[論文レビュー] E-GraphSAGE: A Graph Neural Network based Intrusion Detection System

Wai Weng Lo, Siamak Layeghy+3 more|arXiv (Cornell University)|Mar 30, 2021

Network Security and Intrusion Detection参考文献 15被引用数 11

ひとこと要約

本稿では、エッジ特徴をサポートするように拡張したGraphSAGEを用いた、グラフニューラルネットワークベースのインシデント検出システム、E-GraphSAGEを提案する。ネットワークフローを健全または悪意あるものに分類するために、エッジ特徴を活用する。6つのベンチマークデータセット上で評価された結果、E-GraphSAGEはエッジレベルの特徴を用いてフローレベルのグラフ構造を効果的にモデル化することで、ネットワークインシデント検出分野で最先端の性能を達成した。

ABSTRACT

This paper presents a new network intrusion detection system (NIDS) based on Graph Neural Networks (GNNs). GNNs are a relatively new sub-field of deep neural networks, which have the unique ability to leverage the inherent structure of graph-based data. Training and evaluation data for NIDSs are typically represented as flow records, which can naturally be represented in a graph format. This establishes the potential and motivation for exploring GNNs for the purpose of network intrusion detection, which is the focus of this paper. E-GraphSAGE, our proposed new approach is based on the established GraphSAGE model, but provides the necessary modifications in order to support edge features for edge classification, and hence the classification of network flows into benign and attack classes. An extensive experimental evaluation based on six recent NIDS benchmark datasets shows the excellent performance of our E-GraphSAGE based NIDS in comparison with the state-of-the-art.

研究の動機と目的

• 従来のNIDSの限界を克服するため、ネットワークフロー・データにおけるグラフニューラルネットワーク（GNN）の構造的モデリング能力を活用すること。
• GraphSAGEを拡張してエッジ特徴を組み込むことで、グラフベースのネットワークインシデント検出における効果的なエッジ分類を可能にすること。
• フローがエッジとして特徴を持つネットワークトラフィックをグラフとしてモデル化するスケーラブルで正確なNIDSを構築し、複雑な攻撃パターンの検出を向上させること。
• 複数のベンチマークデータセット上で提案モデルを最先端の手法と比較し、その性能と一般化能力を検証すること。

提案手法

• エッジレベルの特徴をサポートするようにGraphSAGEフレームワークを拡張し、個々のネットワークフローを健全または悪意あるものに分類できるようにする。
• ノードがネットワークエンティティ（例：ホスト）を表し、エッジが豊富な特徴ベクトルを持つネットワークフローを表す、異種グラフとしてネットワークトラフィックを表現する。
• メッセージパッシング中にノードおよびエッジ特徴を統合するグラフ畳み込み集約メカニズムを用い、ノード表現を更新する。
• 更新されたノード埋め込みに対して最終的な分類器を適用し、各エッジ（フロー）の攻撃クラスを予測する。
• 大規模なグラフにスケーリングするために、効率性を保ちながらモデル性能を損なわないサンプリングに基づく学習戦略を採用する。
• GNNのインダクティブバイアスを活用し、未観測のグラフ構造に一般化できるようにすることで、実環境での導入における耐性を向上させる。

実験結果

リサーチクエスチョン

• RQ1 エッジ特徴を備えたグラフとしてネットワークトラフィックをモデル化することで、GNNベースのモデルが、ネットワークフローを健全または悪意あるものに効果的に分類できるか？
• RQ2 E-GraphSAGEは、多様なベンチマークデータセットにおいて、最先端のNIDSモデルと比較して、検出精度と耐性の面で優れているか？
• RQ3 エッジ特徴を統合することで、エッジレベルの情報を無視するモデルと比較して、インシデント検出性能がどの程度向上するか？
• RQ4 提案モデルは、未観測のネットワークトポロジーやトラフィックパターンに一般化できるか。インダクティブバイアスの利点を示せるか？

主な発見

• E-GraphSAGEは、6つの最近のNIDSベンチマークデータセットすべてで最先端の性能を達成し、既存の手法を上回る検出精度を示した。
• エッジ特徴の統合はモデル性能を顕著に向上させ、グラフベースのNIDSにおけるフローレベルの特性モデリングの重要性を実証した。
• モデルは強力な一般化能力を示し、インダクティブバイアスのおかげで未観測のネットワークトポロジに高い性能を維持した。
• 効率的なサンプリング戦略のおかげで、E-GraphSAGEのスケーラビリティが保たれ、性能劣化を伴わずに大規模なネットワークグラフの学習が可能となった。