基于社會立場建模的網絡犯罪預警研究*

魏墨濟，趙燕清，朱世偉，李 晨

(齊魯工業大學(山東省科學院)情報研究所,濟南 山東 250014)

1 引言

以通信網、物聯網、互聯網及三網融合為代表的新一代信息技術，在原有社會生活空間基礎上，創建了全新網絡空間，映射著社會生活的方方面面。網絡空間在加速各類信息傳播速度和擴大傳播范圍方便人們通訊的同時，也使得政治方向、輿論導向和價值取向引導變得更加復雜[1]。依托網絡空間所實施的新型恐怖、淫穢、販毒、洗錢和賭博等網絡犯罪，利用其隱蔽性、普及性、虛擬性和時空超越性等特點隱身于網絡空間中，使得傳統安全防范手段處處掣肘，特別是具有強交互性的論壇、微博、博客、私人空間和人人網等網絡社交媒體，所承載的海量數據流為網絡犯罪提供了活躍空間，呈現出不同于傳統犯罪的特征，網絡空間已演變為安全防控“第二戰場”[2]，網絡犯罪預警成為非傳統社會安全領域的一個重要課題。習近平主席提出“構建網上網下同心圓防范網絡犯罪”的新要求。因此，針對社會敏感話題事件和危險觀點持有者，以實時發現新型網絡犯罪，在億萬個網民的億萬種聲音中挖掘犯罪線索，成為當前安全工作的重要目標。

敏感話題分析最早源于網絡輿情監測[3,4]，依據公眾情感傾向發現敏感事件，按分析粒度可分為粗粒度基于情感詞表的情感傾向分析[5 - 9]、細粒度基于主題建模的話題聚類[10 - 12]和微粒度基于觀點的持有者傾向分析[13 - 16]。其中基于情感詞表方法給出正負面情感詞，通過文本所用詞匯與正負面情感詞的匹配情況判別情感傾向。基于主題建模的話題聚類方法則在情感分析的基礎上，利用潛在語義分析從語義層劃分主題，以細粒度探尋不同主題的傾向。而觀點挖掘技術則在主題和情感的基礎上加入觀點持有者信息，以深入發現不同觀點持有者的傾向性。無論何種粒度的情感傾向分析，其核心情感分類又可分為有監督和無監督情感極性分類。有監督情感極性分析依賴于已標注極性的詞表，采用已有分類算法，如支持向量機、最大熵等訓練模型進行情感極性分類；無監督情感極性分類在標注詞性的基礎上提取特定詞性組合作為文本特征值，并利用互信息方法計算特征詞與“完美”和“極差”的相似度值作為情感傾向的分類標準。20世紀90年代中期國外學者即開始關注文本分析的話語分析研究，圍繞政黨及公共政策進行價值說明、觀念傳播和意識形態渲染等[17]。國內對敏感話題的研究起步較晚，且多以方法論為主，在應用方面主要體現于輿情系統負面事件研判，而主題和觀點持有者分析罕有所見。目前的安全防控一線工作，犯罪敏感信息線索更多來源于線下舉報，缺失了線上數據實時監測線索發現部分。

本文面向網絡犯罪防控工作一線，針對網絡社交媒體文本大數據，提出基于主題分類構建社會立場，監測和預警新型恐毒黃賭等網絡犯罪，提高犯罪防控作戰過程中線上數據處理、分析能力與自動監控、預警能力。

2 網絡犯罪監測平臺

針對網絡犯罪防控線上線索發現及預警機制缺失，以及現有監控預警服務模式處理多源、異構社交媒體數據時存在數據利用低效、數據處理服務功能有限、過程不可智能控制、無法實現精準監控以及難以對數據進行多維度、深層次智能分析等問題，借鑒國內外大數據服務和監控預警平臺建設研究成果，結合現有數據服務架構優勢及問題，構建基于立場的網絡犯罪監測預警平臺，總體邏輯架構如圖1所示。

