2. 团伙识别基础：什么是团伙识别、常见团伙模式（如刷单、薅羊毛）、特征工程概述

2.1 什么是团伙识别

团伙识别（Collusion Group Detection）是风控与反欺诈领域的关键技术，其目标是从海量用户行为数据中，发现那些有组织、有目的、协同行动的异常群体。与单点欺诈（如单个账号盗刷）不同，团伙欺诈利用多个账号、设备、IP 甚至真实身份，通过分工协作绕过单维度规则，给平台造成巨大损失。

团伙识别在实时计算场景中面临三大挑战：

• 数据稀疏性：单个成员行为可能完全正常，只有聚合分析才能暴露异常。
• 时效性要求：刷单、薅羊毛等行为通常在活动开始后几分钟内爆发，需秒级识别。
• 对抗性演化：团伙不断变换 IP、设备、账号组合，规则需动态更新。

2.2 常见团伙模式

不同业务场景下，团伙欺诈的表现形式差异显著。下表总结了四种典型模式及其行为特征：

2.3 团伙识别特征工程概述

特征工程是团伙识别的核心环节，其质量直接决定模型效果。团伙识别特征通常分为三类：

1. 个体行为特征：单用户维度的统计量，如下单频率、登录次数、支付成功率。
2. 群体关联特征：用户之间的共享资源（设备、IP、手机号、银行卡）数量与密度。
3. 时序演化特征：行为在时间轴上的聚集程度，如相邻操作间隔、活跃时段分布。

下表列出团伙识别中常用的特征维度及其计算方式：

2.4 团伙识别流程架构

下图展示了一个典型的团伙识别实时处理流程，从数据接入到特征计算再到模型判定：

2.5 特征工程在回放验证中的关键作用

在《团伙识别回放验证》课程中，特征工程是连接历史数据与实时模型的桥梁。回放验证的核心逻辑是：

• 将历史行为日志按时间顺序重新注入 Kafka 主题。
• Spark Streaming 消费这些消息，在与历史时间对齐的状态下计算特征。
• 对比模型输出与历史真实标签，评估特征有效性。

以下是一个简单的特征计算代码示例（基于 Spark Structured Streaming）：

// 滑动窗口内统计每个用户的订单量
Dataset<Row> windowedOrders = events
    .withWatermark("eventTime", "10 minutes")
    .groupBy(
        functions.window(col("eventTime"), "5 minutes", "1 minute"),
        col("userId")
    )
    .agg(
        count("orderId").as("orderCount"),
        countDistinct("deviceId").as("deviceCount")
    );

// 关联设备共享特征（需外部状态）
Dataset<Row> enriched = windowedOrders
    .join(deviceShareMapping, "deviceId")
    .select(
        col("userId"),
        col("orderCount"),
        col("deviceCount"),
        col("sharedUserCount")
    );