[論文レビュー] Early Anomaly Detection by Learning and Forecasting Behavior.

Tong Zhao, Bo Ni+2 more|arXiv (Cornell University)|Oct 20, 2020

Network Security and Intrusion Detection参考文献 46被引用数 4

ひとこと要約

Eland は、行動データの増幅を通じて、行動予測と異常検出を共同で学習することにより、データが限られる状況下でも性能を向上させる、早期グラフ異常検出のための新規フレームワークである。Seq2Seqベースの予測器を用いてユーザー行動を予測し、その予測結果を用いて行動グラフを増幅することで、初期段階のデータが限られても異常検出の精度が向上する。

ABSTRACT

Graph anomaly detection systems aim at identifying suspicious accounts or behaviors on social networking sites and e-commercial platforms. Detecting anomalous users at an early stage is crucial to minimize financial loss. When a great amount of observed behavior data are available, existing methods perform effectively though it may have been too late to avoid the loss. However, their performance would become unsatisfactory when the observed data are quite limited at the early stage. In this work, we propose Eland, a novel framework that uses behavior data augmentation for early anomaly detection. It has a Seq2Seq-based behavior predictor that predicts (i) whether a user will adopt a new item or an item that has been historically adopted and (ii) which item will be adopted. Eland exploits the mutual enhancement between behavior prediction and graph anomaly detection. The behavior graph is augmented with the predicted behaviors such that the graph-based anomaly detection methods can achieve better performance, and the detection results can support the behavior predictor in return. Experiments show that Eland improves the performance of a variety of graph-based anomaly detection methods. With the augmented methods in Eland, the performance of anomaly detection at an earlier stage is comparable with or better than non-augmented methods on a greater amount of observation.

研究の動機と目的

• 初期段階で行動データが限られる状況下でのグラフ異常検出の性能が低いという課題に対処すること。
• ユーザー行動の予測モデリングを活用して行動グラフを増幅することで、早期検出を向上させること。
• 行動予測と異常検出の間で相互強化を実現し、より高い耐性と正確性を達成すること。
• 重大な損害が発生する前に対象となるユーザーを早期に特定することで、財務的損失を低減すること。

提案手法

• Seq2Seqベースの行動予測器を用いて、ユーザーが新しいアイテムを採用するか、または以前に採用したアイテムを再び採用するか、およびどの具体的なアイテムを採用するかを予測する。
• 予測された行動を用いて、元の行動グラフを増幅し、異常検出に適したグラフ構造を強化する。
• 検出結果が行動予測を改善するフィードバックループを構築し、行動予測器とグラフベースの異常検出モデルを統合する。
• 強化されたグラフ構造を活用して、既存のグラフベースの異常検出手法の性能を向上させる。
• 相互強化を活用する：改善された行動予測が異常検出を強化し、異常検出の結果が行動予測をさらに精緻化する。
• 実世界のソーシャルおよび電子商取引プラットフォームにこのフレームワークを適用し、データが限られる状況下での初期段階の検出を評価する。

実験結果

リサーチクエスチョン

• RQ1 観測データが限られる状況下でも、行動予測が早期グラフ異常検出の性能を向上させることができるか？
• RQ2 予測された行動によるデータ増幅が、グラフベースの異常検出の性能にどのように寄与するか？
• RQ3 行動予測と異常検出の間の相互強化が、検出精度をどの程度向上させるか？
• RQ4 Eland は、観測データを著しく減らしても、非増幅手法と同等またはそれ以上の検出性能を達成できるか？

主な発見

• Eland は、行動データの増幅を通じて、さまざまなグラフベースの異常検出手法の性能を向上させる。
• 増幅データを用いることで、Eland は、より多くの観測データを要する非増幅手法と同等またはそれ以上の初期段階での検出性能を達成する。
• 行動予測と異常検出の共同学習により、両者に相互強化が生じ、それぞれの性能が向上する。
• 訓練データが限られる状況下でも効果的であるため、実世界のシステムにおける早期異常検出に適している。