Figure 1 Framework of cyber-crime monitoring and early warning platform圖1 網絡犯罪監控預警平臺架構

平臺自底向上分別為數據源層、數據采集清洗層、數據存儲分發層、數據處理引擎層、業務邏輯模型層(網絡犯罪防控模型層)、數據接口層和可視化展示層，以及為保證平臺的穩定運行所必需的信息安全管理組件和系統運維管理組件。其中數據源層維護著網絡犯罪防控一線工作者需監測的目標網站和社交媒體列表。雖然網絡空間訪問無地域性，但網絡媒體影響力卻有區域差異性。因此，線上線索監測和判定仍可按地域劃分，除國內主流網站和通用社交媒體(如四大門戶網站、百度貼吧、天涯論壇、新浪微博等)外，一線工作者可根據所屬地域將區域內影響力較大的網站和社交媒體加入監測列表，如山東的齊魯晚報、大眾論壇，河南的大豫網、大河論壇等，還可根據相應權限接入本地資源庫，以更好地維護區域內網絡安全。數據采集清洗層根據監測列表中各數據源特征采用不同技術采集多源異構數據，并同時進行鏈接查重和內容查重2個方面的清洗。數據存儲分發層負責存儲數據、構建索引、實時熱備和定時冷備，將新采集的數據實時送入上層進行檢測。數據處理引擎為上層業務模型層的數據處理提供框架平臺和基礎工具，其中歷史大數據批處理系統根據過往累積數據為網絡犯罪防控建模，流態大數據實時處理系統結合網絡犯罪防控模型負責實時獲取數據安全性檢測結果。數據接口層將監測結果轉化為適宜各類協議傳輸的標準化數據，為可視化層提供基礎數據。數據可視化層則根據用戶需求和數據特點將數據以簡明易懂的可視化方式傳遞給用戶。信息安全組件負責用戶權限管理以保證數據安全。系統運維管理組件監控系統運行狀態并適時調整以保證平臺穩定運行。

由圖1可知，平臺的核心是網絡犯罪防控模型，其它層可通過改進現有大數據服務和監控預警平臺快速實現，因此本文將著重描述此模型的構建方法。

3 網絡犯罪防控模型

3.1 網絡犯罪文本特征分析

網絡犯罪防控與敏感話題發現相似，均以網絡文本大數據為監測對象，發現對社會穩定產生威脅的言論。在敏感話題發現中無論是粗粒度、細粒度還是微粒度的分析，所采用的技術核心均為情感分類，通過標記情感詞匯構建特征詞，利用分類算法將特征詞分到不同情感類別，最后通過特征詞情感傾向計算，發現負面輿情聚類敏感話題。

然而與輿情敏感話題監測不同，網絡犯罪敏感言論監測關注的重點并非負面觀點或消極情感，而是與社會立場相悖的言論。如在恐怖襲擊事件中，正常言論的社會立場均為否定，只有持肯定觀點的言論才是監測重點，故在此情形下需對正面情感做出預警。此外，還存在諸多僅依靠情感分析無法判別的情形，如對人權或民主觀點的闡述，不同言論可以支持、論述或反對，因此所含感情色彩既可能是積極的、中性的，也可能是消極的。而觀點評判應立足于國情和特色，從大眾利益和國家穩定發展角度客觀判別，而非通過情感的對立與否進行判別。

為測試情感分類方法對網絡犯罪言論監測的效果，本文分別測試有監督和無監督情感分類方法。在有監督分類方法中采用SentiWordNet作為情感詞典語料庫，并從文檔、句子和特征3個層面分別對言論進行情感分類。由結果亦可看出，網絡犯罪言論沒有固定的情感傾向，采用情感分析方法并不能有效判定敏感言論。

3.2 基于立場的網絡犯罪監測與預警建模

對網絡犯罪文本特征分析可知，其核心并不在于言論情感是否為負面，而在于其觀點是否有悖于社會立場。因此，建模核心在于構建社會公眾立場，并計算社交媒體言論與社會立場的相悖度。

