大数据让伪基站无处藏身 张卓 360.天眼团队技术总监 目录 快速导览 一点背景 数据来源 大数据分析 应用与实践 伪基站？？ 伪基站即假基站, 能够搜取以其为中心 、一定半径范围内的手机卡信息，利用 GSM验证漏洞伪装成运营商的基站， 冒用其它号码强行向用户手机发送诈骗 、色情、赌博、广告等短信息 伪基站运作原理 发送虚假信息 正常基站 X 中断 伪基站 控制设备 伪基站的特点 • 冒用号码 – 运营商、银行、个人…… • 机动/隐蔽 – 轿车、自行车/电动车、背包 • 低成本 – 一次性投资，几乎不需额外费用 • 本地化 – 范围小，一般小于2千米 伪基站设备 伪基站的危害 1. 阻断正常通信 2. 强制发送恶意短信 3. 威胁个人财产安全 伪基站的现状 河南 北京 15. 四川 郑州 10. 北京 966 817 成都 8.8 720 山东 8. 重庆 辽宁 7.8 大连 广东 7.6 长春 339 深圳 323 上海 307 吉林 6.6 重庆 5.8 河北 278 青岛 2.8 0. 418 沈阳 4.9 上海 635 4. 8. 省TOP 10 (%) 12. 16. 232 0 250 500 750 1000 城市TOP 10 (万条) 1250 治理伪基站的难题 – 发现难 • 发现的伪基站太少 • 原因：依靠向权威机构举报，伪基站信息太少 – 抓获难 • 伪基站一直在运动 • 难识别，难追踪，无法掌握动态位置 – 定罪难 • 线索缺失 • 犯罪产业链长，取证不完善 数据是问题的钥匙 根据360手机卫士用户上报的恶意短 信，360云查杀体系进行分析判定， 从而得到大量伪基站数据 数据与描述 定位移动伪基站并非易事，由于无法直 接获得GPS定位数据，我们不得不使用其 他间接信息来定位移动伪基站。 正常基站 5 正常基站 恶意短信记录 • 连接时间短信内容 • 收到短信时间 • 手机收到恶意短信前连接基站的日志 连接时间 基站ID 信号强度 3 伪基站 1 正常基站 正常基站 其他数据 基站数据 • • 基站所在城市、街道 基站所在经纬度 地图数据 • • 地图瓦片数据 路网数据 大数据分析 间接轨迹重构 与路径规划 数据筛选与降噪 内容识别与分类 可视化分析 可视化分析 热力图分析： 1. 早晨从外环进入主城区 2. 午夜色情短息居多 3. 诈骗短信比广告短信发送频 率低 4. …. 遇到问题： 1. 可视化轨迹断裂 2. 大量离散数据点 2016-07-17 11:00Am 北京 可视化断裂轨迹解决方案 一次指数平滑法： 为t+1期的指数平滑趋势预测值 为t期的指数平滑趋势预测值 为t期实际观察值 代入 以此类推 为权重系数 热力图分析结果展示 数据筛选与降噪 被切分短信的处理 基于短信记录的时空分布聚类 数据筛选与降噪 1 根据数据完整性过滤 2 根据连接时间与收取短信时间过滤 3 根据投票规则过滤 清洗后数据 间接轨迹重构与路径规划 移动检测 • 基于DBSCAN密度聚类和滑动窗口的方法对原始记录进行时空聚类。 轨迹重构 • • 对于每个类簇，使用滑动窗口对轨迹 进行二次采样，平滑轨迹。（实线段 ） 对于相同类簇间轨迹，不确定性较高 。考虑移动伪基站的方向，用贝塞尔 曲线拟合。（虚线段） 轨迹重构示意图 路网绑定 • 结合路网数据将轨迹绑定到路网上，保证移动伪基站的轨迹始终在道路上。 间接轨迹重构与路径规划 重构轨迹 路网贴合