比；
而模体(motif)是网络中频繁出现的子图模式[4-6]，最常使用的模体结构是三角形，网络的CN 相似性就是模体高阶结构的体现。由于在文献[15]中指出CN 相似性的在对抗攻击中鲁棒性最好，因此本文基于CN 相似性进行研究。

为了实现基于社区结构女巫攻击，本文使用基于模块度的社区检测算法Louvain[2]获取原始网络的社区结构。在本文的任务中，女巫节点主动与特定社区的节点建立连边，其目的是加入真实节点所在的社区，窃取一些信息。我们的主要任务是检测出具有共同嫌疑的女巫节点以及其他容易被攻击的节点。

不同于以往分散的女巫节点攻击(如图1)，我们设计了基于社区结构的多回合攻击，并且从现实生活的角度对其进行了阐述，即女巫节点优先选择攻击位于特定群体的节点，并且攻击相同社区的女巫节点之间可能具有共同嫌疑(如图2)。

图2 在Polbook 数据集中基于社区结构的女巫攻击

在本节中，主要介绍算法涉及的符号表示以及我们所设计的女巫攻击社区检测算法。

2.1 基本定义

假设原始正常节点无向网络G={V,E}，节点集合V表示正常节点，边集合E表示节点之间的连边。网络对应的邻接矩阵A，其中Aij表示网络节点对 (i,j)之间是否拥有边，如果节点对之间存在无向边，则Aij=Aji=1。

我们采用文献[3]中的方式构造攻击后的网络。假设女巫节点集合为VS、ESS代表女巫节点之间形成的边，ESN代表女巫节点与正常节点之间的连边，最终攻击网络为G′，G′={V+VS,E+ESS+ESN}，为方便表示，记作G′={V′,E′}。假设在原始网络G中，网络的社区划分为S={C1,C2,···,Ck}，其中每一个社区代表节点集合，社区数目为k。

我们采用的女巫攻击方式为基于网络社区结构的指数衰减多回合攻击模型 (Multi-round attack of exponential attenuation model based on network community structure,MAE-COM)即女巫节点优先攻击位于某一个社区的群体，该模型依赖于原始网络的社区结构，攻击的概率随着攻击次数以及原始网络的社区结构而变化，假设女巫节点si攻击正常节点ni的概率为pSN(si,ni)，本文提出的攻击模型应该取决于以下参数：女巫节点攻击正常节点的初始概率记为p；
女巫节点攻击随着攻击的迭代次数n而指数衰减，衰减系数记为 α1；
女巫节点有倾向的攻击位于同一个社区内的节点，表示倾向性的系数记为 α2，女巫节点与正常节点产生连接的概率为

式中：p为初始化的概率；
α1为衰减参 数(α1＜1)；
n为攻击的迭代次数，随着攻击迭代次数的增大攻击强度逐渐下降；
δ(C(si),C(ni))表示女巫节点与正常节点是否位于同一个社区，当位于同一个社区时，生成边的概率较大；
在实验中控制超参数α2≤1。在生成攻击网络时，首先得到原始网络的社区划分，对每一个女巫节点，在攻击次数n=1时，随机选择一个正常节点所在的社区作为女巫节点想要攻击的社区，之后以 α2的概率选取该社区中的节点，进行n次攻击尝试。当 α2=0时，表示不再考虑基于社区结构的攻击，而是退化为只考虑指数衰减的女巫攻击。

女巫节点在团队作案时，内部也会生成边，女巫节点之间生成边的概率我们假定为pSS，这个参数影响女巫节点之间是否生成密集连接社区。为了生成女巫节点之间的密集连接，假设pSS＞pNN，其中pNN=m/[N(N-1)]表 示正常节点VN中随机2 个节点之间有连接的概率，并且女巫节点之间有目的的连边一般来说比网络中随意连接2 个没有目的的连边的概率大，女巫节点之间易于建立连边。在本文中，由于我们主要探究女巫节点的团队行为，因此女巫节点建立连边的概率pSS设定较高，女巫节点之间建立连接并不需要尝试多次，因此一次连边成功的概率较高。本文只研究了无向无权重网络，但也可以扩展到有权重网络。