Figure 2 Framework of viewpoint-based social event model圖2 基于立場的社會事件模型框架

面向社會立場所構建的網絡犯罪監測模型框架如圖2所示，首先以各類網絡犯罪為對象構建犯罪本體庫，采用面向主題的定向采集方法獲取權威媒體言論，聚焦具有代表性的觀點建立社會立場；其次，采用分布式爬蟲采集社交媒體數據，構建發布者理念，并基于本體個體推理獲取與發布者理念相關的社會立場；最后，計算理念與社會立場相悖度，在預設閾值的基礎上進行預警。

3.2.1 犯罪本體庫構建

犯罪本體庫由知識工程領域專家依據不同警種實際破案工作經驗，提取知識分層構建而成，其頂層本體中的類及其屬性如圖3所示。

Figure 3 Top-level ontology圖3 頂層本體

圖3中網情類(NetInfo)由來源(Source)、內容(Content)、發布者(Publisher)和跟隨源(Follower)4個類組成，內容類由主題(Subject)、用語(Term)、時間(Time)、地點(Space)、組織(Organization)5個類組成，來源類有網站(Website)、論壇(Forum)、博客(Blog)、微博(MicroBlog)和社區(Community)5個不相交的子類，發布者類有官方媒體(Authority)、機構媒體(Group)和個人(Individual)3個不相交的子類。參考我國司法警察分類，結合網絡犯罪打擊目標，本文將警種類(PolType)劃分成緝毒警(DrugPol)、經偵警(EconPol)、治安警(CrimPol)、防暴警(TerrPol)、科技警(SciePol)、交通警(TrafPol)等18個不相交的子類。不同的警種關注的網情主題不同，使用屬性監測(supervise)描述，其定義域為警種類，值域為主題類。使用本體描述語言OWL形式化表示的頂層本體片段如代碼1所示。

代碼1

?

〈owl:Class rdf:ID="NetInfo"〉

〈owl:unionOf rdf:parseType="Collection"〉

〈owl:Class rdf:resource="#Content"/〉

〈owl:Class rdf:resource="#Source"/〉

〈owl:Class rdf:resource="#Publisher"/〉

〈owl:Class rdf:resource="#Follower"/〉

〈/owl:unionOf〉

〈/owl:Class〉

?

〈owl:Class rdf:ID="Source"/〉

Figure 4 Flowchart of social viewpoint construction圖4 社會立場構建流程圖

〈owl:Class rdf:ID="Website"〉

〈rdfs:subClassOf rdf:resource="#Source"/〉

〈owl:disjointWith rdf:resource="#Forum"/〉

〈owl:disjointWith rdf:resource="#Blog"/〉

〈owl:disjointWith rdf:resource="#MicroBlog"/〉

〈owl:disjointWith rdf:resource="#Community"/〉

〈/owl:Class〉

?

〈owl:Class rdf:ID="PolType"/〉

〈owl:Class rdf:ID="DrupPol"〉

〈rdfs:subClassOf rdf:resource="#PolType"/〉

〈owl:disjointWith rdf:resource="#EconPol"/〉

〈owl:disjointWith rdf:resource="#CrimPol"/〉

〈owl:disjointWith rdf:resource="#TerrPol"/〉

〈owl:disjointWith rdf:resource="#SciePol"/〉

〈owl:disjointWith rdf:resource="#TrafPol"/〉

?

〈/owl:Class〉

〈owl:ObjectProperty rdf:ID="supervise"〉

〈rdfs:domain rdf:resource="#PolType"/〉

〈rdfs:range rdf:resource="#Subject"/〉

〈/owl:ObjectProperty〉

?

