[논문 리뷰] Automating Botnet Detection with Graph Neural Networks

Jiawei Zhou, Zhiying Xu외 2명|arXiv (Cornell University)|2020. 03. 13.

Network Security and Intrusion Detection참고 문헌 26인용 수 46

한 줄 요약

본 논문은 그래프 신경망을 활용하여 대규모 네트워크 그래프에 내재된 봇넷을 자동으로 탐지하기 위해 봇넷 구조의 위상학적 패턴을 학습하며, 더 깊은 GNN이 다양한 토폴로지에서 탐지 성능을 향상시킨다고 제시한다.

ABSTRACT

Botnets are now a major source for many network attacks, such as DDoS attacks and spam. However, most traditional detection methods heavily rely on heuristically designed multi-stage detection criteria. In this paper, we consider the neural network design challenges of using modern deep learning techniques to learn policies for botnet detection automatically. To generate training data, we synthesize botnet connections with different underlying communication patterns overlaid on large-scale real networks as datasets. To capture the important hierarchical structure of centralized botnets and the fast-mixing structure for decentralized botnets, we tailor graph neural networks (GNN) to detect the properties of these structures. Experimental results show that GNNs are better able to capture botnet structure than previous non-learning methods when trained with appropriate data, and that deeper GNNs are crucial for learning difficult botnet topologies. We believe our data and studies can be useful for both the network security and graph learning communities.

연구 동기 및 목표

• 수동 특성 공학이나 수작업 조정 휴리스틱 없이 자동 봇넷 탐지의 필요성을 제기한다.
• 대규모 트래픽 그래프 내에서 중앙집중형 및 분산형 봇넷 토폴로지를 GNN이 포착할 수 있는지 탐구한다.
• 합성 및 실제 봇넷 토폴로지에서 비학습 기준선과 비교하여 GNN을 평가한다.
• 모델의 깊이와 토폴로지가 데이터셋 전반의 탐지 성능 및 로버스트니스에 어떤 영향을 주는지 분석한다.

제안 방법

• 각 네트워크를 노드가 서브넷 엔티티이고 간선이 통신인 무방향 그래프로 표현한다.
• 봇넷 멤버십의 노드 수준 이진 분류를 수행하기 위해 L 계층의 그래프 신경망을 사용한다.
• 그래프 신경망의 정규화를 무작위 보행 스타일 bar_A = D^{-1}A를 사용하도록 커스터마이즈하고 초기화 X^{(0)} = 1로 토폴로지에 집중한다.
• CAIDA 백그라운드 트래픽에 합성/실제 봇넷 토폴로지를 오버레이하여 구성한 데이터셋으로 Adam으로 학습한다.
• 로지스틱 회귀 및 BotGrep와 비교 평가하고, 거짓 양성/거짓 음성 및 탐지율을 보고한다.
• 다계층 토폴로지 의존성을 포착하기 위해 최대 12층까지 더 깊은 GNN 아키텍처를 활용한다.

실험 결과

연구 질문

• RQ1 노드 속성 없이 대규모 그래프의 토폴로지만으로 봇넷 노드를 탐지하도록 엔드투엔드 GNN이 학습할 수 있는가?
• RQ2 서로 다른 봇넷 토폴로지(중앙집중형 대 분산형)에서 GNN 깊이가 탐지 성능에 어떤 영향을 미치는가?
• RQ3 합성 및 실제 봇넷 그래프에서 GNN이 전통적 토폴로지 기반 방법과 간단한 ML 기반선보다 우수한가?
• RQ4 더 큰 봇넷으로 학습했을 때 작은 봇넷 커뮤니티를 탐지하는 데 미치는 영향(다양한 규모에서의 로버스트니스)?

주요 결과

• GNN은 합성 토폴로지에서 LR보다 더 높은 봇넷 탐지율과 낮은 거짓 양성을 달성하며 종종 BotGrep보다 우수하다.
• 대부분의 토폴로지에서 6층을 넘는 더 깊은 GNN이 유익하며, 일부 토폴로지는 더 깊이가 필요(Chord), 다른 토폴로지는 얕은 모델에서도 잘 작동한다(De Bruijn).
• 더 큰 봇넷 커뮤니티로 학습하면 작은 봇넷에 대한 탐지가 향상되며, 토폴로지 기반 학습의 데이터 기반 이점을 보여준다.
• 10k 봇넷 데이터로 학습한 모델은 1k 및 100 봇넷 시나리오에 합리적으로 일반화되며, 클래스 불균형에서도 로버스트함을 시사한다.
• 실제 봇넷(C2, P2P)에서는 GNN이 LR보다 충분히 우수하며, 일부 구성에서 거의 완벽한 탐지가 나타난다(예: C2에서 DET 99.03%).
• 토폴로지 중심의 특성 없는 설정이 봇넷의 빠른 혼합 특성을 활용하여 GNN 성능을 향상시킨다.