蘇倩，黃玲，王昌棟

1.中山大學(xué) 計(jì)算機(jī)學(xué)院，廣東 廣州 510275

2.華南農(nóng)業(yè)大學(xué) 數(shù)學(xué)與信息學(xué)院，廣東 廣州 510642

隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，社交網(wǎng)絡(luò)規(guī)模逐漸變大，對(duì)于網(wǎng)絡(luò)性質(zhì)的探索越來越重要，社區(qū)檢測就是其中之一。社區(qū)檢測旨在找出一組聯(lián)系緊密的節(jié)點(diǎn)[1]，對(duì)許多下游任務(wù)都有重要的作用，例如群組推薦和鏈接預(yù)測。社區(qū)結(jié)構(gòu)雖然沒有統(tǒng)一的定義，但最普遍的定義是社區(qū)內(nèi)部的節(jié)點(diǎn)之間連接密集，與社區(qū)外的節(jié)點(diǎn)連接稀疏。不同的網(wǎng)絡(luò)社區(qū)具有不同的含義，例如在生物分子結(jié)構(gòu)網(wǎng)絡(luò)中，屬于同一個(gè)社區(qū)的節(jié)點(diǎn)擁有相似的功能；在論文引用網(wǎng)絡(luò)中，位于同一個(gè)社區(qū)表示屬于同一個(gè)領(lǐng)域的論文[2-7]。

然而，基于社交網(wǎng)絡(luò)的詐騙現(xiàn)象頻繁發(fā)生，網(wǎng)絡(luò)攻防是社交網(wǎng)絡(luò)中備受關(guān)注的問題?，F(xiàn)實(shí)生活中針對(duì)社交網(wǎng)絡(luò)的攻擊主要體現(xiàn)在盜用賬號(hào)、冒充賬號(hào)竊取信息等，對(duì)于網(wǎng)絡(luò)詐騙的檢測在現(xiàn)實(shí)生活中具有重要意義。針對(duì)網(wǎng)絡(luò)攻擊的研究包括攻擊網(wǎng)絡(luò)中的邊，即在添加最少的邊的情況下，改變網(wǎng)絡(luò)部分節(jié)點(diǎn)的連接結(jié)構(gòu)，使節(jié)點(diǎn)隱藏其拓?fù)浣Y(jié)構(gòu)，或者使節(jié)點(diǎn)的分類結(jié)果下降。例如NETTACK 算法，提出了以最少的邊變化為代價(jià)，降低目標(biāo)節(jié)點(diǎn)在下游分類任務(wù)中的準(zhǔn)確度[8]；一些啟發(fā)式算法也是通過改變網(wǎng)絡(luò)的連邊從而降低社區(qū)檢測算法在該攻擊網(wǎng)絡(luò)中的準(zhǔn)確度，即在改變的邊最少的情況下，得到攻擊后的網(wǎng)絡(luò)在節(jié)點(diǎn)分類任務(wù)或者社區(qū)劃分任務(wù)中準(zhǔn)確度較低[9]。對(duì)于網(wǎng)絡(luò)的攻擊還包括攻擊節(jié)點(diǎn)自主加入網(wǎng)絡(luò)中，與網(wǎng)絡(luò)中的正常節(jié)點(diǎn)建立連接，但是該節(jié)點(diǎn)是一個(gè)欺詐節(jié)點(diǎn)，節(jié)點(diǎn)建立連邊的目的是欺詐其他正常節(jié)點(diǎn)，這種攻擊也被稱為女巫攻擊。女巫攻擊最早出現(xiàn)在分布式通信網(wǎng)絡(luò)、交易網(wǎng)絡(luò)中，往往需要復(fù)雜的協(xié)議[10]。然而在社交網(wǎng)絡(luò)中，女巫攻擊是容易的，例如女巫節(jié)點(diǎn)可以是垃圾郵件發(fā)送者、虛假用戶等，文獻(xiàn)表明10%的Twitter 用戶是虛假用戶，女巫節(jié)點(diǎn)可以執(zhí)行各種惡意活動(dòng)，例如破壞民主選舉、影響金融市場、分發(fā)垃圾郵件、網(wǎng)絡(luò)釣魚攻擊以及收集私人用戶數(shù)據(jù)等[11]。以往的研究認(rèn)為社交網(wǎng)絡(luò)中的女巫攻擊是有限攻擊，即女巫節(jié)點(diǎn)的攻擊能力有限[12]，然而，在真實(shí)網(wǎng)絡(luò)中惡意用戶往往是活躍度較高的節(jié)點(diǎn)，通常需要吸引正常用戶的關(guān)注。文獻(xiàn)[13]指出女巫節(jié)點(diǎn)通過“虛假”賬戶進(jìn)行大量社交活動(dòng)，為檢測女巫節(jié)點(diǎn)帶來了很大困難。這些女巫節(jié)點(diǎn)與真實(shí)用戶互動(dòng)，目的是獲得虛假熱度或者投票，這些虛假用戶在社交網(wǎng)絡(luò)中的行為通常是有害的。作者提出了結(jié)合用戶的行為信息異構(gòu)圖的隨機(jī)游走算法，結(jié)合各種行為信息檢測出女巫節(jié)點(diǎn)，在Twitter 以及類似的網(wǎng)絡(luò)中檢測出這些用戶并降低其影響力。女巫節(jié)點(diǎn)對(duì)于社區(qū)結(jié)構(gòu)的攻擊給社區(qū)檢測算法帶來了很大的困擾。文獻(xiàn)[3]提出女巫節(jié)點(diǎn)與正常節(jié)點(diǎn)建立少量連邊就可以被社區(qū)檢測算法劃分到正常節(jié)點(diǎn)所在的社區(qū)中，竊取該社區(qū)中正常用戶的信息，并由此定義了幾種女巫攻擊模式，有效建模真實(shí)社交網(wǎng)絡(luò)中的攻擊模式，并且提出了對(duì)抗女巫攻擊的層次社區(qū)檢測方法。

在通信網(wǎng)絡(luò)中，女巫攻擊的特點(diǎn)是女巫節(jié)點(diǎn)盜用真實(shí)節(jié)點(diǎn)，利用真實(shí)節(jié)點(diǎn)的身份，在網(wǎng)絡(luò)中傳播惡意信息。在網(wǎng)絡(luò)安全逐步提升的情況下，如今盜用賬號(hào)的行為越來越少，而創(chuàng)建一個(gè)賬戶，與真實(shí)節(jié)點(diǎn)建立“廉價(jià)的”連接邊，是一種代價(jià)較低的攻擊方式，這些攻擊節(jié)點(diǎn)通過社區(qū)結(jié)構(gòu)接觸到較多正常節(jié)點(diǎn)，從而竊取用戶的信息。基于社區(qū)的女巫攻擊之所以會(huì)造成嚴(yán)重后果，是由于我們的社區(qū)檢測算法很容易將攻擊節(jié)點(diǎn)錯(cuò)誤劃分到正常節(jié)點(diǎn)所在的社區(qū)中。