犯罪本體庫中的各型犯罪本體(CrimOnto)均繼承自頂層本體，并按照18個警種類的子類劃分為Ⅰ型、Ⅱ型、…、ⅩⅤⅢ型等18個領域本體，在每型犯罪本體中根據警種涵蓋的業務類型細分監測主題類。如治安警所對應的Ⅲ型犯罪本體中，主題類按照業務又可細分為涉黃(ProsSub)、涉毒(GambSub)和違禁(ConbSub)等子類。各型犯罪本體依據主題類分層構建分類管理不同領域知識。

3.2.2 社會立場庫構建

新華網、人民網、光明網等官方媒體，天生是社會正義的維護者和代言人[18]，代表著社會立場和公眾利益。因此，本文依據各型犯罪本體中不同主題類，采用面向主題的定向采集方法獲取權威媒體發布的信息構建社會立場，其流程如圖4所示。

社會立場庫構建的具體步驟如下所示：

(1)依次為犯罪本體庫中θ型犯罪本體CrimOntoθ(其中θ∈[Ⅰ,ⅩⅤⅢ])的各主題類Subjectθi(其中i∈[1,θ型犯罪本體中子主題類個數])甄選合適的權威媒體網站。

(2)采用主題爬蟲定向采集權威媒體網站。

(3)文本預處理，針對采集結果進行頁面去重，去除頁面內噪聲數據，抽取頁面正文信息并進行中文分詞，使用停用詞表過濾分詞獲取主題相關詞集，構建Subjectθi詞表WordListθi。

(4)引入WordNet語義詞典網絡，基于路徑計算WordListθi中各詞語與Subjectθi概念的語義相似度，如式(1)所示。

sim(subθi,wk)=

(1)

其中，subθi表示Subjectθi，wk是WordListθi中的詞語，los(subθi,wk)表示兩者的公共父節點，depth(los(subθi,wk))表示兩者公共父節點的深度，shortlen(subθi,wk)表示兩者間的最短路徑長度。

(5)將相似度sim(subθi,wk)大于閾值的詞語wk聲明為Subjectθi概念的實例，如涉賭主題類中，媒體發布信息中所用詞語“賭錢”“博彩”等與主題概念“賭博”的語義相似度大于設定閾值，可將這些詞語聲明為主題概念的實例。其OWL形式化表述如代碼2所示。

代碼2

?

〈owl:Class rdf:ID="Gamble"〉

〈rdfs:subClassOf rdf:resource="#Subject"/〉

〈rdfs:label xml:lang="ch"〉賭博〈/rdfs:label〉

〈/owl〉

〈owl:ObjectProperty rdf:ID="CrimSupervise"〉

〈rdfs:subPropertyOf rdf:resource="#Supervise"/〉

〈rdfs:domain rdf:resource="#CrimPol"/〉

〈rdfs:range rdf:resource="#Gamble"/〉

〈/owl:ObjectProperty〉

〈Gamble rdf:ID="賭錢"/〉

〈Gamble rdf:ID="博彩"/〉

?

(6)將各WordListθi作為一個文檔組建文檔集，采用TF-IDF算法計算詞匯權重，如式(2)所示:

(2)

其中，count(wk)為詞匯wk出現次數;WLi表示WordListθi;|WLi|表示WordListθi中所有詞匯數量;N為WordListθi總數量;I(wk,WLi)表示WLi是否包含詞匯wk，若包含則值為1，否則值為0。

(7)使用WordListθi中權重TF-IDFwk大于閾值的詞匯wk作為關鍵詞構建相應主題Subjectθi的社會立場，并將其聲明為犯罪本體術語類CrimOntoθ.Termθi的實例。如涉賭主題類中，媒體發布信息中所用 “色子”“牌九”“麻將”“賭注”“籌碼”等詞語的TF-IDF權重大于設定閾值，可將這些詞語聲明為主題術語的實例。其OWL形式化表述如代碼3所示。

代碼3

?

