View a markdown version of this page

账户收购见解 - Amazon Fraud Detector
选择数据源准备数据选择数据验证数据

自2025年11月7日起，亚马逊欺诈探测器不再向新客户开放。要了解与亚马逊欺诈检测器类似的功能，请浏览亚马逊 SageMaker AutoGluon、和 AWS WAF。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

账户收购见解

Account Takeover Insights (ATI) 模型类型通过检测账户是否因恶意接管、网络钓鱼或凭据被盗而遭到入侵来识别欺诈性在线活动。Account Takeover Insights是一种机器学习模型，它使用来自您的在线业务的登录事件来训练模型。

您可以在实时登录流程中嵌入经过训练的账户接管洞察模型，以检测账户是否遭到入侵。该模型评估了各种身份验证和登录类型。它们包括 Web 应用程序登录、 API-based 身份验证和单点登录 (SSO)。要使用账户接管洞察模型，请在出示有效的登录凭据后调用 GetEventPrediction API。API 生成的分数可以量化账户遭到入侵的风险。Amazon Fraud Detector 使用您定义的分数和规则来返回登录事件的一个或多个结果。结果是你配置的。根据您收到的结果，您可以对每次登录采取适当的操作。也就是说，您可以批准或质疑登录时提供的凭据。例如，您可以通过要求提供账户 PIN 作为额外验证来质疑凭证。

您还可以使用账户接管洞察模型异步评估账户登录情况，并对高风险账户采取行动。例如，可以将高风险账户添加到调查队列中，供人工审阅者确定是否需要采取进一步的行动，例如暂停该账户。

账户接管洞察模型使用包含企业历史登录事件的数据集进行训练。您提供此数据。您可以选择将账户标记为合法或欺诈性帐户。但是，这不是训练模型所必需的。账户接管洞察模型根据账户成功登录的历史记录来检测异常情况。它还学习如何检测用户行为中的异常情况，这些异常表明恶意账户盗用事件的风险增加。例如，通常使用同一组设备和 IP 地址登录的用户。欺诈者通常从不同的设备和地理位置登录。这种技术可以得出异常活动的风险评分，这通常是恶意账户接管的主要特征。

在训练账户收购洞察模型之前，Amazon Fraud Detector 结合使用机器学习技术进行数据丰富、数据聚合和数据转换。然后，在训练过程中，Amazon Fraud Detector 会丰富您提供的原始数据元素。原始数据元素的示例包括 IP 地址和用户代理。Amazon Fraud Detector 使用这些元素来创建描述登录数据的其他输入。这些输入包括设备、浏览器和地理位置输入。Amazon Fraud Detector 还使用您提供的登录数据来持续计算描述过去用户行为的聚合变量。用户行为的示例包括用户从特定 IP 地址登录的次数。使用这些额外的丰富和聚合，Amazon Fraud Detector 可以从您的登录事件的一小部分输入中生成强大的模型性能。

Account Takeover Insights 模型可检测不良行为者访问合法账户的情况，无论不良行为者是人类还是机器人。该模型生成的单一分数表明账户泄露的相对风险。可能遭到入侵的账户被标记为高风险账户。您可以通过以下两种方式之一处理高风险账户。或者，您可以强制进行额外的身份验证。或者，您可以将账户发送到队列进行手动调查。

选择数据源

账户收购洞察模型根据内部存储在亚马逊欺诈检测器中的数据集进行训练。要使用 Amazon Fraud Detector 存储您的登录事件数据，请创建包含用户登录事件的 CSV 文件。对于每个事件，包括登录数据，例如事件时间戳、用户 ID、IP 地址、用户代理以及登录数据是否有效。创建 CSV 文件后，首先将文件上传到 Amazon Fraud Detector，然后使用导入功能存储数据。然后，您可以使用存储的数据训练模型。有关使用 Amazon Fraud Detector 存储事件数据集的更多信息，请参阅 使用亚马逊欺诈探测器在内部存储您的事件数据

准备数据

Amazon Fraud Detector 要求您在以逗号分隔值 (CSV) 格式编码的文件中提供您的用户账户登录数据。 UTF-8 您的 CSV 文件的第一行必须包含文件头。文件头由事件元数据和描述每个数据元素的事件变量组成。事件数据位于标题之后。事件数据中的每一行都由来自单个登录事件的数据组成。

