📚 课程目录第2章反欺诈基础概念

2. 反欺诈基础概念：欺诈模式分类、特征工程与行为序列

在构建基于 Kafka 回放链路的图算法反欺诈系统之前，必须建立对欺诈模式的清晰认知。本章从欺诈模式分类、特征工程方法论以及行为序列建模三个维度，为后续图算法设计奠定基础。

2.1 欺诈模式分类

欺诈行为在业务层面呈现高度结构化特征，可归纳为三种核心模式。理解这些模式有助于设计针对性的图算法检测策略。

欺诈模式	核心特征	典型场景	图算法切入点
账户盗用	登录设备突变、IP 地理跳跃、操作时间异常	撞库登录、密码修改、异常转账	设备-账户二部图异常连接检测
薅羊毛	同一设备/IP 关联多个账户、注册时间集中、小额高频	新客红包、拉新奖励、优惠券套现	社区发现算法识别聚集子图
团伙欺诈	多节点协同、资金闭环、信息共享（手机号/地址）	虚假交易、贷款骗贷、保险欺诈	图嵌入 + 异常子图匹配

  关键认知： 三种模式并非互斥。例如，团伙欺诈中常包含薅羊毛行为，而账户盗用可能是团伙攻击的前置步骤。图算法的优势在于能够跨模式捕获关联风险。

2.2 特征工程：从原始数据到图特征

特征工程是反欺诈模型的基石。在 Kafka 回放链路中，特征需要具备时序可回溯性和图结构可计算性。以下按特征层级分类：

基础统计特征： 单实体（账户/设备）的频次、均值、标准差、最近一次操作时间。例如：过去 1 小时内登录失败次数。
行为序列特征： 操作顺序、时间间隔、转移概率。例如：从“登录”到“修改密码”到“转账”的路径长度。
图结构特征： 节点度数、PageRank、社区归属度、局部聚类系数。例如：某账户关联的设备数量（度数中心性）。
时序图特征： 随时间演化的图属性变化率。例如：某节点在 5 分钟内的邻居数量增长率。

工程建议： 在 Kafka 回放链路中，特征计算应尽量采用增量更新策略。例如，使用 Flink 维护滑动窗口内的图结构特征，避免全量重算。

2.3 行为序列建模

行为序列是连接原始日志与图结构的桥梁。将用户操作转化为有序事件序列，可以揭示隐藏的欺诈模式。常见建模方法包括：

事件序列化： 将原始日志（如点击、滑动、输入）映射为标准化事件类型（E1, E2, E3...）。
序列编码： 使用固定长度滑动窗口或基于时间的分段，将序列转化为向量。
图结构映射： 将序列中的实体（账户、设备、IP）作为节点，序列共现关系作为边，构建动态图。

以下是一个简化的行为序列到图结构的映射示例：

原始日志序列（按时间排序）：
  t1: 账户A 从 设备X 登录
  t2: 账户A 修改密码
  t3: 账户A 从 设备Y 登录
  t4: 账户A 向 账户B 转账 5000 元

序列编码（事件类型 + 实体）：
  [LOGIN(A,X), MODIFY_PWD(A), LOGIN(A,Y), TRANSFER(A,B,5000)]

图结构映射（节点 + 边）：
  节点: A, X, Y, B
  边: A-X (登录), A-Y (登录), A-B (转账)
  时序边权重: 基于时间间隔衰减

注意： 行为序列的粒度直接影响图算法的效果。过粗的序列（如仅保留“交易”事件）会丢失上下文；过细的序列（如记录每次鼠标移动）会导致图规模爆炸。建议根据业务风险敏感度选择事件粒度。

2.4 欺诈模式与图结构对应关系

下图展示了三种欺诈模式在图结构中的典型表现，帮助理解后续图算法的设计目标。

2.5 特征工程与行为序列的融合策略

在 Kafka 回放链路中，特征工程与行为序列需要协同工作。以下表格总结了不同欺诈模式下的推荐特征组合：

欺诈模式	基础统计特征	行为序列特征	图结构特征
账户盗用	登录失败次数、IP 变更频率	登录→修改密码→转账序列长度	设备度数、IP 共享度
薅羊毛	注册时间集中度、设备关联账户数	注册→领券→下单时间间隔	社区密度、节点聚类系数
团伙欺诈	交易金额标准差、资金流入流出比	交易链长度、循环交易检测	PageRank、Betweenness Centrality

实践要点： 在 Kafka 回放链路中，建议将特征计算分为两个阶段：
1. 在线阶段： 使用 Flink 或 Kafka Streams 计算滑动窗口内的基础统计特征和简单图特征。
2. 离线阶段： 使用 Spark GraphX 或 Neo4j 计算全局图结构特征，定期更新到在线特征库。