〈owl:Class rdf:ID="GambleTerm"〉

〈rdfs:subClassOf rdf:resource="#Term"/〉

〈rdfs:label xml:lang="ch"〉賭博用語〈/rdfs:label〉

〈/owl〉

〈GambleTerm rdf:ID="色子"/〉

〈GambleTerm rdf:ID="牌九"/〉

〈GambleTerm rdf:ID="麻將"/〉

〈GambleTerm rdf:ID="賭注"/〉

〈GambleTerm rdf:ID="籌碼"/〉

?

3.2.3 基于立場的社交媒體監測

社交媒體高度開放的特性，在方便人們正常溝通交流的同時，也為危及社會安全的網絡犯罪提供了庇護。本文構建的網絡犯罪防控平臺通過監測社交媒體言論，計算其與社會立場相似度，預警敏感信息，其流程如圖5所示。

Figure 5 Flowchart of social media monitoring and early warning圖5 社交媒體監測預警流程圖

基于立場的社交媒體監測的具體步驟如下所示：

(1)面向日信息更新量過億的社交媒體平臺，采用分布式爬蟲[19,20]采集多源媒體中個體言論，并去除噪聲數據抽取正文信息。

(2)對所獲取的信息進行詞性和句法分析，提取各類元素生成發布者理念(ViewPoint)。本文將理念定義為一個7元組。

定義1

ViewPoint=[Publisher,Subject,Opinion,Time,Space,Organzation,Wgtvp]

其中，發布者(Publisher)定義理念的持有者，主題(Subject)定義該言論所針對的主題，觀點(Opinion)是發布者言論中所使用的用語，時間(Time)、地點(Space)和組織(Organization)分別是發布者言論中所提及的時間、地點和組織，理念權重(Wgtvp)記錄言論中觀點與社會立場的相似度。利用詞性和句法分析，提取社交媒體言論中各元素，填充7元組中前6項生成發布者理念。

(3)依據理念中的主題項檢索犯罪本體庫，結合形式化語言OWL的描述邏輯推理能力，構建SWRL(Semantic Web Rule Language)規則(如規則1所示)，通過本體語言個體ABox推理，檢索犯罪本體主題類實例，獲取與發布者言論主題相關的社會立場。

規則1

SameAs(?x,?y)∧Subject(?y)∧isPartOf(?y,?c)∧?isPartOf(?z,?c)→Term(?z)

其中，x是理念中主題項詞匯，即x∈ViewPoint.Subject,y、c、z分別是犯罪本體主題類、內容類和術語類實例，即y∈CrimOnto.Subject,c∈CrimOnto.Content,z∈CrimOnto.Term。

(4)計算理念中觀點ViewPoint.Opinion項詞集與社會立場CrimOnto.Term類實例集合的相似度。文本相似度比較通常采用文本向量夾角余弦，使用文本詞集的詞頻構成一個向量，然后計算2個文本對應向量的夾角余弦。但是，由于文本特征向量維度極高，實時監測萬億級社交媒體數據，其計算代價是難以接受的。因此，本文采用Google提出的SimHash算法[21]，通過生成2個詞集的SimHash簽名進行降維，計算2個詞集間的海明距離作為理念權重(Wgtvp)的值。

(5)對理念權重小于閾值的社交媒體言論發出一級預警。

(6)更進一步，以預警言論為基礎，匯總該言論發布者的所有言論，計算其平均權重。由于言論所用詞匯數量及與社會立場的背離度均會對影響力產生作用，因此本文將詞匯量作為相似度的權重，采用式(3)加權平均計算相似度:

(3)

其中，wgtpublisher是發布者權重，描述發布者所有言論的加權平均與社會觀點的相似度，wni是第i條言論的詞匯數量，wgtvpi是第i條言論的理念權重。

(7)若發布者權重小于閾值則進行二級預警。

4 實驗與結果分析

4.1 實驗設計

本文以黨中央相關精神為評判標準，圍繞恐怖主義、賭博、色情、毒品、人權和民主5個領域的網絡犯罪敏感信息監測預警進行實驗。首先針對每個領域人工從新華網、人民網和光明網等新聞網站選取2 000篇文本作為訓練所用的正面語料庫，并從國外網站、博客或聲明等中選取2 000篇文本作為訓練所用的負面語料庫。然后針對每個領域從Twitter、Facebook和Huffpost等社交媒體中分別選取正負面言論各5 000條組成測試集。最后利用5個領域正面語料庫構建5類主題社會立場。

