[논문 리뷰] A Heterogeneous Graph Learning Model for Cyber-Attack Detection

Mingqi Lv, Chengyu Dong외 4명|arXiv (Cornell University)|2021. 12. 16.

Network Security and Intrusion Detection인용 수 9

한 줄 요약

이 논문은 증명 데이터에서 의미적 표현을 학습하여 침투성이고 장기적인 사이버 공격을 탐지하는 이종 그래프 신경망 모델을 제안한다. 국소 서브그래프를 샘플링하고 메타패스 기반 임베딩을 활용함으로써, 기존의 학습 기반 모델보다 뛰어난 탐지 성능을 달성하고, 실제 데이터셋에서 규칙 기반 시스템과도 경쟁 가능한 성능을 보인다.

ABSTRACT

A cyber-attack is a malicious attempt by experienced hackers to breach the target information system. Usually, the cyber-attacks are characterized as hybrid TTPs (Tactics, Techniques, and Procedures) and long-term adversarial behaviors, making the traditional intrusion detection methods ineffective. Most existing cyber-attack detection systems are implemented based on manually designed rules by referring to domain knowledge (e.g., threat models, threat intelligences). However, this process is lack of intelligence and generalization ability. Aiming at this limitation, this paper proposes an intelligent cyber-attack detection method based on provenance data. To effective and efficient detect cyber-attacks from a huge number of system events in the provenance data, we firstly model the provenance data by a heterogeneous graph to capture the rich context information of each system entities (e.g., process, file, socket, etc.), and learns a semantic vector representation for each system entity. Then, we perform online cyber-attack detection by sampling a small and compact local graph from the heterogeneous graph, and classifying the key system entities as malicious or benign. We conducted a series of experiments on two provenance datasets with real cyber-attacks. The experiment results show that the proposed method outperforms other learning based detection models, and has competitive performance against state-of-the-art rule based cyber-attack detection systems.

연구 동기 및 목표

• 변경되는 환경 간의 일반화 능력이 떨어지고 전문 지식에 크게 의존하는 규칙 기반 사이버 공격 탐지 시스템의 한계를 해결하기 위해.
• 단기적 행동에 집중하고 풍부한 맥락 정보를 忽시하는 전통적인 침입 탐지 방법의 비효율성과 낮은 일반화 능력을 극복하기 위해.
• 복잡하고 침투성이며 지속적인 사이버 공격을 증명 데이터를 활용해 식별할 수 있는 지능적이고 확장 가능한 탐지 시스템을 개발하기 위해.
• 시스템 엔티티 간 장거리 종속성을 모델링하여 하이브리드 TTPs(전략, 기법, 절차)를 사용하는 공격을 효과적으로 탐지하기 위해.
• 시스템 이벤트 데이터에서 그래프 표현 학습을 통해 암묵적인 공격 패tern을 직접 학습함으로써 수동 규칙 설계에 대한 의존도를 줄이기 위해.

제안 방법

• 이 방법은 시스템 증명 데이터를 이종 그래프로 모델링하며, 노드는 시스템 엔티티(예: 프로세스, 파일, 소켓)를 나타내고, 간선은 시스템 이벤트(예: 읽기, 왤기, 포크)를 나타낸다.
• 다양한 종류의 엔티티와 이벤트 간의 고수준 의미적 상호작용을 포착하기 위해 메타패스 기반 그래프 임베딩을 활용하여, 복잡한 공격 행동의 의미 있는 표현을 학습할 수 있도록 한다.
• 효율적인 온라인 탐지 가능성을 위해 후보 시스템 엔티티 주변의 압축되고 맥락이 풍부한 이웃 영역을 추출하기 위해 국소 서브그래프 샘플링 전략을 사용한다.
• 샘플된 국소 그래프에 그래프 컨volution 네트워크(GCNs)를 적용하여 특징을 전파하고 집계함으로써, 직접 관측되지 않은 악성 엔티티도 탐지할 수 있도록 한다.
• 온라인 추론을 위해, 학습된 표현과 그래프 내 기존 레이블이 부여된 노드를 활용하여 새로운 관측되지 않은 시스템 엔티티의 레이블을 추론하는 데 레이블 전파를 사용한다.
• 프레임워크는 로컬 그래프 맥락과 학습된 임베딩 기반으로 시스템 엔티티를 악성 또는 양성으로 분류하도록 엔드 투 엔드로 훈련된다.

실험 결과

연구 질문

• RQ1 이종 그래프 학습 모델은 다수의 시스템 엔티티와 하이브리드 TTPs를 포함하는 침투성이고 장기적인 사이버 공격을 효과적으로 탐지할 수 있는가?
• RQ2 표준 노드 수준의 표현에 비해 메타패스 기반 그래프 임베딩은 복잡한 공격 패턴 탐지에 어떻게 향상되는가?
• RQ3 국소 서브그래프 샘플링과 그래프 컨볼루션은 계산 효율성을 유지하면서 탐지 성능을 얼마나 향상시킬 수 있는가?
• RQ4 제안된 방법은 정밀도, 재현율 및 새로운 공격 시나리오에 대한 적응성 측면에서 최첨단 규칙 기반 시스템과 어떻게 비교되는가?
• RQ5 레이블 전파를 통해 이종 그래프에서 재훈련 없이도 실시간으로 새로운 시스템 엔티티에 대해 일반화가 가능한가?

주요 결과

• Lab 데이터셋에서 제안된 방법은 99.35% 정확도, 99.58% 재현율, 95.30% 매크로-F1을 달성하여 NeighborAvg와 LabelProp를 크게 능가했다.
• DARPA 데이터셋에서 방법은 100% 재현율과 99.24% 정확도를 기록하여 침투성 공격에 대한 강력한 탐지 능력을 입증했다.
• 다른 학습 기반 모델들보다 정밀도와 F1 스코어 모두에서 뛰어난 성능을 보이며, 다양한 공격 패턴 탐지에 대한 강건성과 일반화 능력을 입증했다.
• 레이블 전파 기반 추론이 높은 성능을 기록하여, 모델의 확장성과 동적인 시스템 환경에 대한 적응성을 보여주었다.
• 고차원 이웃 전파를 통해 장거리 종속성을 포착함으로써, 악성 행동이 초기 노드에서 직접 관측되지 않는 공격도 탐지할 수 있었다.
• 결과적으로 제안된 방법은 규칙 기반 시스템과 경쟁 가능한 성능을 달성하면서도 전문 지식 의존도와 수동 규칙 생성 의존도를 줄였다.