受到文獻(xiàn)[3]中的女巫攻擊定義的啟發(fā)，本文提出了基于社區(qū)結(jié)構(gòu)的女巫攻擊模型，即女巫節(jié)點(diǎn)有目的地攻擊某個(gè)特定社區(qū)的節(jié)點(diǎn)的行為。由于女巫節(jié)點(diǎn)攻擊某一個(gè)社區(qū)的節(jié)點(diǎn)，使用以往的基于相似性的方法檢測出女巫節(jié)點(diǎn)比較困難；并且這些女巫節(jié)點(diǎn)除了攻擊某些特定社區(qū)的節(jié)點(diǎn)，女巫節(jié)點(diǎn)之間可能也存在團(tuán)隊(duì)行為，因此不止要把這些女巫節(jié)點(diǎn)檢測出來，排除在正常節(jié)點(diǎn)的社區(qū)外，而且有必要檢測這些攻擊節(jié)點(diǎn)是否形成一個(gè)“團(tuán)伙”。

網(wǎng)絡(luò)連邊相似性是網(wǎng)絡(luò)中節(jié)點(diǎn)對(duì)之間的連邊概率，被廣泛用于攻擊檢測算法。以往的攻擊檢測算法認(rèn)為低相似邊很有可能是攻擊邊，例如文獻(xiàn)[7]提出了對(duì)抗攻擊的社區(qū)檢測算法，認(rèn)為相似性較高的未連接邊是被惡意刪除了，而相似性較低的連接邊是惡意增添的，因此使用相似性恢復(fù)原始網(wǎng)絡(luò)連邊的方法，以提高社區(qū)檢測的準(zhǔn)確率。雖然基于相似性的方法易于得到攻擊邊，但是也很容易破壞網(wǎng)絡(luò)原始的連接結(jié)構(gòu)，并且網(wǎng)絡(luò)連邊相似性的分布集中，邊的相似度比較接近，確定相似度閾值需要進(jìn)行大量嘗試。本文提出的基于嫌疑度傳播的攻擊節(jié)點(diǎn)檢測算法，在根據(jù)相似度得到種子嫌疑節(jié)點(diǎn)的基礎(chǔ)上，通過嫌疑節(jié)點(diǎn)之間的交互傳播，得到網(wǎng)絡(luò)被攻擊的區(qū)域，并將該攻擊區(qū)域與正常節(jié)點(diǎn)所在的社區(qū)結(jié)構(gòu)分隔，以免正常節(jié)點(diǎn)所在社區(qū)受到攻擊節(jié)點(diǎn)影響。

社區(qū)檢測方法包括基于模塊度的啟發(fā)式算法、非負(fù)矩陣分解法、標(biāo)簽傳播算法以及基于深度學(xué)習(xí)的算法等[14]。本文使用基于模塊度的方法獲取原始網(wǎng)絡(luò)的社區(qū)結(jié)構(gòu)，從而生成基于社區(qū)結(jié)構(gòu)的女巫攻擊網(wǎng)絡(luò)。

在本文中，首先提出了基于社區(qū)結(jié)構(gòu)的女巫攻擊模型，即女巫節(jié)點(diǎn)優(yōu)先攻擊位于同一個(gè)社區(qū)的節(jié)點(diǎn)；針對(duì)這種攻擊模型，提出了基于嫌疑度傳播的女巫節(jié)點(diǎn)檢測方法sybilCom，主要解決以往基于相似性方法的檢測算法召回量過大、準(zhǔn)確度不高的問題，從種子節(jié)點(diǎn)的嫌疑傳播的角度，檢測出具有共同嫌疑的女巫節(jié)點(diǎn)。模型建立在女巫節(jié)點(diǎn)之間有交互并且女巫節(jié)點(diǎn)有目的地攻擊特定社區(qū)的假設(shè)之上，如果只基于相似性排除低相似邊，得到一些沒有交互的離散的女巫節(jié)點(diǎn)，就會(huì)召回大量非女巫節(jié)點(diǎn)，導(dǎo)致召回率相同的情況下，準(zhǔn)確度比較低。通過嫌疑傳播算法，利用女巫節(jié)點(diǎn)攻擊社區(qū)的行為，sybilCom 算法檢測具有共同攻擊行為的女巫節(jié)點(diǎn)所在的攻擊區(qū)域，從而檢測出這些女巫節(jié)點(diǎn)形成的團(tuán)體。

在實(shí)驗(yàn)部分，我們使用精確度、召回率以及F 分?jǐn)?shù)驗(yàn)證本文提出的方法，發(fā)現(xiàn)sybilCom 算法對(duì)于檢測詐騙團(tuán)隊(duì)更有效，比以往的只基于邊相似度的算法效果更好。

