[論文レビュー] Multi-centrality Graph Spectral Decompositions and their Application to Cyber Intrusion Detection

Pin‐Yu Chen, Sutanay Choudhury+1 more|arXiv (Cornell University)|Dec 23, 2015

Complex Network Analysis Techniques被引用数 3

ひとこと要約

本稿では、複数のグラフ中心性特徴（ウォーク統計、基準ノードへの距離、さまざまな中心性測度など）をスペクトル分解に統合する、マルチセンタリティグラフPCA（MC-GPCA）およびマルチセンタリティグラフ辞書学習（MC-GDL）を提案する。次元削減および異常検出に用いられ、サイバー侵入検出に応用された。MC-GPCAは構造的差分スコア（SDS）を用いて構造的逸脱を特定するが、MC-GDLは攻撃を分類するための特徴的な構造的原子を学習する。従来の次数ベースの指標に比べ、ネットワーク異常を検出する上で優れた性能を示す。

ABSTRACT

Many modern datasets can be represented as graphs and hence spectral decompositions such as graph principal component analysis (PCA) can be useful. Distinct from previous graph decomposition approaches based on subspace projection of a single topological feature, e.g., the Fiedler vector of centered graph adjacency matrix (graph Laplacian), we propose spectral decomposition approaches to graph PCA and graph dictionary learning that integrate multiple features, including graph walk statistics, centrality measures and graph distances to reference nodes. In this paper we propose a new PCA method for single graph analysis, called multi-centrality graph PCA (MC-GPCA), and a new dictionary learning method for ensembles of graphs, called multi-centrality graph dictionary learning (MC-GDL), both based on spectral decomposition of multi-centrality matrices. As an application to cyber intrusion detection, MC-GPCA can be an effective indicator of anomalous connectivity pattern and MC-GDL can provide discriminative basis for attack classification.

研究の動機と目的

• 既存のグラフPCAおよび辞書学習手法が単一の中心性測度に依存しており、ノイズやグラフ構造の変化に対して感受性が強いという限界を是正すること。
• 複数のトポロジー的特徴（例：グラフウォーク統計、中心性測度、ノード間距離など）を統合した、統一されたスペクトル分解フレームワークを構築し、グラフ解析における耐障害性を向上させること。
• 提案手法をサイバー侵入検出に応用し、ネットワークトラフィックグラフにおける異常な接続パターンの検出および攻撃タイプの分類を可能にすること。
• マルチセンタリティ特徴が、エッジの削除、重みの変更、有向グラフにおける方向の変更といった構造的変化に対して感受性を高めることを実証すること。

提案手法

• MC-GPCAは、複数のグラフ中心性特徴（例：1～20ホップのウォーク統計、10個の高次数ノードへの距離、10種類の中心性測度）から構成される行列に対してSVDを適用し、スペクトル分解を実行することで、1つのグラフの低次元表現を可能にする。
• MC-GDLは、各グラフから抽出したSDS特徴にK-SVDベースの辞書学習を適用することで、グラフの集合全体に応用するフレームワークを拡張し、スパース係数と特徴的な構造的原子を学習する。
• 本手法は、p=56列の特徴行列Xを構築する。この行列には、ウォーク統計（1～20ホップ）、10種類の中心性測度（LFVCではエッジの方向を除く）、および10個の高次数リファレンスノードへの距離が統合される。
• 構造的差分スコア（SDS）は、MC-GPCAの最初の2つの主成分を用いて計算され、通常のネットワーク行動からの構造的逸脱を定量化する。
• 辞書学習の段階では、各グラフに対してz=300個の最大SDS値を選択し、K=2個の構造的原子とそれに対応するスパース係数をK-SVDを用いて学習する。これにより攻撃分類が可能になる。
• 本フレームワークは、重み付き、有向、非連結グラフをサポートするが、従来の手法は無向、連結、または重みなしのグラフに限定されていた。

実験結果

リサーチクエスチョン

• RQ1 スペクトル分解に複数の中心性特徴を統合することで、グラフ内の微細な構造的変化の検出が向上するか？
• RQ2 MC-GPCAは、サイバー攻撃時における異常なネットワーク接続パターンを、次数ベースの指標と比較してどのように特定できるか？
• RQ3 MC-GDLは、ネットワークグラフにおける通常動作と攻撃行動を効果的に表現する特徴的な構造的原子を学習できるか？
• RQ4 マルチセンタリティ特徴は、エッジの削除や方向の変更といったグラフトポロジーの変動やノイズに対して、どの程度耐性を高めるか？

主な発見

• MC-GPCAの構造的差分スコア（SDS）は、異常検出に効果的である：UNBデータセットのDay 3、4、5では、それぞれ侵入、DoS、ボットネットDDoS攻撃に対応するため、SDS値が顕著に高くなる。
• 次数統計量は異常を検出できない。特に、Day 7のSSHブルートフォース攻撃は局所的であり、グローバルな次数分布に影響を与えないため、検出が困難である。
• MC-GDLは2つの構造的原子を効果的に学習した：1つは主ルータを示す単一のスパイクを持つ通常動作を表し、もう1つはSDS特徴の分散が高いため攻撃パターンを捉える。
• MC-GDLの係数行列は、攻撃分類に有効である。K-meansクラスタリング（2クラスタ）を用いることで、Day 3、4、5が正常でないことを正しく特定した。
• ウォーク統計、リファレンスノードへの距離、10種類の中心性測度といった複数の中心性特徴の統合により、単一特徴アプローチに比べ、より耐障害性が高く、判別力に優れた表現が得られた。
• MC-GPCAは1つまたは2つの主成分でデータ分散の大部分を説明しており、マルチセンタリティ特徴が構造的パターンの主要なトレンドを効果的に捉えていることが示された。