1.简介
根据联邦调查局2021年关于网络犯罪的报告[1]与2020年（114702起）相比，2021年向IC3（互联网犯罪投诉中心）报告的钓鱼攻击数量（241342起）翻了一番，几乎是2019年（26379起）的十倍。这些数据清楚地表明了网络钓鱼攻击的流行程度[2,三]以及政府、银行和军事部门对网络钓鱼对策的需求是如何增长的。尽管许多公司和政府组织员工进行网络安全培训，但随着欺诈者攻击变得更聪明、更有针对性，账户仍在被黑客攻击[4,5]. 幸运的是，即使用户的登录名和密码是自愿提供给欺诈者的，仍然有许多方法可以保护帐户不被劫持；其中之一是行为生物识别。 智能手机传感器（例如，加速度计、磁强计、陀螺仪）在移动应用程序方面有很多应用程序，从娱乐（手机游戏）到监控用户行为（计步器、睡眠监测等）。最近，智能手机传感器在更先进的系统中得到了应用，如健康监测[6]或网络安全。随着多媒体和移动资源使用量的日益增加[7]行为生物计量学及其对网络安全的影响这一主题最近出现在许多涉及桌面和计算机的研究论文中[8]和手机[9]设备使用情况。 最新研究[10,11]已经表明，行为生物特征的使用已经成为MFA（多因素身份验证）越来越流行的一部分[12]. 在过去几年中，机密数据处理机构在实施身份盗窃对策时，更容易触及用户的行为模式（例如键盘敲击、鼠标移动或移动设备处理），因为这类数据不需要任何对用户体验有害的额外用户参与[13]. 此外，行为生物特征模型对欺诈者表现出很高的抵抗力，因为欺诈者的行为与用户的行为有很大不同；因此，用户帐户上的可疑活动（例如，大量转账）与不寻常的键盘或智能手机读数相结合可能表明存在攻击[14,15]. 尽管个人用户行为生物特征模型是防止帐户劫持的有力武器，但它仍然容易受到二手设备提供的低质量数据的影响。交换手机或损坏某些传感器可能会降低欺诈检测的质量。为了保持行为生物计量认证服务的高质量，必须实施预防规则。本文比较了基于聚合加速度计和陀螺仪读数的示例性行为模型如何处理不完整的匿名用户数据。应用质量下降对策的第一阶段是将某些用户的行为数据读数标记为“低质量”，以防止数据损坏，从而将模型的分类精度降低到既定阈值以下。接下来的阶段将更加复杂，例如，提供抗传感器损坏的用户模型或应用额外的安全模式管道。
最近发表的关于行为生物特征的论文表明了人们对数据的实验态度，并介绍了一些没有涵盖现实生活中的困难的结果。以下分析提供了一个针对一家领先国家银行的行为认证的实际行业案例研究。本文涵盖了所有数据处理管道问题和某些用户数据的质量和数量问题，以及在使用多个设备和操作系统版本时遇到的困难。
在手稿的开头，介绍了数据集；然后，介绍了行为模型的数学背景（输入向量、结构、超参数等）。最后，对模型的输入向量进行人为干扰，并对其质量进行检查，以验证所提出的解决方案是否容易受到某些类型的数据缺失的影响。
作者强烈推荐熟悉的相关论文有[16]其中，研究人员提出了一项基于与设备交互的智能手机用户分类连续认证系统的建议，以及[17]提供BehavePassDB，这是一个用于移动行为生物特征解决方案基准测试的公共数据库。该数据库可用作沙箱，在输入更多数据之前测试新功能和分类算法。当考虑到用户体验时，行为生物测量在移动设备中的使用为零价格提供了可靠的安全性，许多研究人员强调保持最高质量用户体验的重要性[18]. 正是客户自己（行为生物测量网络安全解决方案涵盖的银行和其他机构）坚持让系统保持用户友好。此外，随着全球新冠肺炎疫情及其影响导致数字资源使用的严重变化，在其他安全系统出现故障的领域，行为生物学已被证明是一种高质量的网络攻击对策[19]. 2.材料和方法
本研究使用的数据是从Android操作系统上运行银行应用程序的智能手机设备的加速度计和陀螺仪传感器获取的[20]来自一家领先国家银行的用户。从使用银行应用程序开始到结束收集传感器读数。在这种情况下，数据被发送到上游节点并进行实时评估。只要在会话的任何阶段检测到欺诈行为，就会向移动应用程序提供商（通常是银行的安全部门）发送警报信号。报警系统不会从历史行为配置文件中提取任何其他元数据。未存储或分析有关年龄、性别、银行历史记录、设备类型、操作系统或其他数据的信息。以下框图显示了如何组织客户端和所提供的安全系统之间的信息交换(图1): 2.1. 数据集结构