1 模型的提出

網(wǎng)絡(luò)攻防是社交網(wǎng)絡(luò)中備受關(guān)注的問題，網(wǎng)絡(luò)社區(qū)結(jié)構(gòu)的破壞或者更改網(wǎng)絡(luò)核心結(jié)構(gòu)都會(huì)導(dǎo)致網(wǎng)絡(luò)結(jié)構(gòu)被大程度破壞。網(wǎng)絡(luò)攻防往往被作為是一個(gè)相互促進(jìn)的任務(wù)，如果知道了怎么攻擊，就能夠知道怎么防御。文獻(xiàn)[15]探究了網(wǎng)絡(luò)攻擊對(duì)于鏈路預(yù)測任務(wù)的影響，結(jié)果表明在模擬退火攻擊下預(yù)測任務(wù)的精確度下降最快，使用共同鄰居相似性在對(duì)抗網(wǎng)絡(luò)攻擊時(shí)魯棒性更強(qiáng)。文獻(xiàn)[8]表明攻擊算法企圖以最小的代價(jià)破壞網(wǎng)絡(luò)結(jié)構(gòu)，并且攻擊后的網(wǎng)絡(luò)應(yīng)該與原始網(wǎng)絡(luò)具有相同的性質(zhì)，即限制更改的邊的數(shù)目以及節(jié)點(diǎn)的度的冪律分布必須服從同一分布，該文獻(xiàn)使用代理模型作為節(jié)點(diǎn)分類的分類器，最大化攻擊前后的節(jié)點(diǎn)分類誤差，得到生成攻擊網(wǎng)絡(luò)的方法。在此之后，許多工作都采用了這種模式，設(shè)計(jì)一個(gè)攻擊算法并且使用代理模型作為分類器，通過2 個(gè)部分迭代的學(xué)習(xí)得到攻擊算法的參數(shù)。文獻(xiàn)[16]提出了基于強(qiáng)化學(xué)習(xí)與啟發(fā)式學(xué)習(xí)的網(wǎng)絡(luò)攻擊算法，使得下游算法在整體節(jié)點(diǎn)分類任務(wù)中效果下降最快。文獻(xiàn)[9]提出網(wǎng)絡(luò)不同層次的攻擊算法，例如全局網(wǎng)絡(luò)結(jié)構(gòu)攻擊、社區(qū)攻擊以及目標(biāo)節(jié)點(diǎn)攻擊，該算法使用代理社區(qū)檢測算法，被攻擊后的網(wǎng)絡(luò)在不同的社區(qū)檢測算法下效果都有下降。文獻(xiàn)[17]認(rèn)為社區(qū)結(jié)構(gòu)被過度挖掘是一種隱私泄露，因此提出對(duì)比網(wǎng)絡(luò)全局信息與局部信息的算法，從而在限制全局信息與局部信息相似性的情況下，學(xué)習(xí)得到最有可能出現(xiàn)的邊和可能被移去的邊，得到的重構(gòu)圖使目標(biāo)節(jié)點(diǎn)隱藏其社區(qū)結(jié)構(gòu)。

作為本文關(guān)注的重點(diǎn)，針對(duì)女巫攻擊的檢測算法大致可以分為基于隨機(jī)游走的算法以及基于循環(huán)可信度傳播的算法這2 類。sybilRank 算法[18]假設(shè)了從正常節(jié)點(diǎn)出發(fā)的隨機(jī)游走路徑有很大幾率是在正常節(jié)點(diǎn)的內(nèi)部，使用隨機(jī)游走算法獲取從種子節(jié)點(diǎn)到達(dá)其他節(jié)點(diǎn)的歸一化概率作為節(jié)點(diǎn)的可信度，然而存在的問題是種子節(jié)點(diǎn)對(duì)于最終的結(jié)果有很大影響，該算法不是一個(gè)魯棒的算法?；谘h(huán)可信度傳播的算法的特點(diǎn)是使用信念傳播的方式，結(jié)合了鄰居節(jié)點(diǎn)信念的二跳傳播。由于其非線性使得時(shí)間與空間復(fù)雜度較高，但對(duì)于初始標(biāo)簽的容錯(cuò)率更高，存在的問題是不一定收斂。sybilScar 算法[12]結(jié)合了2 種思想，提出了新的局部更新規(guī)則，易于計(jì)算。然而這些算法都假設(shè)了女巫節(jié)點(diǎn)的攻擊強(qiáng)度較小，正常節(jié)點(diǎn)與正常節(jié)點(diǎn)的交互較多，這在日益復(fù)雜的社交網(wǎng)絡(luò)中并不成立。一些女巫節(jié)點(diǎn)利用較高的人氣獲取關(guān)注，以上方法都難以檢測這些節(jié)點(diǎn)，因此本文關(guān)注具有社區(qū)攻擊行為的女巫節(jié)點(diǎn)的檢測算法。

文獻(xiàn)[19]提供了一種檢測異常節(jié)點(diǎn)的思路，即比較節(jié)點(diǎn)與其鄰居節(jié)點(diǎn)之間的標(biāo)簽分布差異。因?yàn)椴荒芡耆囊粋€(gè)節(jié)點(diǎn)所有的邊，所以節(jié)點(diǎn)所連接的鄰居的標(biāo)簽分布能反映出節(jié)點(diǎn)是否擁有異質(zhì)結(jié)構(gòu)，根據(jù)節(jié)點(diǎn)與一階鄰居標(biāo)簽分布的相對(duì)熵，以及與二階鄰居的相對(duì)熵，利用正常節(jié)點(diǎn)以及異常節(jié)點(diǎn)的2 個(gè)分布不同，得到異常節(jié)點(diǎn)。

單分類支持向量機(jī)也被廣泛地用于網(wǎng)絡(luò)異常檢測算法[20]，該方法是一種基于域的異常檢測方法，使用支持向量機(jī)的非線性核方法獲取分隔目標(biāo)類以及非目標(biāo)類的最佳閾值，本文使用離群檢測(outlier detection,OD)算法作為對(duì)比算法，基于節(jié)點(diǎn)標(biāo)簽的單分類支持向量機(jī)方法檢測網(wǎng)絡(luò)異常連邊。

文獻(xiàn)[7]基于相似度隨機(jī)恢復(fù)網(wǎng)絡(luò)中的連接邊，指出相似度是衡量邊可信度的度量。文獻(xiàn)[3]對(duì)于女巫節(jié)點(diǎn)的檢測方法是建立節(jié)點(diǎn)相似度矩陣，通過提高邊存在的閾值，不斷從網(wǎng)絡(luò)結(jié)構(gòu)中刪除低可信度邊，則女巫節(jié)點(diǎn)就是刪除邊之后的孤立節(jié)點(diǎn)，在檢測出女巫節(jié)點(diǎn)的同時(shí)完成了社區(qū)的層次劃分。但是該算法沒有考慮女巫節(jié)點(diǎn)攻擊特定社區(qū)的行為以及女巫節(jié)點(diǎn)之間有團(tuán)隊(duì)行為的情況下的檢測。即使通過提高邊存在的閾值最終一定可以將這些女巫節(jié)點(diǎn)檢測出來，但是精確度比較低。因此我們在本文中提出了基于嫌疑度傳播的女巫攻擊社區(qū)檢測算法sybilCom。

網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的相似性有很多種度量，例如共同鄰居相似性（common neighbor,CN）、杰卡德相似系數(shù)（Jaccard）和資源分配指數(shù)(resource allocation,RA)等[7]。CN 相似性是指節(jié)點(diǎn)的共同鄰居在鄰居總數(shù)中的占比；而模體(motif)是網(wǎng)絡(luò)中頻繁出現(xiàn)的子圖模式[4-6]，最常使用的模體結(jié)構(gòu)是三角形，網(wǎng)絡(luò)的CN 相似性就是模體高階結(jié)構(gòu)的體現(xiàn)。由于在文獻(xiàn)[15]中指出CN 相似性的在對(duì)抗攻擊中魯棒性最好，因此本文基于CN 相似性進(jìn)行研究。

