[論文レビュー] BotGraph: Web Bot Detection Based on Sitemap

Yang Luo, Guozhen She+2 more|arXiv (Cornell University)|Mar 19, 2019

Network Security and Intrusion Detection参考文献 8被引用数 4

ひとこと要約

BotGraphは、サイトマップに基づくセッション部分グラフから得られる2次元画像としてWebトラフィックをモデル化する行動ベースのボット検出システムを提案する。畳み込みニューラルネットワーク（CNN）を用いることで、高精度な検出が可能となり、実際の生産環境データにおいて約95％の精度と再現率を達成した。この手法は、UserAgent やIPアドレスなど簡単に偽装可能なID特徴に依存せずにボットを効果的に同定できる。

ABSTRACT

The web bots have been blamed for consuming large amount of Internet traffic and undermining the interest of the scraped sites for years. Traditional bot detection studies focus mainly on signature-based solution, but advanced bots usually forge their identities to bypass such detection. With increasing cloud migration, cloud providers provide new opportunities for an effective bot detection based on big data to solve this issue. In this paper, we present a behavior-based bot detection scheme called BotGraph that combines sitemap and convolutional neural network (CNN) to detect inner behavior of bots. Experimental results show that BotGraph achieves ~95% recall and precision on 35-day production data traces from different customers including the Bing search engine and several sites.

研究の動機と目的

• IPブロッキングやUserAgentフィルタリングなどの従来のIDベースの検出手法を回避する高度なWebボットを検出する課題に対処すること。
• 数百万の多様なWebサイトを管理するクラウドプロバイダに適した汎用的でスケーラブルなボット検出方式を開発すること。
• URLアクセス順序や頻度といったWebトラフィックの行動パターンを、IDに依存しない強力な検出信号として活用すること。
• ボットのフォンダムスプーフィングによる従来手法の失敗を招く高ボットトラフィック環境でも、検出精度を向上させること。
• グラフベースのセッションモデリングとディープラーニングの組み合わせが、ボットと正当なユーザーを効果的に区別できることを示すこと。

提案手法

• 静的ファイルの解析、動的クローリング、アクセスログからのヒューリスティック推論の3つの手法を用いて、各Webサイトのサイトマップを構築する。
• 各クライアントセッションを、ノードがURLパターン、エッジがアクセス遷移とその頻度を表すサイトマップの部分グラフにマッピングする。
• URLアクセスパターンと頻度の空間符号化を用いて、各セッション部分グラフを2次元画像表現に変換する。
• ラベル付きトラフィックトレースを用いた教師あり学習により、これらの2次元画像を入力として、CNNを訓練し、セッションをボットまたは非ボットに分類する。
• CNNの特徴マップを活用して、クライントの信号やIDメタデータに依存しない、識別的な行動パターンを学習する。
• 生産環境での低遅延デプロイを実現するため、GPUハードウェアを用いたベンチマークを実施し、推論性能を最適化する。

実験結果

リサーチクエスチョン

• RQ1 実際の高トラフィック環境において、サイトマップから導出されたセッショングラフを用いた行動ベースの検出は、IDベースのボット検出を上回ることができるか？
• RQ2 セッション部分グラフの2次元画像を入力として学習したCNNモデルは、IPアドレスやUserAgent文字列を一切使用しない状況でも、ボット検出において高い精度と再現率を達成できるか？
• RQ3 サイトマップベースのグラフ表現は、多様なWebサイトにおいてボットと正当なユーザーの行動パターンを区別するのにどの程度有効か？
• RQ4 ボットセッション比（BoS）が変動する状況下、特に低ボットトラフィック環境（BoS < 10%）において、BotGraphモデルの性能はいかがなものか？
• RQ5 サイト固有の特徴に依存せず、構造的セッションパターンに依存する本モデルは、再トレーニングなしに異なる業界やWebサイトタイプに一般化可能か？

主な発見

• BotGraphは、Bingや複数のカスタマーサイトを含む多様なソースからの35日間の生産データトレースにおいて、約95％の精度と再現率を達成した。
• ボットセッション比（BoS）が49％以上のデータセットでは、BotGraphは95％以上の精度と再現率を維持しており、高ボット環境下でも優れた性能を示している。
• 低ボットトラフィック状況（BoS < 10%）でも、BotGraphは95％以上の精度と約70％の再現率を達成しており、散発的なボット行動に対しても堅牢であることが示された。
• ClientIP や UserAgent などのIDベースの特徴を除外した状況でも、SVM や XGBoost、LSTM などの従来の機械学習手法を上回る性能を示した。
• 誤検出と誤検出は、主に3回未満のURLアクセスを持つセッションで観察され、この場合、ボットと人間の行動パターンが最小限の相互作用により一致するためである。
• 標準的なGPUハードウェア上でも、システムの導入に伴う遅延は最小限に抑えられ、推論性能は一般的なインターネットの往復遅延（50–100 ms）と同等であった。