[論文レビュー] Automating Botnet Detection with Graph Neural Networks

Jiawei Zhou, Zhiying Xu+2 more|arXiv (Cornell University)|Mar 13, 2020

Network Security and Intrusion Detection参考文献 26被引用数 46

ひとこと要約

本論文はグラフニューラルネットワークを用いて大規模ネットワークグラフに埋め込まれたボットネットを自動検出し、ボットネット構造のトポロジ的パターンを学習することで、深いGNNがさまざまなトポロジで検出性能を向上させることを示す。

ABSTRACT

Botnets are now a major source for many network attacks, such as DDoS attacks and spam. However, most traditional detection methods heavily rely on heuristically designed multi-stage detection criteria. In this paper, we consider the neural network design challenges of using modern deep learning techniques to learn policies for botnet detection automatically. To generate training data, we synthesize botnet connections with different underlying communication patterns overlaid on large-scale real networks as datasets. To capture the important hierarchical structure of centralized botnets and the fast-mixing structure for decentralized botnets, we tailor graph neural networks (GNN) to detect the properties of these structures. Experimental results show that GNNs are better able to capture botnet structure than previous non-learning methods when trained with appropriate data, and that deeper GNNs are crucial for learning difficult botnet topologies. We believe our data and studies can be useful for both the network security and graph learning communities.

研究の動機と目的

• 自動的なボットネット検出を動機づけるため、手動特徴設計や手調整のヒューリスティクスなしに自動的なボットネット検出を動機付ける。
• 大規模なトラフィックグラフ内で、GNNが集中型および分散型のボットネットトポロジを捉えることができるかを検討する。
• 合成および実ボットネットトポロジ上で、学習を伴わないベースラインと比較してGNNを評価する。
• モデルの深さとトポロジがデータセット全体で検出性能と頑健性に与える影響を分析する。

提案手法

• 各ネットワークを、ノードをサブネット実体、エッジを通信として無向グラフとして表現する。
• L層のグラフニューラルネットワークを用いて、ノードレベルの二値分類でボットネットの所属を判定する。
• GNNの正規化をランダムウォーク風に bar_A = D^{-1}A を用い、初期化 X^{(0)} = 1 としてトポロジーに焦点を当てるようにカスタマイズする。
• CAIDAの背景トラフィック上に人工/実ボットネットトポロジをオーバーレイして構築したデータセットでAdamで学習する。
• ロジスティック回帰とBotGrepと比較して評価し、偽陽性、偽陰性、および検出率を報告する。
• 複数ホップのトポロジ依存性を捉えるため、最大12層のより深いGNNアーキテクチャを採用する。

実験結果

リサーチクエスチョン

• RQ1 大規模なグラフ中のノード属性なしでトポロジーのみを用いてエンドツーエンドのGNNがボットネットノードを検出することを学習できるか？
• RQ2 GNNの深さは、集中型と分散型の異なるボットネットトポロジで検出性能にどう影響するか（中央集権型 vs. 分散型）？
• RQ3 GNNは合成および実ボットネットグラフで伝統的なトポロジベース手法や単純なMLベースラインを上回るか？
• RQ4 大規模ボットネットでの学習が小さなボットネットコミュニティを検出する際の頑健性にどのような影響を与えるか（スケール間の頑健性）？

主な発見

• GNNは機械学習ベースのLRより高いボットネット検出率と低い偽陽性を達成し、合成トポロジではBotGrepを含む場合でもしばしば上回る。
• 深いGNN（6層を超えるもの）はほとんどのトポロジで有益であり、一部のトポロジ（Chord）はより深い層を必要とし、他は浅いモデル（de Bruijn）で良好に機能する。
• 小さなボットネットを検出する際には、大規模ボットネットコミュニティでの訓練が有用で、トポロジーのみ学習のデータ駆動的メリットを示す。
• 10k規模のボットネットデータで訓練すると、1kおよび100ボットネットのシcenarioへ reasonably generalize できることを示し、クラス不均衡下での頑健性を示唆。
• 実ボットネット（C2, P2P）ではGNNはLRを著しく上回り、いくつかの構成でほぼ完璧な検出を達成（例：GNNはC2で99.03% DET を達成）している。
• トップロジーに焦点を当てた特徴なし設定が、ボットネットの高速混合性を活用することでGNNの性能向上に寄与している。