2.2 女巫社区检测

女巫节点有目的地攻击某一个社区的节点，并且这些女巫节点之间存在交互，我们有理由怀疑女巫节点之间存在团队行为。本文提出的算法首先获取具有嫌疑的种子节点，其次使用嫌疑传播算法获得具有交互的女巫节点以及网络中易被攻击的区域，将检测出的这些节点作为具有社区攻击行为的女巫节点。

在获取种子节点时，我们使用CN 相似性，以参数 τ作为阈值将低相似性连边移除，得到新的网络连接中的连通分量，将孤立节点形成的连通分量集合作为种子节点Cseed。

然而只考虑相似性的情况下存在的问题是当相似度阈值增大时，被召回的节点越来越多，最终某个阈值下，所有攻击节点一定会被召回，但其实际意义并不大。因为其中包含了许多非女巫节点，这是由于原始连接中一些正常节点连接稀疏造成；
并且基于社区结构的攻击模型攻击提高了检测难度，女巫节点趋向于与同一个社区内的节点建立连接，这也导致使用基于相似度的算法无法检测出全部的攻击节点。

为了更准确地检测出所有的嫌疑节点，我们需要根据种子节点的嫌疑度传播，获取具有交互的嫌疑节点，本文研究的女巫节点的特点是与正常节点所在社区建立了密集连接，并且攻击相同社区的节点具有共同嫌疑。

本文采用嫌疑传播的方式，在获取了具有嫌疑的种子节点后，可以推测从种子节点出发的嫌疑传播会集中在直接被攻击的节点以及与女巫节点相连的其他女巫节点所在区域，虽然女巫节点在网络中的交互是广泛的，但是正常节点与女巫节点之间的高阶交互较少，因此使用嫌疑传播的方式得到的重叠区域可以作为网络中被攻击的部分。本文提出的算法用于检测具有社区攻击行为的女巫节点，解决使用相似性方法检测女巫节点准确度不高的问题。这种基于社区结构的女巫攻击会因一些女巫节点与正常节点连接比较密集，导致无法通过相似性方法被检测出来。

由于我们研究具有共同嫌疑的女巫节点，因此设计了一个嫌疑传播算法(sybil propagation algorithm,sybilProp)，如下文算法1 所示，使用标签传播模式将被多个嫌疑节点包围的节点标记为嫌疑节点，从而发现更多嫌疑节点交互的区域。嫌疑信息可以作为节点的一个特征，特征值可为1（女巫节点）或为0（不是女巫节点）。在结合了种子节点的嫌疑特征后，使用标签传播的方式得到其他节点的嫌疑特征。通过嫌疑度传播的方式，可以得到被女巫节点重点攻击的区域，具体来讲就是节点可以将自己的嫌疑特征传播给邻居节点。为了控制嫌疑传播，假设当前节点为v，其嫌疑特征更新取决于邻居节点中不同嫌疑特征的投票分数。假设节点v的邻居集合为 Γ(v)，Γ(0)(v)是节点v的邻居嫌疑特征为0 的投票数目，同理，Γ(1)(v)是嫌疑特征为1 的投票数目。设置嫌疑传播系数为 β，则节点v的嫌疑特征更新公式为

式中：max_index 为返回2 个元素构成的向量中最大值的索引函数；
β为控制嫌疑传播系数，一般设置为大于1 的值，即节点要去除自己的嫌疑特征需要更多非嫌疑节点的支持。通过种子节点嫌疑传播，我们得到了所有节点的嫌疑特征lsus。

为了最终发现女巫攻击的社区行为，考虑女巫节点之间的交互，因此保留嫌疑特征都为1 的节点之间嫌疑边的连接，重新构建出一个由攻击节点组成的攻击网络Gatt，如式(2)所示。在该攻击网络中，非孤立的连通分量可以表示本算法关注的共同嫌疑女巫节点。位于同一个连通分量的节点表示这些嫌疑节点构成共同作案嫌疑，最大连通分量是其中最受关注的女巫节点，如式(3)所示，通过 components得到连通分量，从而得到了检测出的女巫节点集合Csybil。

