面向可解释账户劫持检测的多轴信任建模

本文提出了受哈迪德学术中经典问题——评估信息来源可信度——的启发，构建了一个多轴信任建模框架。该框架使用可解释的、多维度的准则来评估信息来源的可信度，而非单一异常得分。我们将五个信任轴——长期诚信（adalah）、行为精确性（dabt）、情境连续性（isnad）、累积声誉和异常证据——翻译为 26 个语义意义明确的行为特征的紧凑集合。此外，我们引入了轻量级时序特征，捕捉这些信任信号在连续活动窗口中的短期变化。我们在 CLUE-LDS 云活动数据集上评估了该框架，其中包含注入的账户劫持情景。在 23,094 个滑动窗口上，基于信任特征训练的随机森林模型实现了近乎完美的检测性能，显著优于基于原始事件计数、最小统计基线和无监督异常检测的模型。时序特征在 CLUE-LDS 上提供了有限但持续的提升，确认其与静态信任表示的兼容性。为评估在更具挑战性条件下的鲁健性，我们进一步在 CERT Insider Threat Test Dataset r6.2 上进行了评估。该数据集呈现极端类别不平衡和稀疏恶意行为。对于 500 用户的 CERT 子集，时序特征将 ROC-AUC 从 0.776 提升至 0.844。在 4,000 用户的泄漏控制配置中，时序建模相对于仅使用静态信任特征的模型显著且持续地提高（ROC-AUC 从 0.627 提升至 0.715；PR-AUC 从 0.072 提升至 0.264）。