欺诈图谱基础：图谱定义、节点与边、常见欺诈模式
欺诈图谱（Fraud Graph）是一种基于图结构的知识表示方法，用于描述欺诈行为中涉及的实体及其复杂关联关系。与传统的规则引擎或表格数据不同，图谱能够天然表达“谁通过什么设备做了什么操作”这类多跳关联，是团伙欺诈检测的核心技术基础。
2.1 图谱定义与核心概念
欺诈图谱本质上是一个有向属性图（Directed Attributed Graph），记为 G = (V, E, A)，其中：
- V（节点集）：表示实体，如用户、手机号、设备ID、IP地址、银行卡号、订单号等。
- E（边集）：表示实体之间的关系，如登录、交易、绑定、同WiFi、同收货地址等。
- A（属性集）：节点和边携带的特征，如注册时间、交易金额、设备型号、IP地理位置等。
关键认知： 欺诈图谱不是静态快照，而是随时间演化的动态图。每次用户行为（如登录、支付）都会在图上新增节点或边，并更新属性。阈值自动巡检正是针对这些动态变化进行实时或准实时的异常检测。
2.2 节点与边的分类体系
在实际反欺诈系统中，节点和边需要按业务语义进行标准化分类，以便后续构建统一的巡检规则。下表列出了最常见的节点类型和边类型：
| 类别 | 节点类型 | 典型属性 | 边类型 | 边含义 |
|---|---|---|---|---|
| 身份 | 用户账号 | 注册时间、实名等级、历史订单数 | 登录 | 用户登录某设备 |
| 手机号 | 运营商、归属地、入网时长 | 绑定 | 用户绑定手机号 | |
| 身份证号 | 年龄、性别、签发机关 | 实名 | 用户完成实名认证 | |
| 设备 | 设备指纹 | 设备型号、操作系统、屏幕分辨率 | 同WiFi | 两台设备连接同一WiFi |
| IP地址 | 地理位置、ASN、代理类型 | 同IP | 多设备共用同一IP | |
| 交易 | 订单 | 金额、商品类目、支付方式 | 支付 | 订单完成支付 |
| 银行卡 | 发卡行、卡类型、卡BIN | 收款 | 订单资金流向银行卡 |
巡检关注点： 阈值自动巡检的核心是对“边”的频次和“节点”的聚集度进行监控。例如：一个设备关联的用户数超过阈值，或一个IP在短时间内产生的订单数异常升高，都是典型的巡检指标。
2.3 常见欺诈模式
基于图谱结构，欺诈行为可以归纳为几种典型的子图模式。理解这些模式是设计巡检阈值的前提。
2.3.1 团伙欺诈（Community Fraud）
团伙欺诈是最常见的图谱欺诈模式。多个欺诈账号通过共享设备、IP、手机号等资源形成密集连接的子图。这类子图通常具有以下特征：
- 高密度：团伙内部节点之间的边数远高于团伙与外部节点的边数。
- 星型或全连接结构：一个核心设备或手机号连接大量账号。
- 行为同步：团伙成员在相近时间执行相似操作（如批量注册、批量下单）。
下图展示了一个典型的团伙欺诈子图结构：
2.3.2 设备关联（Device Association）
设备关联是团伙欺诈的微观基础。单个设备被多个账号使用，或者多个设备共享同一IP/手机号，都会在图上形成“星型”或“链式”结构。设备关联的异常程度通常用以下指标衡量：
| 指标名称 | 定义 | 典型阈值 | 风险含义 |
|---|---|---|---|
| 设备用户比 | 单设备关联的独立用户数 | > 3 | 设备被共享，可能为猫池或模拟器 |
| IP用户比 | 单IP关联的独立用户数 | > 10 | IP为代理或机房出口 |
| 手机号用户比 | 单手机号绑定的用户数 | > 2 | 手机号为接码平台临时号 |
| 设备订单频次 | 单设备在1小时内的订单数 | > 5 | 批量下单行为 |
下图展示了设备关联的两种典型拓扑：
2.4 图谱构建与巡检的衔接
在自动化巡检实践中，图谱构建完成后需要立即进入阈值监控阶段。以下是图谱构建到巡检的典型流程：
- 数据接入：从业务日志、埋点数据、交易流水等源提取实体和关系。
- 图构建：使用图数据库（如Neo4j、JanusGraph）或内存图（如NetworkX）构建图谱。
- 指标计算：对每个节点和边计算聚合指标（度数、频次、时间窗口统计）。
- 阈值匹配：将指标与预设阈值比较，触发告警或阻断。
- 图谱更新：新数据到达后增量更新图谱，重复步骤3-4。
常见陷阱： 阈值设置不能一刀切。不同业务场景（如注册、登录、支付）的图谱密度差异很大。例如，支付环节的设备用户比阈值可以放宽到5，而注册环节应严格到2。自动巡检系统需要支持按场景、按节点类型、按时间窗口动态调整阈值。