识别 Tor 使用异常及其在检测互联网审查中的应用

我们开发了一种检测 Tor 匿名通信网络每日使用指标中持续存在的逐国家异常的方法，并展示了该技术在识别可能的互联网审查时段及相关事件中的适用性。所提出的方法识别连续的异常时段，而非每日的尖峰或骤降，并允许根据与预期行为的偏差对异常进行排序。所开发的方法已实现为一个运行中的工具，其输出通过邮件列表每日发布。该列表突出显示逐国家的异常 Tor 使用情况，并根据检测到的异常行为水平生成每日国家排名。该列表自 2016 年 8 月起活跃，并被许多个人、学者和非政府组织用作潜在审查事件的预警系统。我们聚焦于 Tor，然而所提出的方法更普遍地适用于其他服务的使用数据，无论是单独使用还是组合使用。我们证明，组合多个数据源可以更具体地识别可能的 Tor 封锁事件。我们通过与现有异常检测工具、已知的历史互联网审查事件以及合成数据集进行比较，展示了我们的方法。最后，我们详细介绍了由我们的工具识别出的一些近期显著的异常事件和行为。