[論文レビュー] Anomal-E: A Self-Supervised Network Intrusion Detection System based on Graph Neural Networks

Evan Caville, Wai Weng Lo+2 more|arXiv (Cornell University)|Jul 14, 2022

Network Security and Intrusion Detection被引用数 8

ひとこと要約

Anomal-E は、エッジ特徴量とグラフトポロジを活用して、ラベルなしのネットワークトラフィック表現を学習する自己教師付きグラフニューラルネットワーク（GNN）ベースのネットワークインシデント検出システムである。2つのベンチマークデータセットにおいて、教師ありおよびベースラインGNN手法を上回り、隔離木組み合わせで最高95.39％のマクロF1スコアを達成しており、ラベル付きデータを必要とせずに優れた汎化能力と異常検出能力を示している。

ABSTRACT

This paper investigates Graph Neural Networks (GNNs) application for self-supervised network intrusion and anomaly detection. GNNs are a deep learning approach for graph-based data that incorporate graph structures into learning to generalise graph representations and output embeddings. As network flows are naturally graph-based, GNNs are a suitable fit for analysing and learning network behaviour. The majority of current implementations of GNN-based Network Intrusion Detection Systems (NIDSs) rely heavily on labelled network traffic which can not only restrict the amount and structure of input traffic, but also the NIDSs potential to adapt to unseen attacks. To overcome these restrictions, we present Anomal-E, a GNN approach to intrusion and anomaly detection that leverages edge features and graph topological structure in a self-supervised process. This approach is, to the best our knowledge, the first successful and practical approach to network intrusion detection that utilises network flows in a self-supervised, edge leveraging GNN. Experimental results on two modern benchmark NIDS datasets not only clearly display the improvement of using Anomal-E embeddings rather than raw features, but also the potential Anomal-E has for detection on wild network traffic.

研究の動機と目的

• ゼロデイ攻撃や高度な持続的脅威（APT）に対して、限られたラベル付きネットワークトラフィックに依存する教師ありNIDSモデルの限界を解消すること。
• 既存のGNNベースNIDSがノード特徴量に注目する一方で、重要なエッジレベル（パケットレベル）の情報を無視するという制限を克服すること。
• ラベル付きデータを必要とせずに意味のあるネットワークフロー表現を学習する実用的で自己教師付きのGNNフレームワークを開発すること。
• 実世界のネットワークトラフィック環境における異常検出に、エッジに配慮した、トポロジに配慮した自己教師付き表現学習の有効性を評価すること。

提案手法

• Anomal-E は、ネットワークフローグラフにおけるノードトポロジとエッジレベル特徴量の両方を捉えるように変更された E-GraphSAGE を採用している。
• 自己教師付きの方法で、局所的エッジ表現とグローバルなグラフレベルの文脈の間の相互情報量を最大化するように、変更された深層グラフインフォマックス（DGI）目的関数を用いている。
• モデルは、ネットワークフローからの構造的および特徴ベースの情報を統合したエッジ埋め込みを生成し、これにより下流の異常検出が可能になる。
• これらのエッジ埋め込みは、隔離木、PCA、CBLOF、HBOS などの従来の異常検出アルゴリズムに供給され、インシデント分類が行われる。
• フレームワークは自己教師付きの方法でエンドツーエンドに訓練され、攻撃インスタンスのラベル付きデータの必要性がなくなる。
• アプローチは、ホストをノード、フローをエッジとして持つグラフとしてネットワークトラフィックをモデル化し、包括的なパターン学習を可能にする。

実験結果

リサーチクエスチョン

• RQ1 自己教師付きGNNベースのNIDSは、ラベル付き学習データに依存せずに、ネットワークインシデントを効果的に検出できるか？
• RQ2 GNNにエッジレベルの特徴量とトポロジカル構造を組み込むことで、ノードのみまたは生の特徴量ベースのベースラインと比較して検出性能が向上するか？
• RQ3 Anomal-E は、NF-UNSW-NB15およびCSE-CIC-IDS2018といった多様な実世界のネットワークトラフィックデータセットにおいて、どれほど汎化性能を示すか？
• RQ4 Anomal-E の自己教師付き表現学習は、監視なしで、APTにおける横向き移動（lateral movement）のような複雑な攻撃パターンを捉えられるか？
• RQ5 マクロF1スコアおよび検出率の観点から、Anomal-E は、既存のGNNベースおよび非GNNベースのNIDSベースラインと比較して、どのように差をつけるか？

主な発見

• Anomal-E は、隔離木を組み合わせた NF-CSE-CIC-IDS2018-v2 データセットで95.39％のマクロF1スコアを達成し、ベースラインモデルを顕著に上回った。
• 両データセットの平均では、Anomal-E-CBLOF と Anomal-E-HBOS はそれぞれ93.04％および91.89％のマクロF1スコアを達成したのに対し、GraphSAGEベースのベースラインは72.07％および74.69％にとどまった。
• 4％の不正なデータ割合（コンタミネーション）のシナリオにおいて、Anomal-E-HBOS は両データセットで91.89％のマクロF1スコアを維持したのに対し、GraphSAGE-HBOS は74.69％に低下した。
• Anomal-E は優れた汎化性能を示し、NF-UNSW-NB15-v2 および CSE-CIC-IDS2018-v2 の両方で良好な性能を発揮した。一方、GraphSAGE などのベースラインモデルは、一方のデータセットでは強い性能を示したが、他方では性能を発揮できなかった。
• DGI と E-GraphSAGE の使用により、Anomal-E は効果的な自己教師付き表現学習を実現した。DGIベースのモデルは平均で47.91％のマクロF1スコアにとどまり、提案アーキテクチャの優位性を裏付けた。
• Anomal-E は、隔離木を用いた NF-UNSW-NB15-v2 において、4％のコンタミネーション条件下で98.77％の検出率を達成し、異常に対する高い感受性を示した。