為了實(shí)現(xiàn)基于社區(qū)結(jié)構(gòu)女巫攻擊，本文使用基于模塊度的社區(qū)檢測算法Louvain[2]獲取原始網(wǎng)絡(luò)的社區(qū)結(jié)構(gòu)。在本文的任務(wù)中，女巫節(jié)點(diǎn)主動(dòng)與特定社區(qū)的節(jié)點(diǎn)建立連邊，其目的是加入真實(shí)節(jié)點(diǎn)所在的社區(qū)，竊取一些信息。我們的主要任務(wù)是檢測出具有共同嫌疑的女巫節(jié)點(diǎn)以及其他容易被攻擊的節(jié)點(diǎn)。

不同于以往分散的女巫節(jié)點(diǎn)攻擊(如圖1)，我們設(shè)計(jì)了基于社區(qū)結(jié)構(gòu)的多回合攻擊，并且從現(xiàn)實(shí)生活的角度對(duì)其進(jìn)行了闡述，即女巫節(jié)點(diǎn)優(yōu)先選擇攻擊位于特定群體的節(jié)點(diǎn)，并且攻擊相同社區(qū)的女巫節(jié)點(diǎn)之間可能具有共同嫌疑(如圖2)。

圖2 在Polbook 數(shù)據(jù)集中基于社區(qū)結(jié)構(gòu)的女巫攻擊

2 女巫攻擊檢測算法

在本節(jié)中，主要介紹算法涉及的符號(hào)表示以及我們所設(shè)計(jì)的女巫攻擊社區(qū)檢測算法。

2.1 基本定義

假設(shè)原始正常節(jié)點(diǎn)無向網(wǎng)絡(luò)G={V,E}，節(jié)點(diǎn)集合V表示正常節(jié)點(diǎn)，邊集合E表示節(jié)點(diǎn)之間的連邊。網(wǎng)絡(luò)對(duì)應(yīng)的鄰接矩陣A，其中Aij表示網(wǎng)絡(luò)節(jié)點(diǎn)對(duì) (i,j)之間是否擁有邊，如果節(jié)點(diǎn)對(duì)之間存在無向邊，則Aij=Aji=1。

我們采用文獻(xiàn)[3]中的方式構(gòu)造攻擊后的網(wǎng)絡(luò)。假設(shè)女巫節(jié)點(diǎn)集合為VS、ESS代表女巫節(jié)點(diǎn)之間形成的邊，ESN代表女巫節(jié)點(diǎn)與正常節(jié)點(diǎn)之間的連邊，最終攻擊網(wǎng)絡(luò)為G′，G′={V+VS,E+ESS+ESN}，為方便表示，記作G′={V′,E′}。假設(shè)在原始網(wǎng)絡(luò)G中，網(wǎng)絡(luò)的社區(qū)劃分為S={C1,C2,···,Ck}，其中每一個(gè)社區(qū)代表節(jié)點(diǎn)集合，社區(qū)數(shù)目為k。

我們采用的女巫攻擊方式為基于網(wǎng)絡(luò)社區(qū)結(jié)構(gòu)的指數(shù)衰減多回合攻擊模型 (Multi-round attack of exponential attenuation model based on network community structure,MAE-COM)即女巫節(jié)點(diǎn)優(yōu)先攻擊位于某一個(gè)社區(qū)的群體，該模型依賴于原始網(wǎng)絡(luò)的社區(qū)結(jié)構(gòu)，攻擊的概率隨著攻擊次數(shù)以及原始網(wǎng)絡(luò)的社區(qū)結(jié)構(gòu)而變化，假設(shè)女巫節(jié)點(diǎn)si攻擊正常節(jié)點(diǎn)ni的概率為pSN(si,ni)，本文提出的攻擊模型應(yīng)該取決于以下參數(shù)：女巫節(jié)點(diǎn)攻擊正常節(jié)點(diǎn)的初始概率記為p；女巫節(jié)點(diǎn)攻擊隨著攻擊的迭代次數(shù)n而指數(shù)衰減，衰減系數(shù)記為 α1；女巫節(jié)點(diǎn)有傾向的攻擊位于同一個(gè)社區(qū)內(nèi)的節(jié)點(diǎn)，表示傾向性的系數(shù)記為 α2，女巫節(jié)點(diǎn)與正常節(jié)點(diǎn)產(chǎn)生連接的概率為

式中：p為初始化的概率；α1為衰減參 數(shù)(α1＜1)；n為攻擊的迭代次數(shù)，隨著攻擊迭代次數(shù)的增大攻擊強(qiáng)度逐漸下降；δ(C(si),C(ni))表示女巫節(jié)點(diǎn)與正常節(jié)點(diǎn)是否位于同一個(gè)社區(qū)，當(dāng)位于同一個(gè)社區(qū)時(shí)，生成邊的概率較大；在實(shí)驗(yàn)中控制超參數(shù)α2≤1。在生成攻擊網(wǎng)絡(luò)時(shí)，首先得到原始網(wǎng)絡(luò)的社區(qū)劃分，對(duì)每一個(gè)女巫節(jié)點(diǎn)，在攻擊次數(shù)n=1時(shí)，隨機(jī)選擇一個(gè)正常節(jié)點(diǎn)所在的社區(qū)作為女巫節(jié)點(diǎn)想要攻擊的社區(qū)，之后以 α2的概率選取該社區(qū)中的節(jié)點(diǎn)，進(jìn)行n次攻擊嘗試。當(dāng) α2=0時(shí)，表示不再考慮基于社區(qū)結(jié)構(gòu)的攻擊，而是退化為只考慮指數(shù)衰減的女巫攻擊。

女巫節(jié)點(diǎn)在團(tuán)隊(duì)作案時(shí)，內(nèi)部也會(huì)生成邊，女巫節(jié)點(diǎn)之間生成邊的概率我們假定為pSS，這個(gè)參數(shù)影響女巫節(jié)點(diǎn)之間是否生成密集連接社區(qū)。為了生成女巫節(jié)點(diǎn)之間的密集連接，假設(shè)pSS＞pNN，其中pNN=m/[N(N-1)]表 示正常節(jié)點(diǎn)VN中隨機(jī)2 個(gè)節(jié)點(diǎn)之間有連接的概率，并且女巫節(jié)點(diǎn)之間有目的的連邊一般來說比網(wǎng)絡(luò)中隨意連接2 個(gè)沒有目的的連邊的概率大，女巫節(jié)點(diǎn)之間易于建立連邊。在本文中，由于我們主要探究女巫節(jié)點(diǎn)的團(tuán)隊(duì)行為，因此女巫節(jié)點(diǎn)建立連邊的概率pSS設(shè)定較高，女巫節(jié)點(diǎn)之間建立連接并不需要嘗試多次，因此一次連邊成功的概率較高。本文只研究了無向無權(quán)重網(wǎng)絡(luò)，但也可以擴(kuò)展到有權(quán)重網(wǎng)絡(luò)。

