28、SMS-Watchdog：基于短信用户社交行为分析的异常检测方案

SMS-Watchdog：基于短信用户社交行为分析的异常检测方案

1. 短信用户社交行为分析

不同短信用户在消息块之间的相似度水平可能不同，但同一用户不同消息块之间的相似度通常变化不大。以短信接收情况为例，若前五个接收者在一个窗口内分别收到 5、4、3、2 和 1 条短信，其归一化概率分别为 1/3、4/15、1/5、2/15 和 1/15。对于前五个接收者的分布，JS 散度总是不高于 1，且 COV > 1 的短信用户比例与接收者相似度指标呈现相似模式，虽高于考虑所有接收者的情况，但数值仍然很小。

2. 威胁模型

存在两类与短信相关的攻击：
- 融合攻击（Blending Attacks） ：指短信用户账户被用于为他人发送消息，具体有三种情况：
- 用户手机被植入木马，可被远程控制为他人发送消息。
- 欺诈者在短信欺骗攻击中，操纵消息中的地址信息，在外部网络中伪造合法短信用户身份。
- 若使用短信代理，攻击者可入侵前端的短信用户账户并用于发送消息。
- 广播攻击（Broadcast Attacks） ：类似于移动恶意软件的行为，向正常消息中的接收者发送钓鱼或垃圾短信，发送这些消息的移动设备已被恶意软件感染。

3. SMS - Watchdog 工作流程

SMS - Watchdog 部署在短信中心（SMSC），处理特定蜂窝网络的所有短信流量，其工作流程包含三个步骤：

graph LR
    A[监测] -->