4、反欺诈基础概念：欺诈模式分类、特征工程与行为序列、实时与离线反欺诈的区别

在构建基于 Kafka 回放链路的反欺诈图模型之前，必须首先理解反欺诈领域的基础概念。本章将系统梳理三大核心欺诈模式、特征工程与行为序列的构建方法，以及实时与离线反欺诈的技术差异，为后续图模型的训练与部署奠定理论基础。

4.1 欺诈模式分类

欺诈行为在金融、电商、社交等领域呈现出高度组织化与隐蔽化的特征。根据攻击目标与行为逻辑，主要分为以下三类：

4.2 特征工程与行为序列

反欺诈特征工程的核心是将原始事件日志转化为可量化的数值或结构。行为序列则是将用户或设备在一段时间内的操作按时间顺序排列，形成序列化特征。

4.2.1 特征工程分类

• 统计特征： 如登录次数、交易金额均值、设备切换频率等。
• 时序特征： 如操作间隔标准差、夜间操作占比、事件熵值等。
• 图特征： 如节点度数、聚类系数、PageRank 值、社区归属等。
• 行为序列特征： 如操作路径的 n-gram 频率、序列相似度、子序列模式等。

4.2.2 行为序列构建示例

以下是一个基于 Kafka 事件日志构建行为序列的伪代码示例：

# 从 Kafka 消费用户事件日志
events = kafka_consume("user_behavior_topic", window_size=3600)

# 按 user_id 分组并按时间排序
sequence = {}
for event in events:
    uid = event["user_id"]
    action = event["action_type"]  # 如 "login", "click", "transfer"
    timestamp = event["timestamp"]
    sequence.setdefault(uid, []).append((timestamp, action))

# 排序并生成行为序列字符串
for uid in sequence:
    sequence[uid].sort(key=lambda x: x[0])
    seq_str = "->".join([act for _, act in sequence[uid]])
    # 输出: "login->click->transfer->logout"
    print(f"{uid}: {seq_str}")

4.3 实时与离线反欺诈的区别

实时反欺诈与离线反欺诈在延迟要求、计算资源、模型复杂度等方面存在显著差异。下表总结了二者的核心区别：

4.4 欺诈模式与检测策略的对应关系

下图展示了三种欺诈模式与实时/离线检测策略的对应关系，以及 Kafka 回放链路在其中扮演的角色：

4.5 行为序列与图模型的融合

在反欺诈图模型中，行为序列不仅作为特征输入，还用于构建动态图结构。下图展示了行为序列如何转化为图模型的节点与边：