用户执行某个数字名为会话的连接数（1） 通过银行应用程序与服务器连接。每个用户会话持续的时间秒，由特征向量组成，其计数是由(2). 每个用户的特征向量在整个人口中由一个固定的数字组成(=6）个特征(3). 用于分析的特征向量按以下方式形成：加速计x个轴线；加速计年轴线；加速计z轴线；陀螺仪x个轴线；陀螺仪年轴线；陀螺仪z轴。 为了应用用户分类，传感器从单个会话读取数据按列聚合到窗口中间隔的=20秒（4）。窗口向量的每个元素W公司表示存储特定间隔中所有特征向量的单个窗口。采样频率不统一，并且根据用户的设备和数据管道处理问题（例如，数据包丢失）而变化。聚合负责将数据转换为较小的块，并使其免受采样频率敏感的影响。指示会话开始时间和指示自以下日期起经过的时间直到创建特征向量(5). 单个窗口中所有特征向量的数量表示为(6). 以下公式（7）–（9）显示了聚合特征向量创建时间： 聚合特征向量的总长度等于原始特征向量的长度乘以所有聚合方法的数量（8）-标准偏差、算术平均值、振幅和中位数，其表示为骨料的计算公式如下（10）所示： 2.2. 数据准备
为了确保可靠的培训和测试数据集，只有那些具有特定数量以上独特会话的用户()，并考虑了可以为其建立模型的模型（未损坏的数据）。每个可行的会话都必须持续一段固定的时间或更长时间(>=100 s）以确保至少=5扇窗户持续时间每个窗口生成一个子分数；进一步的子分数处理导致分数生成。下面的流程图显示了上述用户选择规则(图2): 在总共264个用户中，只有127个满足了要求（118个用户未满足数据量需求，19个用户未通过培训，导致生成了低质量模型）。示例性骨料W公司中显示了4个随机用户的传感器读数图3. 每个会话包含至少5个子分数，从0到1不等（表示来自分类器输出的相似性度量），以表明行为是用户喜欢的。为了正确评估课程，将M个子分数的最终得分作为其平均值进行计算（11）。只要最终分数超过用户定义的阈值（根据银行的某些业务要求进行评估），该会话就被视为欺诈（12）。 为了提供深入的数据洞察力，功能的重要性[21,22,23]对24个骨料进行了计算。使用XGBoost（eXtreme Gradient Boosting）分类算法估计特征重要性，并对其超参数进行启发式优化。[24]. 下面的箱线图(图4)显示了按平均重要性递减排序的特征重要性分布。 通过分析图2，我们可以注意到加速度计数据与平均值之间的关系，而陀螺仪提供了与标准偏差之间的最佳诊断值（较高的平均值和中值特征重要性）。这是由这些传感器提供的数据的性质造成的；根据传感器类型和聚合方法，可以看到特定的用户可区分性图5（加速计）和图6（陀螺仪）。为了提供更清晰的可视化效果，突出显示了4个随机选择的用户。 2.3. XGBoost培训
为了训练模型，用户的数据（子会话）被标记为授权会话，而考虑到其余126个用户的数据被标记为欺诈会话。随后，数据集被传递给XGBoost分类器——基于决策树的boosting估计器[25,26,27,28,29,30]其中，树被扩展为一个森林，其中每个估计器都是基于先前分类的残值。为了达到最佳模型，XGBoost的超参数针对整个人群进行了调整[31]. 用于达到最佳模型质量的方法如中的流程图所示图7该方法使用特定的超参数集训练存储在队列中的用户。在对所有用户进行训练后，计算其平均模型质量，并将其视为适应度。该过程使用不同的超参数集（来自进化算法）重复了固定次数。最佳超参数集不变，作为目标集处理。 使用进化算法优化分类器超参数，其结果显示在表1（未列出的参数设置为默认值）。进化算法从从均匀分布中随机选取6个超参数的10个随机值的种群开始，上下边界分别表示为“min”和“max”表1)并执行了10步向量交叉（选择两个不同超参数字典中的2个相等子部分并将其组合）和一个单值变异（从指定域中随机重新选择特定参数的值），每个步骤只留下顶级超参数值集。其适应度函数与分类器的目标函数相同，用公式（13）表示。在整个群体中提供最佳模型质量的向量被保留下来供进一步考虑。典型的基因型划分和突变见图8. 模型验证数据集由总数据的30%组成。为了重现真实的模型使用情况，以及防止数据泄漏，只对最近的读数进行评估。用于模型训练的目标函数由公式（13）表示，其中TP表示“真阳性”预测，TN表示“真阴性”，FP表示“假阳性”，FN表示“假阴性”： 为了说明未损坏传感器的模型质量是什么样子的，让我们检查一下图9，根据目标函数和接收器工作特性曲线下面积（ROC-AUC）显示整个人群的模型质量分布。目标函数和接收器操作特性的值越高，模型质量越好。对模型造成的任何损坏（例如，将丢失值的数据应用于训练）都将导致这两个指标的衰减。 3.结果