2.2 女巫社區(qū)檢測

女巫節(jié)點(diǎn)有目的地攻擊某一個(gè)社區(qū)的節(jié)點(diǎn)，并且這些女巫節(jié)點(diǎn)之間存在交互，我們有理由懷疑女巫節(jié)點(diǎn)之間存在團(tuán)隊(duì)行為。本文提出的算法首先獲取具有嫌疑的種子節(jié)點(diǎn)，其次使用嫌疑傳播算法獲得具有交互的女巫節(jié)點(diǎn)以及網(wǎng)絡(luò)中易被攻擊的區(qū)域，將檢測出的這些節(jié)點(diǎn)作為具有社區(qū)攻擊行為的女巫節(jié)點(diǎn)。

在獲取種子節(jié)點(diǎn)時(shí)，我們使用CN 相似性，以參數(shù) τ作為閾值將低相似性連邊移除，得到新的網(wǎng)絡(luò)連接中的連通分量，將孤立節(jié)點(diǎn)形成的連通分量集合作為種子節(jié)點(diǎn)Cseed。

然而只考慮相似性的情況下存在的問題是當(dāng)相似度閾值增大時(shí)，被召回的節(jié)點(diǎn)越來越多，最終某個(gè)閾值下，所有攻擊節(jié)點(diǎn)一定會(huì)被召回，但其實(shí)際意義并不大。因?yàn)槠渲邪嗽S多非女巫節(jié)點(diǎn)，這是由于原始連接中一些正常節(jié)點(diǎn)連接稀疏造成；并且基于社區(qū)結(jié)構(gòu)的攻擊模型攻擊提高了檢測難度，女巫節(jié)點(diǎn)趨向于與同一個(gè)社區(qū)內(nèi)的節(jié)點(diǎn)建立連接，這也導(dǎo)致使用基于相似度的算法無法檢測出全部的攻擊節(jié)點(diǎn)。

為了更準(zhǔn)確地檢測出所有的嫌疑節(jié)點(diǎn)，我們需要根據(jù)種子節(jié)點(diǎn)的嫌疑度傳播，獲取具有交互的嫌疑節(jié)點(diǎn)，本文研究的女巫節(jié)點(diǎn)的特點(diǎn)是與正常節(jié)點(diǎn)所在社區(qū)建立了密集連接，并且攻擊相同社區(qū)的節(jié)點(diǎn)具有共同嫌疑。

本文采用嫌疑傳播的方式，在獲取了具有嫌疑的種子節(jié)點(diǎn)后，可以推測從種子節(jié)點(diǎn)出發(fā)的嫌疑傳播會(huì)集中在直接被攻擊的節(jié)點(diǎn)以及與女巫節(jié)點(diǎn)相連的其他女巫節(jié)點(diǎn)所在區(qū)域，雖然女巫節(jié)點(diǎn)在網(wǎng)絡(luò)中的交互是廣泛的，但是正常節(jié)點(diǎn)與女巫節(jié)點(diǎn)之間的高階交互較少，因此使用嫌疑傳播的方式得到的重疊區(qū)域可以作為網(wǎng)絡(luò)中被攻擊的部分。本文提出的算法用于檢測具有社區(qū)攻擊行為的女巫節(jié)點(diǎn)，解決使用相似性方法檢測女巫節(jié)點(diǎn)準(zhǔn)確度不高的問題。這種基于社區(qū)結(jié)構(gòu)的女巫攻擊會(huì)因一些女巫節(jié)點(diǎn)與正常節(jié)點(diǎn)連接比較密集，導(dǎo)致無法通過相似性方法被檢測出來。

由于我們研究具有共同嫌疑的女巫節(jié)點(diǎn)，因此設(shè)計(jì)了一個(gè)嫌疑傳播算法(sybil propagation algorithm,sybilProp)，如下文算法1 所示，使用標(biāo)簽傳播模式將被多個(gè)嫌疑節(jié)點(diǎn)包圍的節(jié)點(diǎn)標(biāo)記為嫌疑節(jié)點(diǎn)，從而發(fā)現(xiàn)更多嫌疑節(jié)點(diǎn)交互的區(qū)域。嫌疑信息可以作為節(jié)點(diǎn)的一個(gè)特征，特征值可為1（女巫節(jié)點(diǎn)）或?yàn)?（不是女巫節(jié)點(diǎn)）。在結(jié)合了種子節(jié)點(diǎn)的嫌疑特征后，使用標(biāo)簽傳播的方式得到其他節(jié)點(diǎn)的嫌疑特征。通過嫌疑度傳播的方式，可以得到被女巫節(jié)點(diǎn)重點(diǎn)攻擊的區(qū)域，具體來講就是節(jié)點(diǎn)可以將自己的嫌疑特征傳播給鄰居節(jié)點(diǎn)。為了控制嫌疑傳播，假設(shè)當(dāng)前節(jié)點(diǎn)為v，其嫌疑特征更新取決于鄰居節(jié)點(diǎn)中不同嫌疑特征的投票分?jǐn)?shù)。假設(shè)節(jié)點(diǎn)v的鄰居集合為 Γ(v)，Γ(0)(v)是節(jié)點(diǎn)v的鄰居嫌疑特征為0 的投票數(shù)目，同理，Γ(1)(v)是嫌疑特征為1 的投票數(shù)目。設(shè)置嫌疑傳播系數(shù)為 β，則節(jié)點(diǎn)v的嫌疑特征更新公式為

式中：max_index 為返回2 個(gè)元素構(gòu)成的向量中最大值的索引函數(shù)；β為控制嫌疑傳播系數(shù)，一般設(shè)置為大于1 的值，即節(jié)點(diǎn)要去除自己的嫌疑特征需要更多非嫌疑節(jié)點(diǎn)的支持。通過種子節(jié)點(diǎn)嫌疑傳播，我們得到了所有節(jié)點(diǎn)的嫌疑特征lsus。

