[논문 리뷰] Discovering covert node in networked organization

Yoshiharu Maeno, Yukio Ohsawa|arXiv (Cornell University)|2008. 03. 24.

Network Security and Intrusion Detection참고 문헌 25인용 수 4

한 줄 요약

이 논문은 관찰된 통신 또는 협업 기록에 흔적을 남기지 않는 복잡한 네트워크 내의 은밀한 노드를 탐지하기 위한 가능도 기반 방법을 제안한다. 네트워크 구조를 모델링하고 관찰된 데이터의 가능도를 최대화함으로써, 높은 정밀도, 재현율 및 F1 점수를 기록하며 의심스러운 노드와 기록을 정확하게 식별한다. 관찰된 데이터 비율이 높을 경우 이론적 한계에 가까운 성능을 달성한다.

ABSTRACT

Abstract—This paper addresses a method to solve a node discovery problem in a complex network. Covert nodes which exist in a social network do not appear in the records which are observed on the communication or collaborative activities among the nodes. Discovering the covert nodes refers to identifying suspicious records in which the covert nodes would appear, or suspicious nodes which would be the neighbors of the covert nodes, if the covert nodes became overt. The mathematical model is developed for the maximal likelihood estimation of the network and for the identification of the suspicious records and nodes. Precision, recall, and F value characteristics are demonstrated with the test dataset generated from network models (real organization and mathematical model). The performance is close to the theoretical limit for any target covert nodes, network topologies, and network sizes if the ratio of the number of the observed data to the number of the possible communication patterns is high. Index Terms—Complex network, Likelihood, Link discovery, Node discovery, Organization, Social network.

연구 동기 및 목표

• 관찰된 통신 또는 협업 기록에 흔적을 남기지 않는 '은밀한 노드'를 복잡한 네트워크에서 탐지하는 데 도전하는 것.
• 네트워크 구조 및 은밀한 노드 존재 여부에 대한 최대 가능도 추정을 위한 수학적 모델을 개발하는 것.
• 은밀한 노드가 공개가 되었을 경우 연결될 수 있는 의심스러운 기록과 인접 노드를 식별하는 것.
• 다양한 네트워크 구조, 크기 및 은밀한 노드 타겟에 대해 성능을 평가하는 것.
• 높은 데이터 커버리지 조건에서 이론적 성능 한계에 근접하는 방법의 강건성과 근사 최적 성능을 입증하는 것.

제안 방법

• 관찰된 데이터로부터 숨겨진 네트워크 구조를 추론하기 위해 최대 가능도 추정 기반의 확률적 네트워크 모델을 수립한다.
• 관찰된 통신 또는 협업 패턴의 가능도를 모델링하여 은밀한 노드 존재 확률을 추정한다.
• 추정된 모델 하에서 기대되는 패턴과의 편차를 평가하여 의심스러운 노드와 기록을 식별한다.
• 실제 조직 네트워크와 수학적 모델에서 유도된 합성 데이터셋을 사용해 방법을 테스트한다.
• 정밀도, 재현율 및 F1 점수 지표를 적용하여 탐지 성능을 평가한다.
• 네트워크 크기, 구조, 관찰된 데이터 비율이 가능한 통신 패턴에 비해 변할 때 성능을 평가한다.

실험 결과

연구 질문

• RQ1 은밀한 노드가 관찰된 통신 또는 협업 기록에 흔적을 남기지 않을 경우, 어떻게 이들을 복잡한 네트워크에서 탐지할 수 있는가?
• RQ2 어떤 가능도 기반 모델이 네트워크 구조를 정확히 추정하고 의심스러운 기록 및 노드를 식별할 수 있는가?
• RQ3 네트워크 크기, 구조 및 데이터 커버리지 비율에 따라 이 방법의 성능가 어떻게 달라지는가?
• RQ4 은밀한 노드 탐지에서 이론적 성능 한계에 얼마나 가까이 도달하는가?
• RQ5 다양한 네트워크 구성 및 데이터 가용성 수준에서 정밀도, 재현율 및 F1 점수는 어떻게 변화하는가?

주요 결과

• 이 방법은 의심스러운 노드와 기록을 탐지할 때 높은 정밀도, 재현율 및 F1 점수를 기록하며, 이론적 성능 한계에 가까이 도달한다.
• 관찰된 데이터 비율이 가능한 통신 패턴에 비해 높을 경우 성능이 이론적 한계에 근접한다.
• 다양한 네트워크 구조, 크기 및 은밀한 노드 설정 조건에서도 이 방법은 효과성을 유지한다.
• 가능도 기반 모델은 은밀한 노드가 공개가 되었을 경우 연결될 수 있는 이웃 노드를 성공적으로 식별한다.
• 실제 조직 네트워크에서 유도된 합성 데이터셋에 대한 평가를 통해 강건성과 확장성을 확인한다.
• 결과는 데이터 커버리지 비율이 최적의 탐지 성능를 달성하는 데 핵심적인 요소임을 입증한다.