通过将某些轴数据替换为零值来运行实验，以调查传感器损坏对行为生物特征模型质量的有害影响。进行这种分析的想法来源于了解模型输出是否仍然有效的必要性，这意味着行为生物测量提供的认证是可信的。对于较小的损坏（例如，一个陀螺仪轴），模型仍然可以提供有价值的信息，而删除来自所有轴的数据可能会导致模型变得完全无用。为了找到这些边界，我们考虑了两种最常见的数据收集故障：损坏传感器一个轴的数据和损坏传感器所有轴的数据。表2提供了有关平均模型质量如何因某些向量值的归零而衰减的信息。 该表明确证明，即使缺少一个轴也可能严重损害预测的质量。值得注意的是，由于数据变化，真实的负利率大幅下降，而真实的正利率几乎保持不变。这种行为会导致模型产生更多的假阳性输出，从而导致系统中出现大量虚假欺诈警报（不过，在大多数情况下，正确的用户检测是相同的）。中显示的直方图图10（灵敏度）和图11（特异性）清楚地表明了这种关系-特异性越高，模型将欺诈者归类为用户的可能性越小，敏感性越高，用户检测越可靠。 4.讨论
本文研究了用于行为生物测量的移动传感器数据的常见问题。为了正确处理错误数据（在检测特定轴上的零值时），有必要了解特定轴损坏的模型质量下降。分析结果表明，当某些传感器轴数据丢失时，用于用户身份验证的向量可能会导致模型精度大幅下降。值得注意的是，从特征重要性图和损伤影响表中得出的结论是，用户识别的最有害因素是加速度计读数的丢失（尤其是z轴-34 p.p.与原始目标函数进行比较）。这种损坏导致ROC-AUC下降与失去所有陀螺仪读数相同（ROC-AUC下降0.15）。这是由于加速度计zaxis提供用户识别数据，它非常负责指示用户持有智能手机或平板电脑的位置，以及他/她的握力如何随时间变化。另一方面，当涉及到陀螺仪时zaxis，此参数保存的用户识别数据量最低（目标函数仅下降了9 p.p.）。这可能是因为在这个轴上不存在实质性的角运动，或者因为所有的运动在整个人群中都是可重复的。
5.结论
真负比率是受影响最大的指标，这意味着该模型正确区分用户与其他人群的能力将无法很好地发挥作用，该模型将用户会话归类为欺诈会话。这种行为会引发虚假警报，严重恶化安全系统。为了防止这种情况，我们可以通过增加特异性来改变分类阈值水平，但要牺牲敏感性；然而，这种方法不会提高总体模型的准确性。这些轻微的特异性下降应通过增加分类阈值的预定义因子来补偿（这将导致目标函数的增加），而较高的下降应引起一个标志，表明评估分数无效。处理低质量模型的另一种方法是降低它们在身份验证系统中的权重。通常，通过行为生物计量学的授权使用几个模型来衡量几种类型的活动——如果我们可以评估某个模型对某些数据的质量，我们可以降低该模型在生成最终分数时所提供的贡献。另一种避免质量下降的方法是使用不同的分类器，这些分类器不太容易受到数据损坏，或者使用数据预处理方法使模型免受数据损坏。我们也可以考虑修改分类管线，即使在特定轴上只有零值，我们可以决定是评估会话还是跳过评估（例如，只有在引入特定轴损伤后，灵敏度没有下降到70%以下，特异性没有下降到60%以下时，才能运行身份验证过程）。额外的会话评估块将采用模型统计数据以及数据结构，并评估预测可靠性(图12). 值得注意的是，对模型质量下降的进一步检查可以用于估计许多与设备/用户相关的问题，例如，识别设备损坏。如果用户没有显示任何分类问题的症状，并且在一段时间后生成大量错误警报，我们可能会得出结论，传感器不再正常工作，或者存在不同的问题（例如，用户疾病或恶意软件攻击）。然而，这些假设需要进一步研究。
未来的工作将主要集中在建设高质量受损传感器处理管道上。在发生数据损坏的情况下，我们必须能够快速评估传入信息的质量，并找到检测会话劫持的有效方法，即使由于数据收集错误而丢失了最有价值的信息。
需要采取的其他研究方向应侧重于使系统免受错误数据的影响，以及通过引入新型抗噪分类器和数据处理器来提高系统的整体质量。还应该记住的是，不同的设备（键盘或鼠标）和不同的功能可能不会对分析结果做出类似的反应。应单独检查因数据丢失而导致的质量下降，并向其介绍的对策可能与针对移动设备实施的对策不同。