為了最終發(fā)現(xiàn)女巫攻擊的社區(qū)行為，考慮女巫節(jié)點(diǎn)之間的交互，因此保留嫌疑特征都為1 的節(jié)點(diǎn)之間嫌疑邊的連接，重新構(gòu)建出一個(gè)由攻擊節(jié)點(diǎn)組成的攻擊網(wǎng)絡(luò)Gatt，如式(2)所示。在該攻擊網(wǎng)絡(luò)中，非孤立的連通分量可以表示本算法關(guān)注的共同嫌疑女巫節(jié)點(diǎn)。位于同一個(gè)連通分量的節(jié)點(diǎn)表示這些嫌疑節(jié)點(diǎn)構(gòu)成共同作案嫌疑，最大連通分量是其中最受關(guān)注的女巫節(jié)點(diǎn)，如式(3)所示，通過 components得到連通分量，從而得到了檢測出的女巫節(jié)點(diǎn)集合Csybil。

我們使用純凈網(wǎng)絡(luò)的連通分量作為對(duì)應(yīng)的正常節(jié)點(diǎn)的社區(qū)劃分S′。

總而言之，sybilCom 算法使用了結(jié)合節(jié)點(diǎn)嫌疑特征與拓?fù)浣Y(jié)構(gòu)的方法檢測女巫節(jié)點(diǎn)之間有交互的社區(qū)攻擊行為。該算法可以得到具有共同嫌疑的女巫節(jié)點(diǎn)以及正常節(jié)點(diǎn)的社區(qū)結(jié)構(gòu)，如算法2 所示。在實(shí)驗(yàn)部分我們會(huì)對(duì)檢測女巫節(jié)點(diǎn)的精確度以及召回率進(jìn)行驗(yàn)證。

算法2 女巫社區(qū)檢測算法sybilCom

3 實(shí)驗(yàn)結(jié)果與分析

在實(shí)驗(yàn)中使用了4 個(gè)真實(shí)網(wǎng)絡(luò)數(shù)據(jù)集，對(duì)提出的女巫社區(qū)檢測算法與以往的算法進(jìn)行對(duì)比。首先針對(duì)這些網(wǎng)絡(luò)進(jìn)行基于社區(qū)結(jié)構(gòu)的女巫攻擊MAE-COM，然后得到各檢測算法在攻擊網(wǎng)絡(luò)上的實(shí)驗(yàn)結(jié)果并進(jìn)行對(duì)比。

3.1 數(shù)據(jù)集

1）Polbook：表示書籍被共同購買的書籍網(wǎng)絡(luò)，擁有105 個(gè)節(jié)點(diǎn)和441 條邊。

2）Polblog：美國政治網(wǎng)站超鏈接構(gòu)成的網(wǎng)絡(luò)，連邊表示網(wǎng)頁之間有超鏈接，社區(qū)表示2 種政治陣營。該數(shù)據(jù)集擁有1 490 個(gè)節(jié)點(diǎn)和19 090 條邊。

3）email-Eu-core：歐洲研究組織郵件網(wǎng)絡(luò)，擁有1 005 個(gè)節(jié)點(diǎn)和25 571 條邊。

4）Cora：論文引用網(wǎng)絡(luò)，社區(qū)代表論文的分類。該數(shù)據(jù)集擁有2 708 個(gè)節(jié)點(diǎn)與5 429 條邊。

3.2 對(duì)比算法

3.2.1 基于邊相似度的社區(qū)檢測算法(community detection algorithm based on similarity,SCDA)

文獻(xiàn)[3]通過移除低相似度連邊，得到孤立的女巫節(jié)點(diǎn)，并且該算法對(duì)多種相似性進(jìn)行了探索，最終發(fā)現(xiàn)使用CN 相似性能夠取得較好的結(jié)果，因此我們在對(duì)比算法中只使用CN 相似性，其他的參數(shù)設(shè)置與原文中一致。

3.2.2 基于節(jié)點(diǎn)特征的離群檢測算法(outlier detection,OD)

文獻(xiàn)[20]包含基于單分類支持向量機(jī)的異常檢測方法。由于本文直接在攻擊網(wǎng)絡(luò)中獲取異常節(jié)點(diǎn)檢測結(jié)果，因此為每一個(gè)節(jié)點(diǎn)建立人工特征向量，由節(jié)點(diǎn)鄰居的社區(qū)標(biāo)簽頻數(shù)分布決定，例如鄰居分類數(shù)目、平均頻數(shù)、最高頻數(shù)、第二高頻數(shù)及頻數(shù)標(biāo)準(zhǔn)差，然后將人工特征向量輸入到單分類支持向量機(jī)算法中，自監(jiān)督檢測出異常節(jié)點(diǎn)。

3.3 參數(shù)設(shè)置與效果評(píng)估

在生成女巫攻擊網(wǎng)絡(luò)時(shí)，節(jié)點(diǎn)VS/VN占比為10%，初始化攻擊概率p∈[0.01,0.05]，女巫攻擊的衰減系數(shù) α1=0.25，攻擊次數(shù)n=10，pNN為原始網(wǎng)絡(luò)中的邊密度。為了使女巫節(jié)點(diǎn)形成社區(qū)，我們設(shè)置pSS=max(0.1,pNN)，τ、β參數(shù)為實(shí)驗(yàn)可調(diào)整超參數(shù)，調(diào)整參數(shù)時(shí)以評(píng)估指標(biāo)F 分?jǐn)?shù)最大為準(zhǔn)。由于生成攻擊網(wǎng)絡(luò)具有較高的隨機(jī)性，因此取女巫節(jié)點(diǎn)之間社區(qū)性較強(qiáng)的生成網(wǎng)絡(luò)。當(dāng)確定一個(gè)生成的攻擊網(wǎng)絡(luò)后，得到在各算法中得到檢測結(jié)果。

本實(shí)驗(yàn)使用sybilCom 算法得到節(jié)點(diǎn)是否是女巫節(jié)點(diǎn)的預(yù)測，使用精確度、召回率以及社區(qū)劃分的指標(biāo)作為算法效果評(píng)估的指標(biāo)。

1）精確度(Rprecision)：評(píng)估預(yù)測的攻擊節(jié)點(diǎn)中預(yù)測準(zhǔn)確的比例。

2）召回率(Rrecall)：評(píng)估真正為女巫節(jié)點(diǎn)的樣本中預(yù)測正確的比例。

3）F 分?jǐn)?shù)(Fscore)：

4）互信息：互信息可以用來衡量2 個(gè)劃分的重合度，在真實(shí)標(biāo)簽的數(shù)據(jù)集上，可以度量社區(qū)檢測算法的效果[21]。