我们使用纯净网络的连通分量作为对应的正常节点的社区划分S′。

总而言之，sybilCom 算法使用了结合节点嫌疑特征与拓扑结构的方法检测女巫节点之间有交互的社区攻击行为。该算法可以得到具有共同嫌疑的女巫节点以及正常节点的社区结构，如算法2 所示。在实验部分我们会对检测女巫节点的精确度以及召回率进行验证。

算法2 女巫社区检测算法sybilCom

在实验中使用了4 个真实网络数据集，对提出的女巫社区检测算法与以往的算法进行对比。首先针对这些网络进行基于社区结构的女巫攻击MAE-COM，然后得到各检测算法在攻击网络上的实验结果并进行对比。

3.1 数据集

1）Polbook：表示书籍被共同购买的书籍网络，拥有105 个节点和441 条边。

2）Polblog：美国政治网站超链接构成的网络，连边表示网页之间有超链接，社区表示2 种政治阵营。该数据集拥有1 490 个节点和19 090 条边。

3）email-Eu-core：欧洲研究组织邮件网络，拥有1 005 个节点和25 571 条边。

4）Cora：论文引用网络，社区代表论文的分类。该数据集拥有2 708 个节点与5 429 条边。

3.2 对比算法

3.2.1 基于边相似度的社区检测算法(community detection algorithm based on similarity,SCDA)

文献[3]通过移除低相似度连边，得到孤立的女巫节点，并且该算法对多种相似性进行了探索，最终发现使用CN 相似性能够取得较好的结果，因此我们在对比算法中只使用CN 相似性，其他的参数设置与原文中一致。

3.2.2 基于节点特征的离群检测算法(outlier detection,OD)

文献[20]包含基于单分类支持向量机的异常检测方法。由于本文直接在攻击网络中获取异常节点检测结果，因此为每一个节点建立人工特征向量，由节点邻居的社区标签频数分布决定，例如邻居分类数目、平均频数、最高频数、第二高频数及频数标准差，然后将人工特征向量输入到单分类支持向量机算法中，自监督检测出异常节点。

3.3 参数设置与效果评估

在生成女巫攻击网络时，节点VS/VN占比为10%，初始化攻击概率p∈[0.01,0.05]，女巫攻击的衰减系数 α1=0.25，攻击次数n=10，pNN为原始网络中的边密度。为了使女巫节点形成社区，我们设置pSS=max(0.1,pNN)，τ、β参数为实验可调整超参数，调整参数时以评估指标F 分数最大为准。由于生成攻击网络具有较高的随机性，因此取女巫节点之间社区性较强的生成网络。当确定一个生成的攻击网络后，得到在各算法中得到检测结果。

本实验使用sybilCom 算法得到节点是否是女巫节点的预测，使用精确度、召回率以及社区划分的指标作为算法效果评估的指标。

1）精确度(Rprecision)：评估预测的攻击节点中预测准确的比例。

2）召回率(Rrecall)：评估真正为女巫节点的样本中预测正确的比例。

3）F 分数(Fscore)：

4）互信息：互信息可以用来衡量2 个划分的重合度，在真实标签的数据集上，可以度量社区检测算法的效果[21]。

5）模块度：模块度从拓扑结构衡量社区效应，如果划分的社区符合内部连接多，外部连接少的结构，则可以得到模块度比较大的社区划分[2]。

6）社区F 分数：社区检测的F 分数通过计算每个实际社区与预测社区之间的Fscore，得到Fscore(ci,)，最终将所有社区的Fscore加权求和，社区F 分数越大，说明社区划分效果越好。

