[发明专利]一种面向社交网络的虚拟恶意节点及其网络识别方法

说明书

技术领域

本发明属于网络信息安全技术领域，涉及网络安全态势感知与处理技术，特别涉及一种面向社交网络的虚拟恶意节点及其网络识别方法。

背景技术

随着互联网的发展，社交网络已经成为人们在日常生活工作中进行交流的重要途径和平台。广义上的“社交网络”是指由人类社会活动构成的关系网络，而计算机科学与技术领域所提的“社交网络”是指基于互联网构建的虚拟人类关系网以及相关的网络服务支撑平台，英文全称为“Social Network Site”，本发明所涉及的“社交网络”属于后者。社交网络用户能够通过发布信息，分享资源，实时通信等形式与好友交流；著名的社交网络如Facebook(脸谱)、Twitter(推特)、新浪微博(Weibo)、腾讯微信(WeChat)等。社交网络的发展与流行使人们的社交活动趋于多元化、虚拟化和信息化，社交网络相关信息系统记录着海量用户的身份信息和活动数据，这些资料蕴含着难以估量的价值。很多组织机构已经开始分析利用这些资料，辅助决策，如中国互联网络信息中心(CNNIC)、知微(社交信息情报机构)、中科院网络安全团队(NSTeam)等。

人们在享受社交网络服务便利的同时，也面临着严重的安全威胁，而威胁制造者是社交网络中的虚拟恶意节点。此类节点是指由攻击者所控制的社交网络账号，从事多种恶意行为，主要有传播恶意代码，散布垃圾信息，进行网络欺诈、操控话题导向，干扰用户活动等。例如2011年爆发的新浪微博攻击事件，攻击者通过跨站脚本攻击手段，利用虚拟人际关系网快速传播蠕虫病毒，不到1小时至少波及三万用户。攻击者往往出于黑色利益或险恶目的，非法控制大量的虚拟恶意节点，在社交网络中建立庞大的虚假信息源，形成巨大的噪音数据场，破坏网络秩序，危害用户安全，亟待治理和防范。虚拟恶意节点识别技术是有效解决上述问题的防御手段之一，得到了业界和学术界的广泛关注，并取得了一定的研究成果。例如新浪微博的“智能反垃圾系统”能够基于账户信息，自动清除垃圾广告帐号或帐号状态异常的微博帐号；美国德州农工大学的杨超等人针对推特中的垃圾信息发送账号，提出了一种基于关联性节点评估的虚拟恶意节点检测方法，具有较高的准确率。

现有的虚拟恶意节点识别技术主要有如下几类：1)基于社交网络账户属性特征的分类识别技术，如根据微博账户的信息完整程度、关注数与粉丝数比值、发帖频率进行分析过滤；2)基于社交网络消息内容的语义分析识别技术，如根据由垃圾信息关键字组成的语义特征向量进行分析检测；3)基于社交网络用户行为模型的异常检测技术，如根据已知正常用户和虚拟恶意节点的账户属性变化和社交行为活动，构建用户行为模型，进而对未知节点进行分类。然而，社交网络中虚拟恶意节点不断演变进化，呈现伪装度高、潜伏期长、隐蔽性好、控制力强、攻击形式多样、角色分工细化等趋势，这导致现有的虚拟恶意节点识别方法适用性和准确率大幅下降，某些种类的恶意节点甚至能够完全绕过现有防御措施。现有的虚拟恶意节点识别方法有以下不足：1)难以识别高伪装的虚拟恶意节点；2)识别精度较好的算法计算复杂度高，检测结果时效性差，例如基于语义分析的检测方法难以在大规模实时数据系统中应用。

发明内容

针对现有社交网络中虚拟恶意节点识别方法检测种类有限，难以发现高伪装、协同类虚拟恶意节点的问题，本发明基于节点信任度模型和行为习惯模型，公开了一种面向社交网络的虚拟恶意节点及其网络识别方法及系统。本发明主要包括以下几个方面：

(1)能够识别社交网络中高伪装的虚拟恶意节点。本发明的方法提出了节点信任度模型，并且把社交网络账号难以伪造的属性作为识别特征，解决了针对克隆伪装、感染受控等社交网络节点的检测问题；

(2)能够识别社交网络中协同类的虚拟恶意节点网络。本发明的方法提出了社交网络账户的行为习惯模型，基于单位时间内节点行为的异常程度和异常相似性，检测协同类的虚拟恶意节点，并挖掘相似恶意节点间的关系网；

(3)能够达到针对大数据检测的准实时性要求。本发明的方法遴选了区分度好的分类特征，并且融合了两种高效的模式识别算法，取长补短，能够满足社交网络虚拟恶意节点检测系统的识别率和实时性需求。

本发明的技术方案为：

一种面向社交网络的虚拟恶意节点识别方法，其步骤为：

1)从目标社交网络中获取未识别账户行为数据和通信数据；