准确、可泛化且实用的行为模型，用于识别用户即将面临恶意网站的风险

《ACM Transactions on the Web》：Accurate, Generalizable, and Practical Behavioral Models to Identify Impending User Exposure to Malicious Websites

基于用户浏览行为的时间序列分析模型显著提升了恶意内容检测准确率（93%-145% F1-score），并具备抗概念漂移特性，长期性能稳定，同时优化了误报率与特征重要性评估，拓展了多场景应用。

　　

摘要

为了保护用户在线安全，当前的防护措施通常会使用已知的恶意软件和网络钓鱼网站的屏蔽列表。然而，这种防御方式存在一个固有的漏洞：恶意内容的生成与检测之间存在时间差，这导致用户在一段时间内处于易受攻击的状态。为了解决这一限制，早期的研究指出可以利用用户的个人网页浏览行为来识别即将面临的恶意内容威胁。虽然现有的方法经常依赖于时间上的邻近性（例如，汇总用户近期的浏览模式），但它们并未充分利用用户浏览行为的时间顺序，从而导致性能不佳。实际上，鉴于恶意软件发生的频率较低，这种方法的实用性并不强。

我们引入了网络和浏览器层面的特征（如页面排名、标签页浏览时间），以及一个能够通过时间序列表示来捕捉用户行为的时间模型。与之前的模型相比，我们的方法在分类性能上有了显著提升（F1分数提高了93%到145%），并且在不同用户群体中依然表现出很强的鲁棒性。更重要的是，我们的方法对概念漂移具有很强的抵抗力，因为在多年的测试中性能始终保持稳定。我们讨论了该方法如何能够预测未来的威胁。我们还评估了各个特征对性能的相对重要性，以及它们对误报率的影响——误报率的降低对于推动该方法的广泛应用至关重要。最后，我们探讨了这种基于行为模型的应用场景。