[論文レビュー] Statistical Evaluation of Spectral Methods for Anomaly Detection in Networks

Tomilayo Komolafe, Valeria Quevedo+2 more|arXiv (Cornell University)|Nov 4, 2017

Complex Network Analysis Techniques参考文献 46被引用数 5

ひとこと要約

本稿は、静的ネットワークにおけるスペクトル異常検出手法（カイ二乗検定、L₁ノルム、スパースPCA）の統計的評価を提供し、分布仮定の欠陥と性能の不安定性を明らかにした。本稿では、しきい値に頑健なカイ二乗検定およびL₁ノルム手法の改善版を提案し、二値ネットワークおよびカウントネットワークにおいて、特に疎な接続性や異なるネットワークサイズの下でも、既存の手法を上回る性能を示した。

ABSTRACT

Monitoring of networks for anomaly detection has attracted a lot of attention in recent years especially with the rise of connected devices and social networks. This is of importance as anomaly detection could span a wide range of application, from detecting terrorist cells in counter-terrorism efforts to phishing attacks in social network circles. For this reason, numerous techniques for anomaly detection have been introduced. However, application of these techniques to more complex network models is hindered by various challenges such as the size of the network being investigated, how much apriori information is needed, the size of the anomalous graph, among others. A recent technique introduced by Miller et al, which relies on a spectral framework for anomaly detection, has the potential to address many of these challenges. In their discussion of the spectral framework, three algorithms were proposed that relied on the eigenvalues and eigenvectors of the residual matrix of a binary network. The authors demonstrated the ability to detect anomalous subgraphs that were less than 1% of the network size. However, to date, there is little work that has been done to evaluate the statistical performance of these algorithms. This study investigates the statistical properties of the spectral methods, specifically the Chi-square and L1 norm algorithm proposed by Miller. We will analyze the performance of the algorithm using simulated networks and also extend the method's application to count networks. Finally we will make some methodological improvements and recommendations to both algorithms.

研究の動機と目的

• 静的ネットワークにおけるスペクトル異常検出手法の統計的評価が不足しているという問題に対処すること。
• 特に検定統計量の分布仮定に欠陥を含む、既存のスペクトルアルゴリズムの深刻な欠陥を特定すること。
• ネットワークサイズ、接続性、モデルタイプに頑健な、実用的なカイ二乗検定およびL₁ノルムアルゴリズムの改善版を開発すること。
• 二値ネットワークからの評価を、遺伝子転写や通信ログのような実世界の応用で一般的なカウントネットワークへ拡張すること。
• 歴史的データや複雑なパrameterチューニングを必要とせず、信頼性の高いデータ駆動型しきい値を実務家に提供すること。

提案手法

• ノード数（128〜1024）と接続確率を変化させたエローズ・レニーおよびチュン＝ルーランダムネットワークモデルを用いた広範なシミュレーションスタディを実施した。
• カイ二乗検定統計量とL₁ノルム統計量の分布的挙動を、それぞれ理論的なカイ二乗分布およびガブリー分布と比較し、分位数比較を用いて評価した。
• ネットワークの接続性とサイズの影響を補正することで、疎なネットワークでも性能が向上するように、修正されたカイ二乗統計量を提案した。
• 現在のネットワークにのみ依存する標準化されたL₁ノルム統計量を導入し、履歴データの必要性を排除することで、しきい値の安定性を向上させた。
• R-MATモデルを用いて重み付きで非二値なエッジ構造を模擬することで、カウントネットワークへのアルゴリズムの拡張を実施した。
• 複数のネットワーク構成において、検出率と誤検出率を評価するため、経験的分布の95百分位点をシグナリングしきい値として用いた。

実験結果

リサーチクエスチョン

• RQ1 スペクトル異常検出で用いられる検定統計量（カイ二乗検定およびL₁ノルム）は、異なるネットワークモデルやサイズにおいて、仮定された理論的分布に従うのか？
• RQ2 ネットワークの接続性、ノード数、モデルタイプは、スペクトル異常検出アルゴリズムの性能と信頼性にどのように影響を与えるのか？
• RQ3 履歴データに依存しないようにすることで、L₁ノルムアルゴリズムを静的ネットワークで実用的に行えるか？
• RQ4 カウントネットワーク（実世界の応用で一般的だが、先行研究では未十分に検討されている）において、カイ二乗検定およびL₁ノルム手法はどのように性能を発揮するのか？
• RQ5 カイ二乗検定およびL₁ノルム統計量に対する手法の改善は、多様なネットワーク構成において、より安定した検出と低い誤検出率を実現できるか？

主な発見

• カイ二乗検定統計量は、実際にはカイ二乗分布に従わず、特に疎なネットワークでは信頼性の低い検出しきい値を引き起こす。
• L₁ノルム統計量はガブリー分布に従わず、検出性能が非単調的であり、異常ノード数が増加するにつれて検出率がピークに達した後、低下する傾向を示す。
• L₁ノルムアルゴリズムの性能は、モデルミスマッチの影響を強く受け、残差行列における固有値クラスタリングが検出率を歪める。
• 現在のネットワークにのみ依存する標準化されたL₁ノルム統計量は、誤検出率を低減し、特にm < nの場合にしきい値の安定性を向上させる。
• 改善されたカイ二乗法は、元の定式化と比較して、疎なネットワークにおいて顕著に優れた検出性能と誤検出率を示す。
• カウントネットワークでは、m < n の条件下で極値理論を用いたL₁ノルムが、元のL₁ノルムおよびカイ二乗法を上回り、全テストネットワークオーダーおよびモデルで誤検出率が0.01〜0.04に低下する。