[論文レビュー] Structural Temporal Graph Neural Networks for Anomaly Detection in Dynamic Graphs

Lei Cai, Zhengzhang Chen+5 more|arXiv (Cornell University)|May 15, 2020

Advanced Graph Neural Networks参考文献 23被引用数 11

ひとこと要約

この論文では、動的グラフ内の異常エッジを検出するために、部分グラフの構造的変化と時間的ダイナミクスをモデル化するエンドツーエンドの構造的時系列グラフニューラルネットワーク、StrGNNを提案する。StrGNNは、ターゲットエッジの周囲にhホップの囲繞部分グラフを抽出し、ノードラベリングとSortPoolingを用いたグラフ畳み込みにより構造的特徴を捉え、GRUを用いて時間的変化をモデル化する。実企業システムにおける実験では、0%の偽陰性と、少なくとも50%の偽陽性削減を達成し、最先端の性能を示した。

ABSTRACT

Detecting anomalies in dynamic graphs is a vital task, with numerous practical applications in areas such as security, finance, and social media. Previous network embedding based methods have been mostly focusing on learning good node representations, whereas largely ignoring the subgraph structural changes related to the target nodes in dynamic graphs. In this paper, we propose StrGNN, an end-to-end structural temporal Graph Neural Network model for detecting anomalous edges in dynamic graphs. In particular, we first extract the $h$-hop enclosing subgraph centered on the target edge and propose the node labeling function to identify the role of each node in the subgraph. Then, we leverage graph convolution operation and Sortpooling layer to extract the fixed-size feature from each snapshot/timestamp. Based on the extracted features, we utilize Gated recurrent units (GRUs) to capture the temporal information for anomaly detection. Extensive experiments on six benchmark datasets and a real enterprise security system demonstrate the effectiveness of StrGNN.

研究の動機と目的

• 動的グラフにおける部分グラフの構造的変化を無視する、既存のグラフ埋め込み手法がノード表現に焦点を当てているという限界に対処すること。
• ターゲットエッジの周囲の構造的パターンとその時間的変化を両方とも捉えるエンドツーエンドのモデルを開発すること。
• 特に偽陽性率が低く、偽陰性がゼロの実世界システムにおける異常検出性能を向上させること。
• 完全な歴史的ノード知識に依存しない、新しいノードやエッジの変更に強い手法を設計すること。

提案手法

• StrGNNは、動的グラフスナップショットから各ターゲットエッジを中心とするhホップの囲繞部分グラフを抽出する。
• 各ノードが部分グラフ内で果たす役割を特定するためのノードラベリング関数を導入し、構造的表現を強化する。
• 3層のグラフ畳み込みネットワーク（GCNs）により階層的グラフ特徴を抽出し、固定サイズの埋め込みを生成するためのSortPooling層を適用する。
• 時間モジュールは、時系列にわたる部分グラフ特徴の変化をモデル化するためにゲート付き再帰ユニット（GRUs）を用いる。
• Adam最適化を用い、学習率1e-4、バッチサイズ32、50エポックでエンドツーエンドにモデルを訓練する。
• ノード埋め込みを必要とせず、動的グラフにおける新しいノードやエッジの変更に対して感受性が低い。

実験結果

リサーチクエスチョン

• RQ1 ターゲットエッジの周囲の部分グラフ構造的変化をモデル化することで、動的グラフにおける異常検出性能が向上するか？
• RQ2 時間的グラフニューラルネットワークは、異常エッジを特定するための変化する構造的パターンをどの程度効果的に捉えることができるか？
• RQ3 エンドツーエンドフレームワークは、最小限の偽陽性で実世界の侵入検出において、既存の埋め込みベース手法を上回ることができるか？
• RQ4 提案手法は、動的グラフにおけるノードおよびエッジ構成の変化に対してどの程度頑健であるか？

主な発見

• StrGNNは6つのベンチマークデータセットすべてで4つのベースライン手法を上回り、異常注入率（1%、5%、10%）のいかなる条件下でも最高のAUCを達成した。
• UCI Messagesデータセットでは、学習データが増加してもStrGNNのAUCは安定的かつ高い水準を維持し、学習データの75%まで到達するとピークに達し、以降は安定した。
• 実企業内侵入検出において、StrGNNはAUC 0.99を達成し、次に優れたベースライン（NetWalk：0.90）を著しく上回った。
• StrGNNは全82件の真の攻撃イベントをすべて検出（再現率100%）し、偽陽性は164件にとどまり、最先端手法と比較して少なくとも50%の偽陽性削減を達成した。
• PCAを用いたGRUで学習された埋め込みの可視化により、異常な部分グラフパターンと通常のパターンが明確に分離されており、有効な表現学習が行われていることが確認された。