3.4 实验结果与分析

为了展示实验效果，给出了在4 个攻击网络中的女巫节点的检测结果以及社区划分结果，OD 算法无法得到社区划分的结果，记为“—”。如表1～表3 所示。

表1 在Polbook 数据集上的女巫节点检测和社区划分结果对比

表1 给出了在Polbook 数据集上的结果，表明本文算法F 分数都比较高，在召回率相同的情况下，检测到的女巫节点精确度较高，即算法检测到的女巫节点确实包含大量女巫节点，表明了有诈骗团伙的存在。并且F 分数指标在攻击强度较低时，检测效果较好，但是不稳定，这可能是女巫节点生成的连边较少，检测比较困难。sybilCom的社区检测的效果在大多数情况下也优于SCDA算法。OD 算法在攻击强度较大时，检测结果表现不稳定，说明了将拓扑结构转化为节点特征的方式不是有效的，直接从拓扑结构中挖掘节点的异常连接才是更有效的方式。

表2 给出了在Cora 数据集上的结果。本文提出的sybilCom 算法精确度比SCDA 算法高，即检测女巫节点之间的交互可以更好地检测女巫节点。随着攻击强度的上升，检测女巫节点的F 分数逐渐下降，这可能是由于攻击节点的攻击强度上升导致被标记的节点增加。当检测得到女巫节点集合后，女巫节点都被包含在其中，并且还包含了正常节点中一些易被窃取信息的节点，这些节点被共同作为女巫节点。这可能是由于一些正常节点与女巫攻击核心社区距离较近，从而被当作女巫节点，这些节点也是容易被攻击的节点。随着攻击强度的上升，OD 算法的检测结果的F 分数也逐渐下降，说明节点的人工特征向量无法得到异常分类的结果。使用SCDA 以及sybil-Com 算法得到的社区划分效果都比较差，说明去除低相似度边并没有去除社区之间的连接，社区之间的连边相似度可能较高，需要使用更严谨的社区划分算法，但是为我们提供的思路是将纯净网络输入到现有的社区检测算法中，是否可以改进其效果。在后续实验部分，在Cora 数据集上验证了我们的猜想。如表3 所示，在email 以及Polblog 数据集上女巫节点之间的交互较多，使用基于社区的女巫节点检测很容易检测出女巫节点生成的社区结构，并且以较高的F 分数召回了所有攻击节点。表3 中，随着攻击强度的上升，基于社区检测的方法效果逐渐下降，这是因为攻击强度较大的女巫节点与正常节点建立了较强的连接，从而导致嫌疑传播算法标记了这部分正常节点，由于这些节点被检测到与女巫节点之间有连接，因此被作为嫌疑节点一起被检测出来，这些嫌疑节点对我们也是有用的，例如可以告知其有被诈骗风险或者设置监控等。使用sybilCom 算法得到的社区划分效果与SCDA 接近，但二者都比较差，因此推测基于去除低相似度连边的检测算法，没有检测出位于社区之间的连边，这可能是由于社区之间的连边相似性也较高，需要使用更严谨的算法获取社区划分的结果。而sybilCom或者SCDA 算法检测出的女巫节点之间的嫌疑边并没有完全包含连接社区与社区的边，检测出较多的单独节点作为离散社区，导致社区划分效果不好。由此可知，在去除女巫节点之间的嫌疑连边之后，在该纯净网络中使用更严谨的社区发现算法得到最终的社区划分结果。在其他实验部分，我们对此想法进行验证。

表2 在Cora 数据集上的检测与社区划分的效果

表3 在Polblog、email-Eu-core 数据集上的检测与社区划分效果

3.4.1 参数分析

sybilCom 算法女巫节点检测结果对于参数的变化图如图3～图5 所示(email-Eu-core 数据集，p=0.03)。由图3 可知，随着攻击次数n的变化，得到的检测结果与SCDA 相比较高；
随着攻击次数n的增加，F 分数的变化幅度较小。事实上随着攻击次数n的增加，其攻击力度指数衰减，从而说明基于社区的方法和SCDA 算法表现都比较稳定。

