💳 Детектор Шахрайства з Транзакціями — Оцінка Аномалій у Реальному Часі

Ізоляційний ліс — це ансамбль випадкових бінарних дерев, які ізолюють точки даних, повторюваним вибором випадкової ознаки й випадкового значення поділу між спостереженими мінімумом і максимумом цієї ознаки, а потім рекурсією на отриманих поділах. Аномалії, майже за визначенням, нечисленні та відмінні: вони перебувають у рідко населених регіонах простору ознак, тож випадковий поділ набагато ймовірніше відокремить їх від решти даних лише за кілька розрізів. Нормальні, щільно згруповані точки потребують набагато більше випадкових розрізів, перш ніж опиняться самотніми у власному поділі. Ця симуляція будує справжній ансамбль таких дерев над нещодавніми синтетичними картковими транзакціями й використовує середню кількість розрізів, потрібну для ізоляції кожної нової транзакції, як її бал аномалії, точно так, як оригінальний алгоритм ізоляційного лісу Лю, Тінга і Чжоу 2008 року.

Для кожного дерева довжина шляху h(x) — це кількість ребер, пройдених від кореня до листка, що ізолює x. Оскільки дерева зупиняються рано, щойно поділ містить дуже мало точок, до кожного листка додається корекція середньої довжини шляху c(n) — виведена з очікуваної глибини невдалого пошуку в бінарному дереві пошуку з n елементів — щоб врахувати точки, які не були повністю ізольовані до розміру один. Фінальний бал s(x) = 2^(−E[h(x)] / c(n)), де E[h(x)] — середня довжина шляху для x по всіх деревах лісу. Бали наближаються до 1 для точок, ізольованих незвично швидко (короткий середній шлях → аномалія), наближаються до 0,5 для точок із приблизно середньою довжиною шляху, і падають до 0 для точок, що потребують незвично довгих шляхів для ізоляції (дуже нормальні, глибоко вбудовані точки).

Кожна синтетична транзакція несе чотири числові ознаки: суму покупки в логарифмічному масштабі, годину доби, коли вона відбулася, числовий код категорії продавця та показник швидкості, що наближено оцінює, скільки транзакцій та сама картка зробила в недавньому минулому. Реальні системи карткового шахрайства використовують від десятків до сотень сконструйованих ознак (стрибки геолокації, відбитки пристроїв, рівні ризику продавців, відхилення патернів витрат), але цих чотирьох достатньо, щоб продемонструвати справжню багатовимірну ізоляцію: транзакція може бути ідеально звичайною за будь-якою окремою ознакою і все одно швидко ізолюватися, щойно випадкові поділи поєднують кілька вимірів.

Сам ліс поділяється за всіма чотирма ознаками випадково, точно як вимагає ізоляційний ліс, але діаграму поділу можна намалювати лише в двох вимірах одночасно, тож візуалізація проєктує одне репрезентативне дерево на площину сума/швидкість. Поділи, зроблені за ознаками години доби чи категорії продавця, все ще відбуваються всередині цього дерева — вони просто не малюють видиму лінію в цій 2D проєкції, бо не перетинають дві показані осі. Проте розсіювання нещодавніх транзакцій та їхні кольорово-кодовані бали аномалії відображають повне оцінювання за чотирма ознаками, а не лише два нанесені виміри.

Повзунок кількості дерев встановлює, скільки незалежно рандомізованих дерев усереднюється при оцінюванні кожної транзакції — більше дерев зменшує дисперсію балу ціною більшого обчислення, відповідаючи реальному компромісу, який роблять операційні системи шахрайства між затримкою й стабільністю виявлення. Повзунок швидкості потоку керує тим, як швидко надходять нові синтетичні транзакції; ліс періодично перебудовується зі свіжої випадкової підвибірки нещодавнього вікна транзакцій, відповідаючи тому, як виробничі ізоляційні ліси перенавчаються на ковзних вікнах нещодавніх даних, а не на єдиній фіксованій історичній партії.

Кожна вхідна транзакція оцінюється відносно поточного лісу, і будь-яка транзакція, чий бал ізоляції перетинає повзунок порогу, позначається. Симуляція також позначає приховану справжню мітку на кожній синтетичній транзакції (чи була вона згенерована процесом нормальних витрат, чи одним із впроваджених генераторів шахрайства/шахрайського кільця) виключно для того, щоб панель статистики могла показувати живі кількості справжніх позитивних, хибних позитивних і хибних негативних результатів — сам детектор ніколи не бачить цю мітку, лише чотири числові ознаки, точно як реальний детектор аномалій без учителя, що працює на немаркованому живому трафіку.

Виробничі системи карткового шахрайства зазвичай поєднують детектори аномалій без учителя на кшталт ізоляційних лісів із моделями градієнтного бустингу з учителем, навченими на підтверджених мітках шахрайства, механізмами правил для відомих патернів шахрайства та графовим мережевим аналізом для виявлення скоординованих шахрайських кілець на багатьох картках і продавцях. Ця симуляція демонструє половину цього конвеєра без учителя на основі ізоляційного лісу зі справжніми деревами випадкового поділу та реальним оцінюванням за довжиною шляху, але на синтетичних даних із вручну налаштованими генераторами, а не мільярдах реальних історичних транзакцій, тож її слід сприймати як демонстрацію механізму того, як ізоляційні ліси ізолюють викиди, а не як виробничий двигун шахрайства.