5）模塊度：模塊度從拓?fù)浣Y(jié)構(gòu)衡量社區(qū)效應(yīng)，如果劃分的社區(qū)符合內(nèi)部連接多，外部連接少的結(jié)構(gòu)，則可以得到模塊度比較大的社區(qū)劃分[2]。

6）社區(qū)F 分?jǐn)?shù)：社區(qū)檢測的F 分?jǐn)?shù)通過計(jì)算每個(gè)實(shí)際社區(qū)與預(yù)測社區(qū)之間的Fscore，得到Fscore(ci,)，最終將所有社區(qū)的Fscore加權(quán)求和，社區(qū)F 分?jǐn)?shù)越大，說明社區(qū)劃分效果越好。

3.4 實(shí)驗(yàn)結(jié)果與分析

為了展示實(shí)驗(yàn)效果，給出了在4 個(gè)攻擊網(wǎng)絡(luò)中的女巫節(jié)點(diǎn)的檢測結(jié)果以及社區(qū)劃分結(jié)果，OD 算法無法得到社區(qū)劃分的結(jié)果，記為“—”。如表1～表3 所示。

表1 在Polbook 數(shù)據(jù)集上的女巫節(jié)點(diǎn)檢測和社區(qū)劃分結(jié)果對(duì)比

表1 給出了在Polbook 數(shù)據(jù)集上的結(jié)果，表明本文算法F 分?jǐn)?shù)都比較高，在召回率相同的情況下，檢測到的女巫節(jié)點(diǎn)精確度較高，即算法檢測到的女巫節(jié)點(diǎn)確實(shí)包含大量女巫節(jié)點(diǎn)，表明了有詐騙團(tuán)伙的存在。并且F 分?jǐn)?shù)指標(biāo)在攻擊強(qiáng)度較低時(shí)，檢測效果較好，但是不穩(wěn)定，這可能是女巫節(jié)點(diǎn)生成的連邊較少，檢測比較困難。sybilCom的社區(qū)檢測的效果在大多數(shù)情況下也優(yōu)于SCDA算法。OD 算法在攻擊強(qiáng)度較大時(shí)，檢測結(jié)果表現(xiàn)不穩(wěn)定，說明了將拓?fù)浣Y(jié)構(gòu)轉(zhuǎn)化為節(jié)點(diǎn)特征的方式不是有效的，直接從拓?fù)浣Y(jié)構(gòu)中挖掘節(jié)點(diǎn)的異常連接才是更有效的方式。

表2 給出了在Cora 數(shù)據(jù)集上的結(jié)果。本文提出的sybilCom 算法精確度比SCDA 算法高，即檢測女巫節(jié)點(diǎn)之間的交互可以更好地檢測女巫節(jié)點(diǎn)。隨著攻擊強(qiáng)度的上升，檢測女巫節(jié)點(diǎn)的F 分?jǐn)?shù)逐漸下降，這可能是由于攻擊節(jié)點(diǎn)的攻擊強(qiáng)度上升導(dǎo)致被標(biāo)記的節(jié)點(diǎn)增加。當(dāng)檢測得到女巫節(jié)點(diǎn)集合后，女巫節(jié)點(diǎn)都被包含在其中，并且還包含了正常節(jié)點(diǎn)中一些易被竊取信息的節(jié)點(diǎn)，這些節(jié)點(diǎn)被共同作為女巫節(jié)點(diǎn)。這可能是由于一些正常節(jié)點(diǎn)與女巫攻擊核心社區(qū)距離較近，從而被當(dāng)作女巫節(jié)點(diǎn)，這些節(jié)點(diǎn)也是容易被攻擊的節(jié)點(diǎn)。隨著攻擊強(qiáng)度的上升，OD 算法的檢測結(jié)果的F 分?jǐn)?shù)也逐漸下降，說明節(jié)點(diǎn)的人工特征向量無法得到異常分類的結(jié)果。使用SCDA 以及sybil-Com 算法得到的社區(qū)劃分效果都比較差，說明去除低相似度邊并沒有去除社區(qū)之間的連接，社區(qū)之間的連邊相似度可能較高，需要使用更嚴(yán)謹(jǐn)?shù)纳鐓^(qū)劃分算法，但是為我們提供的思路是將純凈網(wǎng)絡(luò)輸入到現(xiàn)有的社區(qū)檢測算法中，是否可以改進(jìn)其效果。在后續(xù)實(shí)驗(yàn)部分，在Cora 數(shù)據(jù)集上驗(yàn)證了我們的猜想。如表3 所示，在email 以及Polblog 數(shù)據(jù)集上女巫節(jié)點(diǎn)之間的交互較多，使用基于社區(qū)的女巫節(jié)點(diǎn)檢測很容易檢測出女巫節(jié)點(diǎn)生成的社區(qū)結(jié)構(gòu)，并且以較高的F 分?jǐn)?shù)召回了所有攻擊節(jié)點(diǎn)。表3 中，隨著攻擊強(qiáng)度的上升，基于社區(qū)檢測的方法效果逐漸下降，這是因?yàn)楣魪?qiáng)度較大的女巫節(jié)點(diǎn)與正常節(jié)點(diǎn)建立了較強(qiáng)的連接，從而導(dǎo)致嫌疑傳播算法標(biāo)記了這部分正常節(jié)點(diǎn)，由于這些節(jié)點(diǎn)被檢測到與女巫節(jié)點(diǎn)之間有連接，因此被作為嫌疑節(jié)點(diǎn)一起被檢測出來，這些嫌疑節(jié)點(diǎn)對(duì)我們也是有用的，例如可以告知其有被詐騙風(fēng)險(xiǎn)或者設(shè)置監(jiān)控等。使用sybilCom 算法得到的社區(qū)劃分效果與SCDA 接近，但二者都比較差，因此推測基于去除低相似度連邊的檢測算法，沒有檢測出位于社區(qū)之間的連邊，這可能是由于社區(qū)之間的連邊相似性也較高，需要使用更嚴(yán)謹(jǐn)?shù)乃惴ǐ@取社區(qū)劃分的結(jié)果。而sybilCom或者SCDA 算法檢測出的女巫節(jié)點(diǎn)之間的嫌疑邊并沒有完全包含連接社區(qū)與社區(qū)的邊，檢測出較多的單獨(dú)節(jié)點(diǎn)作為離散社區(qū)，導(dǎo)致社區(qū)劃分效果不好。由此可知，在去除女巫節(jié)點(diǎn)之間的嫌疑連邊之后，在該純凈網(wǎng)絡(luò)中使用更嚴(yán)謹(jǐn)?shù)纳鐓^(qū)發(fā)現(xiàn)算法得到最終的社區(qū)劃分結(jié)果。在其他實(shí)驗(yàn)部分，我們對(duì)此想法進(jìn)行驗(yàn)證。