图3 sybilCom 算法F 分数随迭代次数的变化曲线

由图4 和图5 可以看出使用女巫社区检测算法得到的社区划分结果稍逊于SCDA 算法，互信息指标略低，F 分数接近，并且2 种算法的互信息、F 分数都偏低。这可能是由于在我们得到嫌疑节点后，嫌疑节点间的连边被去除了，但是对于整个网络结构来说，处于中间的网络仍然是一个没有被分割的联通分量，而其他节点是离散节点，导致社区的划分效果较差。因此设想使用社区检测的方式，在纯净网络中重新进行社区检测。

图4 sybilCom 算法社区划分NMI 随迭代次数的变化曲线

图5 sybilCom 算法社区划分F 分数随迭代次数的变化曲线

3.4.2 其他实验

我们研究了去除异常节点之间的连接后对于社区检测效果的影响，以Cora 数据集为例，其中Louvain 算法是直接在攻击网络中的社区划分效果，sybilCom 算法与SCDA 都是去除异常边之后再用Louvain 算法得到的社区检测效果，对比结果如表4 所示。可以看到表4 中，算法sybilCom算法与SCDA 的互信息接近，但是社区F 分数较高，这说明SCDA 算法的社区划分得到了较多由孤立节点构成的社区，相对而言本算法sybilCom的社区划分效果更好。通过实验发现，SCDA算法得到的社区数目确实比sybilCom 算法得到的社区数目多。

表4 Cora 数据集去除异常连边的社区划分的对比效果

本文的主要贡献包括3 个方面:

1）提出基于社区结构的女巫攻击模型。

2）提出对具有共同嫌疑的女巫节点社区的检测算法。

3）在不同数据集上，本文的女巫攻击检测算法均体现良好的效果，并且设计的女巫社区检测算法框架可以使用在通过任意算法召回得到的种子节点中，得到的社区结构效果较好。

在本文中，我们提出了针对女巫攻击检测算法sybilCom，用于解决基于社区结构的女巫攻击检测的问题，女巫节点共同攻击社区结构反映了对特定群体的团伙诈骗现象，在现实生活中有重要的意义。不同于以往的女巫攻击检测算法将相似度低的边直接删除，sybilCom 算法结合了种子女巫节点的嫌疑传播，使得互相关联的女巫节点最终被作为具有共同嫌疑的女巫节点集合被检测出来，提升了检测算法的效果。最终被预测为女巫节点的节点集中也包含了易受攻击的节点，对于进一步保护社交网络安全有一定的作用。并且我们提出的算法可以看作是一个检测框架，可以得到以任何种子节点出发的具有共同嫌疑的女巫节点。在多个真实数据多个攻击参数下的实验结果表明，sybilCom 算法能够得到攻击检测性能的提升，并且可以去除网络中的异常边与异常节点，有益于之后的社区发现任务。

由于我们在检测到的共同嫌疑女巫节点集合中，可能并未包含所有的女巫节点，有一些女巫节点具有较为独立的攻击行为，在以后的工作中，也需要探讨如何全面检测出女巫节点。

猜你喜欢 女巫相似性节点 Formation of advanced glycation end products in raw and subsequently boiled broiler muscle: biological variation and effects of postmortem ageing and storage食品科学与人类健康(英文)(2022年2期)2022-11-28一类上三角算子矩阵的相似性与酉相似性数学物理学报(2022年5期)2022-10-09CM节点控制在船舶上的应用机械工业标准化与质量(2022年6期)2022-08-12浅析当代中西方绘画的相似性河北画报(2020年8期)2020-10-27概念格的一种并行构造算法河南科技学院学报(自然科学版)(2020年2期)2020-05-22结合概率路由的机会网络自私节点检测算法小型微型计算机系统(2020年5期)2020-05-14女巫来过梦里读友·少年文学(清雅版)(2018年7期)2018-11-16基于隐喻相似性研究[血]的惯用句环球市场信息导报(2017年1期)2017-04-08萌女巫与魔法猫作文大王·笑话大王(2017年2期)2017-02-21萌女巫与魔法猫作文大王·笑话大王(2016年8期)2016-08-08

推荐访问:女巫 攻击 检测