فراتر از ریسک حساب‌های کاربری: متدولوژی شناسایی حلقه‌های کلاهبرداری با تحلیل پیوندها

حلقه‌های کلاهبرداری (Fraud Rings) برای ایجاد یک پروفایل ریسک مشکوک، نیازی به استفاده از یک حساب کاربری خاص ندارند. این گروه‌ها فعالیت‌های هماهنگ خود را میان چندین حساب با فعالیت کم توزیع می‌کنند تا هر حساب به‌تنهایی پایین‌تر از آستانه‌های شناسایی کنترل‌های متداول در سطح حساب (Account-level controls) باقی بماند.

چالش شناسایی در شبکه‌های کلاهبرداری

از منظر شبکه، کلاهبرداری‌های مالی با رویدادهای ایزوله در سطح حساب متفاوت است. این اقدامات اغلب توسط شبکه‌هایی از همدستان، از گروه‌های بسیار ساختاریافته تا همکاری‌های غیررسمی، انجام می‌شود. بنابراین، مشکل شناسایی همیشه نبود فعالیت‌های مشکوک نیست، بلکه مسئله این است که این فعالیت‌ها در کجا و چگونه قابل مشاهده شوند.

خط لوله «شواهد به اقدام» (Evidence-to-Action Pipeline)

برای مقابله با این تهدیدات، یک چارچوب مفهومی به نام خط لوله پیوند شواهد به اقدام پیشنهاد می‌شود که مراحل زیر را طی می‌کند:

• مشاهده (Observation): ثبت داده‌های خام.
• تفکیک موجودیت احتمالی (Probabilistic Entity Resolution): شناسایی احتمالی موجودیت‌های مرتبط.
• وزن‌دهی (Weighting): بررسی قابلیت اطمینان، منحصر‌به‌فرد بودن، تازگی و تاییدیه شواهد.
• استنتاج خوشه (Cluster Inference): گروه‌بندی حساب‌های مرتبط.
• اقدام بازگشت‌پذیر (Reversible Action): اعمال محدودیت‌های متناسب.

مدل‌های رابطه‌ای در مقابل مدل‌های تک‌حسابی

داده‌های سطح حساب زمانی مفیدتر می‌شوند که در یک مدل رابطه‌ای (Relational Model) گسترده‌تر قرار گیرند. در این مدل، حساب کاربری دیگر تنها موجودیت ردیابی شده نیست؛ بلکه دستگاه‌ها (Devices)، آدرس‌های IP، نشست‌ها (Sessions)، شماره تلفن‌ها، دامنه‌های ایمیل و ابزارهای پرداخت به عنوان گره‌های (Nodes) مجزا نمایش داده می‌شوند.

فعالیت‌های مشاهده شده، این گره‌ها را به هم متصل می‌کنند. استفاده از گراف‌های ناهمگن (Heterogeneous graphs) اجازه می‌دهد تا انواع مختلفی از موجودیت‌های مالی و روابط بین آن‌ها در یک شبکه واحد نمایش داده شود، که این امر تحلیل‌های غنی‌تری را نسبت به بررسی صرفِ رفتار یک حساب فراهم می‌کند.

تفکیک موجودیت بدون اغراق در قطعیت

یافتن یک رابطه به معنای شناسایی قطعی یک هویت نیست. در اینجا دو رویکرد وجود دارد:

• پیوند قطعی (Deterministic Linkage): زمانی استفاده می‌شود که شواهد مستقیمی برای تطبیق وجود داشته باشد.
• پیوند احتمالی (Probabilistic Linkage): زمانی که هویت باید از چندین مشاهده ناقص یا ناقص استنباط شود.

استفاده از وزن‌دهی بر اساس اعتماد (Confidence weighting) باعث می‌شود که سیستم به جای تبدیل هر رابطه به یک پاسخ «بله یا خیر»، شدت هر استنباط را حفظ کند. این موضوع در شناسایی کلاهبرداری‌های هویتی حیاتی است، زیرا اشتراک یک IP یا دستگاه لزوماً به معنای تبانی نیست و می‌تواند یک تصادف باشد.

تحلیل زمانی و الگوهای متغیر

یک گراف زمانی گمراه‌کننده است که تمام اتصالات را به یک اندازه به‌روز فرض کند. توابع زوال زمانی (Time-decay functions) باعث می‌شوند وزن تعاملات قدیمی‌تر کاهش یابد. همچنین، شناسایی انفجارهای فعالیتی (Activity bursts) در بازه‌های زمانی کوتاه، نشان‌دهنده هماهنگی شدیدتری نسبت به فعالیت‌های پراکنده در طول هفته‌ها است.

مقابله با رفتارهای متخاصم (Adversarial Behavior)

عوامل تهدید برای دور زدن این سیستم‌ها از تکنیک‌هایی مانند چرخش دستگاه (Device rotation)، استفاده از پروکسی‌های مسکونی (Residential proxies) و ایجاد هویت‌های مصنوعی (Synthetic identities) استفاده می‌کنند. بنابراین، ویژگی‌های گراف باید به‌طور مداوم بازبینی شوند و ریسک نباید صرفاً بر اساس یک رابطه قدیمی استنباط شود.

نتیجه‌گیری برای تیم‌های تحلیل امنیت

تحلیل پیوندها (Linkage Analysis) نباید جایگزین شواهد مستقیم شود، بلکه باید به عنوان بخشی از زنجیره شواهد عمل کند. ترکیب تحلیل‌های رفتاری، قوانین شناسایی و مدل‌های یادگیری ماشین با سیگنال‌های رابطه‌ای، به SOC و تیم‌های مدیریت ریسک اجازه می‌دهد تا تشخیص دهند آیا سوءاستفاده‌ها ایزوله هستند یا بخشی از یک الگوی سازمان‌یافته در یک حلقه کلاهبرداری.