表2 在Cora 數(shù)據(jù)集上的檢測與社區(qū)劃分的效果

表3 在Polblog、email-Eu-core 數(shù)據(jù)集上的檢測與社區(qū)劃分效果

3.4.1 參數(shù)分析

sybilCom 算法女巫節(jié)點(diǎn)檢測結(jié)果對(duì)于參數(shù)的變化圖如圖3～圖5 所示(email-Eu-core 數(shù)據(jù)集，p=0.03)。由圖3 可知，隨著攻擊次數(shù)n的變化，得到的檢測結(jié)果與SCDA 相比較高；隨著攻擊次數(shù)n的增加，F(xiàn) 分?jǐn)?shù)的變化幅度較小。事實(shí)上隨著攻擊次數(shù)n的增加，其攻擊力度指數(shù)衰減，從而說明基于社區(qū)的方法和SCDA 算法表現(xiàn)都比較穩(wěn)定。

圖3 sybilCom 算法F 分?jǐn)?shù)隨迭代次數(shù)的變化曲線

由圖4 和圖5 可以看出使用女巫社區(qū)檢測算法得到的社區(qū)劃分結(jié)果稍遜于SCDA 算法，互信息指標(biāo)略低，F(xiàn) 分?jǐn)?shù)接近，并且2 種算法的互信息、F 分?jǐn)?shù)都偏低。這可能是由于在我們得到嫌疑節(jié)點(diǎn)后，嫌疑節(jié)點(diǎn)間的連邊被去除了，但是對(duì)于整個(gè)網(wǎng)絡(luò)結(jié)構(gòu)來說，處于中間的網(wǎng)絡(luò)仍然是一個(gè)沒有被分割的聯(lián)通分量，而其他節(jié)點(diǎn)是離散節(jié)點(diǎn)，導(dǎo)致社區(qū)的劃分效果較差。因此設(shè)想使用社區(qū)檢測的方式，在純凈網(wǎng)絡(luò)中重新進(jìn)行社區(qū)檢測。

圖4 sybilCom 算法社區(qū)劃分NMI 隨迭代次數(shù)的變化曲線

圖5 sybilCom 算法社區(qū)劃分F 分?jǐn)?shù)隨迭代次數(shù)的變化曲線

3.4.2 其他實(shí)驗(yàn)

我們研究了去除異常節(jié)點(diǎn)之間的連接后對(duì)于社區(qū)檢測效果的影響，以Cora 數(shù)據(jù)集為例，其中Louvain 算法是直接在攻擊網(wǎng)絡(luò)中的社區(qū)劃分效果，sybilCom 算法與SCDA 都是去除異常邊之后再用Louvain 算法得到的社區(qū)檢測效果，對(duì)比結(jié)果如表4 所示?？梢钥吹奖? 中，算法sybilCom算法與SCDA 的互信息接近，但是社區(qū)F 分?jǐn)?shù)較高，這說明SCDA 算法的社區(qū)劃分得到了較多由孤立節(jié)點(diǎn)構(gòu)成的社區(qū)，相對(duì)而言本算法sybilCom的社區(qū)劃分效果更好。通過實(shí)驗(yàn)發(fā)現(xiàn)，SCDA算法得到的社區(qū)數(shù)目確實(shí)比sybilCom 算法得到的社區(qū)數(shù)目多。

表4 Cora 數(shù)據(jù)集去除異常連邊的社區(qū)劃分的對(duì)比效果

4 結(jié)論

本文的主要貢獻(xiàn)包括3 個(gè)方面:

1）提出基于社區(qū)結(jié)構(gòu)的女巫攻擊模型。

2）提出對(duì)具有共同嫌疑的女巫節(jié)點(diǎn)社區(qū)的檢測算法。

3）在不同數(shù)據(jù)集上，本文的女巫攻擊檢測算法均體現(xiàn)良好的效果，并且設(shè)計(jì)的女巫社區(qū)檢測算法框架可以使用在通過任意算法召回得到的種子節(jié)點(diǎn)中，得到的社區(qū)結(jié)構(gòu)效果較好。

在本文中，我們提出了針對(duì)女巫攻擊檢測算法sybilCom，用于解決基于社區(qū)結(jié)構(gòu)的女巫攻擊檢測的問題，女巫節(jié)點(diǎn)共同攻擊社區(qū)結(jié)構(gòu)反映了對(duì)特定群體的團(tuán)伙詐騙現(xiàn)象，在現(xiàn)實(shí)生活中有重要的意義。不同于以往的女巫攻擊檢測算法將相似度低的邊直接刪除，sybilCom 算法結(jié)合了種子女巫節(jié)點(diǎn)的嫌疑傳播，使得互相關(guān)聯(lián)的女巫節(jié)點(diǎn)最終被作為具有共同嫌疑的女巫節(jié)點(diǎn)集合被檢測出來，提升了檢測算法的效果。最終被預(yù)測為女巫節(jié)點(diǎn)的節(jié)點(diǎn)集中也包含了易受攻擊的節(jié)點(diǎn)，對(duì)于進(jìn)一步保護(hù)社交網(wǎng)絡(luò)安全有一定的作用。并且我們提出的算法可以看作是一個(gè)檢測框架，可以得到以任何種子節(jié)點(diǎn)出發(fā)的具有共同嫌疑的女巫節(jié)點(diǎn)。在多個(gè)真實(shí)數(shù)據(jù)多個(gè)攻擊參數(shù)下的實(shí)驗(yàn)結(jié)果表明，sybilCom 算法能夠得到攻擊檢測性能的提升，并且可以去除網(wǎng)絡(luò)中的異常邊與異常節(jié)點(diǎn)，有益于之后的社區(qū)發(fā)現(xiàn)任務(wù)。

由于我們在檢測到的共同嫌疑女巫節(jié)點(diǎn)集合中，可能并未包含所有的女巫節(jié)點(diǎn)，有一些女巫節(jié)點(diǎn)具有較為獨(dú)立的攻擊行為，在以后的工作中，也需要探討如何全面檢測出女巫節(jié)點(diǎn)。