对于账户收购见解模型，您必须在 CSV 文件的标题行中提供以下事件元数据和事件变量。

事件元数据

我们建议您在 CSV 文件标题中提供以下元数据。事件元数据必须为大写字母。

  • EVENT_ID-登录事件的唯一标识符。

  • ENTITY_TYPE-执行登录事件的实体，例如商家或客户。

  • ENTITY_ID-执行登录事件的实体的标识符。

  • EVENT_TIMESTAMP-登录事件发生时的时间戳。时间戳必须采用 UTC 的 ISO 8601 标准。

  • EVENT_LABEL（推荐）-将活动归类为欺诈性或合法活动的标签。您可以使用任何标签，例如 “欺诈”、“合法”、“1” 或 “0”。

注意

  • 事件元数据必须使用大写字母。它区分大小写。

  • 登录事件不需要标签。但是，我们建议您包含 EVENT_LABEL 元数据并为登录事件提供标签。如果标签不完整或零星也没关系。如果您提供标签，Amazon Fraud Detector 将使用它们自动计算账户盗用发现率，并将其显示在模型性能图表和表格中。

事件变量

对于账户收购洞察模型，既有您必须提供的必需（必需）变量，也有可选变量。创建变量时，请确保将变量分配给正确的变量类型。作为模型训练过程的一部分，Amazon Fraud Detector 使用与变量相关的变量类型来执行变量丰富和特征工程。

注意

事件变量名称必须使用小写字母。它们区分大小写。

强制变量

训练账户收购洞察模型需要以下变量。

类别 变量类型 说明

IP 地址

IP_ADDRESS

登录事件中使用的 IP 地址

浏览器和设备

用户代理

登录事件中使用的浏览器、设备和操作系统

有效凭证

有效

指明用于登录的凭据是否有效

可选变量

以下变量是训练账户收购洞察模型的可选变量。

类别 Type 说明

浏览器和设备

指纹

浏览器或设备指纹的唯一标识符

会话编号

SESSION_ID

身份验证会话的标识符

标签

事件标签

将活动归类为欺诈性或合法活动的标签。您可以使用任何标签，例如 “欺诈”、“合法”、“1” 或 “0”。

Timestamp

LABEL_TIMESTAMP

上次更新标签的时间戳。如果提供了 EVENT_LABEL，则这是必需的。
注意

  • 您可以为两个强制变量可选变量提供任何变量名称。将每个强制变量和可选变量分配给正确的变量类型非常重要。

  • 您可以提供其他变量。但是，亚马逊欺诈检测器不会包含用于训练账户收购洞察模型的这些变量。

选择数据

收集数据是创建账户收购洞察模型的重要步骤。在开始收集登录数据时，请考虑以下要求和建议：

必填

  • 提供至少 1,500 个用户账户示例，每个示例都有至少两个相关的登录事件。

  • 您的数据集必须涵盖至少 30 天的登录事件。稍后您可以指定用于训练模型的事件的特定时间范围。

推荐

  • 您的数据集包含登录失败事件的示例。您可以选择将这些失败的登录标记为 “欺诈” 或 “合法”。

  • 使用跨度超过六个月的登录事件准备历史数据，包括 10 万个实体。

如果您没有已经满足最低要求的数据集，可以考虑通过调用 SendEvent API 操作将事件数据流式传输到亚马逊欺诈检测器。

验证数据

在创建账户收购洞察模型之前，Amazon Fraud Detector 会检查您在数据集中包含的用于训练模型的元数据和变量是否符合大小和格式要求。有关更多信息，请参阅 数据集验证。它还会检查其他要求。如果数据集未通过验证，则不会创建模型。要成功创建模型，请务必修复未通过验证的数据，然后再进行训练。

常见的数据集错误

在验证用于训练账户收购洞察模型的数据集时，Amazon Fraud Detector 会扫描这些问题和其他问题，如果遇到一个或多个问题，则会抛出错误。

  • CSV 文件的 UTF-8 格式不正确。

  • CSV 文件头不包含以下至少一个元数据：EVENT_IDENTITY_ID、或EVENT_TIMESTAMP。

  • CSV 文件头不包含以下变量类型的至少一个变量：IP_ADDRESSUSERAGENT、或VALIDCRED。

  • 有多个变量与相同的变量类型相关联。

  • 中 0.1% 以上的值EVENT_TIMESTAMP包含空值或除支持的日期和时间戳格式以外的值。

  • 第一次和最后一次事件之间的天数少于 30 天。

  • 超过 10% 的变量类型IP_ADDRESS变量无效或为空。

  • 超过 50% 的变量类型的USERAGENT变量包含空值。

  • 变量类型的所有VALIDCRED变量都设置为false。