[論文レビュー] Discovering covert node in networked organization

Yoshiharu Maeno, Yukio Ohsawa|arXiv (Cornell University)|Mar 24, 2008

Network Security and Intrusion Detection参考文献 25被引用数 4

ひとこと要約

本稿では、観測された通信や共同作業記録に痕跡を残さないが、相互作用に参加するエンティティ（「隠れたノード」として知られる）を同定するための尤度ベースの手法を提案する。ネットワーク構造をモデル化し、観測データの尤度を最大化することで、高い正確性、再現率、F1スコアを達成し、観測データの比率が高い場合には理論的限界に近い性能を示す。

ABSTRACT

Abstract—This paper addresses a method to solve a node discovery problem in a complex network. Covert nodes which exist in a social network do not appear in the records which are observed on the communication or collaborative activities among the nodes. Discovering the covert nodes refers to identifying suspicious records in which the covert nodes would appear, or suspicious nodes which would be the neighbors of the covert nodes, if the covert nodes became overt. The mathematical model is developed for the maximal likelihood estimation of the network and for the identification of the suspicious records and nodes. Precision, recall, and F value characteristics are demonstrated with the test dataset generated from network models (real organization and mathematical model). The performance is close to the theoretical limit for any target covert nodes, network topologies, and network sizes if the ratio of the number of the observed data to the number of the possible communication patterns is high. Index Terms—Complex network, Likelihood, Link discovery, Node discovery, Organization, Social network.

研究の動機と目的

• 観測された通信や共同作業記録に痕跡を残さない『隠れたノード』を、複雑なネットワーク内で検出する課題に対処すること。
• ネットワーク構造と隠れたノードの存在を最大尤度推定によって数学的にモデル化すること。
• もし隠れたノードが表面化した場合に接続される可能性があると予想される、疑わしい記録および隣接ノードを同定すること。
• 多様なネットワークトポロジ、サイズ、隠れたノードのターゲットに対して、性能を評価すること。
• 高いデータカバレッジ条件下で、本手法の頑健性と理論的最適に近い性能を示すこと。

提案手法

• 最大尤度推定に基づく確率的ネットワークモデルを構築し、観測データから隠れたネットワーク構造を推定する。
• 観測された通信や共同作業パターンの尤度をモデル化し、隠れたノードの存在確率を推定する。
• 推定モデル下での期待されるパターンからの乖離を評価することで、疑わしいノードおよび記録を同定する。
• 実際の組織ネットワークと数学的モデルから生成された合成データセットを用いて、手法の有効性を検証する。
• 検出性能の評価に、正確性、再現率、F1スコアの指標を適用する。
• ネットワークサイズ、トポロジ、観測データと可能な通信パターンの比率の変動に応じた性能を評価する。

実験結果

リサーチクエスチョン

• RQ1 観測された通信や共同作業記録に痕跡を残さない隠れたノードを、複雑なネットワークでどのように検出できるか？
• RQ2 どの尤度ベースのモデルが、ネットワーク構造を正確に推定し、疑わしい記録およびノードを同定できるか？
• RQ3 本手法の性能は、ネットワークサイズ、トポロジ、データカバレッジ比の変化にどのように影響を受けるか？
• RQ4 隠れたノードを検出するにあたり、理論的限界にどの程度近づけるか？
• RQ5 正確性、再現率、F1スコアは、異なるネットワーク構成およびデータ利用可能性レベルでどのように変化するか？

主な発見

• 本手法は、疑わしいノードおよび記録の検出において、高い正確性、再現率、F1スコアを達成し、理論的限界に近づく。
• 観測データと可能な通信パターンの比率が高い場合には、性能が理論的限界に非常に近づく。
• 本手法は、多様なネットワークトポロジ、サイズ、ターゲットとなる隠れたノードの設定に対しても有効である。
• 尤度ベースのモデルは、もし隠れたノードが表面化した場合に接続される可能性があると予想される疑わしいノードを的確に同定できた。
• 実際の組織ネットワークから抽出した合成データセットを用いた評価により、本手法の頑健性とスケーラビリティが確認された。
• 結果から、データカバレッジ比が最適な検出性能を達成する上で極めて重要な要因であることが示された。