為對比基于立場的監測與基于情感分析的監測的效果，本文同時測試了現有有監督和無監督情感分類方法對敏感言論的預警效果，其中，有監督分類方法從文檔、句子和特征3個層面構建情感分類模型，引入SentiWordNet作為情感詞典語料庫。在基于立場分析的敏感言論監測中，本文同時使用正、負面語料庫構建分類模型。

實驗采用精確率P、召回率R和F1值3個指標評測效果。其中，P用于度量被預警信息中實際為負面信息的言論所占比例，采用式(4)計算；R用于度量負面測試集言論中有多少被正確預警，采用式(5)計算；F1值是準確率和召回率的加權調和平均，該值越大效果越好，采用式(6)計算。

(4)

(5)

(6)

其中，TP表示負面言論測試集中被正確預警的言論數量，FP表示負面言論測試集中被認為是正面言論的數量，FN表示正面言論測試集中被錯誤預警的言論數量。

4.2 結果分析

表1所示為文檔層面、句子層面和特征層面有監督情感分類方法、無監督情感分類方法和基于立場的言論監測方法的結果。

Table 1 Evaluation of early warning effect 表1a 預警效果評價 %

從表1可以看出，言論立場與情感并無正相關性，通過情感分類模型不能很好地預警網絡犯罪敏感言論。而通過社會立場建模，監測言論用語與社會立場的相似度可更好地甄別敏感信息，實現網絡危險事件一級預警。

Figure 6 Top 10 users list sorted by publisher weight圖6 發布者權重Top10用戶列表

Figure 7 List of accompanying users圖7 伴隨用戶列表

然而言論用語層面的一級預警仍存在誤報和漏報情況。而誤報言論中所使用的反語、諷刺等和漏報言論中所使用的比喻、雙關等修辭手法，又很難直接通過用詞分析出正確的情感傾向。因此，本文方法在分析單條言論的基礎上，按照發布者匯總言論，將其作為一個言論集合采用式(3)計算發布者言論平均權重。

圖6是恐怖主義主題中按照發布者權重降序排序的發布者Top10，可通過詳情項觀測發布者的言論。更進一步，通過言論發布者的伴隨用戶分析，可發現深層隱藏的危險用戶，如圖7所示。

匯總計算每個用戶所發表言論的平均權重，當權重小于閾值時進行二次預警，可進一步判斷言論與社會立場的關系，在一次預警的基礎上準確率和召回率提升了約7%(如表2所示)，可更好地監測網絡犯罪敏感信息。

Table 2 Evaluation of secondary early warning effect 表2 二次預警效果評價 %

5 結束語

互聯網的隱蔽性、普及性、虛擬性和時空超越性等特點，為網絡犯罪提供了沃土，給社會安全和國家穩定帶來巨大挑戰。如何在億萬個網民億萬種聲音中預警敏感信息，已經成為非傳統社會安全領域的一個重要課題。本文首先分析了社會安全事件特征；然后為各類型網絡犯罪構建犯罪本體庫，并依照主題利用官方媒體資訊構建社會立場擴展犯罪本體庫實例；最后計算社交媒體言論與社會立場的相似度，進行言論層面一級預警和相同發布者言論加權平均的二級預警。

網絡社交媒體中數據傳播載體不僅有文本，還包括圖像、音頻和視頻等，這些在本研究中未曾涉及。下一步擬針對文本、圖像、語音和視頻等多源異質內容的一致性知識表達機理，進一步豐富網絡犯罪反恐平臺。