[논문 리뷰] E-GraphSAGE: A Graph Neural Network based Intrusion Detection System

Wai Weng Lo, Siamak Layeghy외 3명|arXiv (Cornell University)|2021. 03. 30.

Network Security and Intrusion Detection참고 문헌 15인용 수 11

한 줄 요약

이 논문은 네트워크 플로우를 정상 또는 악성으로 분류하기 위해 엣지 특징을 지원하는 GraphSAGE를 확장한 E-GraphSAGE를 제안한다. 여섯 개의 벤치마크 데이터셋에서 평가된 결과, E-GraphSAGE는 엣지 수준의 특징을 활용해 플로우 수준의 그래프 구조를 효과적으로 모델링함으로써 네트워크 침입 탐지 분야에서 최고 성능을 기록한다.

ABSTRACT

This paper presents a new network intrusion detection system (NIDS) based on Graph Neural Networks (GNNs). GNNs are a relatively new sub-field of deep neural networks, which have the unique ability to leverage the inherent structure of graph-based data. Training and evaluation data for NIDSs are typically represented as flow records, which can naturally be represented in a graph format. This establishes the potential and motivation for exploring GNNs for the purpose of network intrusion detection, which is the focus of this paper. E-GraphSAGE, our proposed new approach is based on the established GraphSAGE model, but provides the necessary modifications in order to support edge features for edge classification, and hence the classification of network flows into benign and attack classes. An extensive experimental evaluation based on six recent NIDS benchmark datasets shows the excellent performance of our E-GraphSAGE based NIDS in comparison with the state-of-the-art.

연구 동기 및 목표

• 기존 NIDS의 한계를 보완하기 위해 네트워크 플로우 데이터에 대한 그래프 신경망(GNN)의 구조적 모델링 능력을 활용하고자 한다.
• GraphSAGE를 확장하여 엣지 특징을 통합함으로써 그래프 기반 네트워크 침입 탐지에서 효과적인 엣지 분류를 가능하게 하고자 한다.
• 플로우가 특징을 지닌 엣지로 표현되는 그래프로 네트워크 트래픽을 모델링함으로써 확장 가능하고 정확한 NIDS를 개발하고자 한다. 이는 복잡한 공격 패tern의 탐지 향상에 기여한다.
• 제안된 모델이 여러 벤치마크 데이터셋에서 최첨단 기법들과 비교되어 성능과 일반화 능력이 검증됨을 입증하고자 한다.

제안 방법

• GraphSAGE 프레임워크를 확장하여 엣지 수준의 특징을 지원함으로써, 개별 네트워크 플로우를 정상 또는 악성으로 분류할 수 있도록 한다.
• 노드가 네트워크 엔티티(예: 호스트)를 나타내고 엣지가 풍부한 특징 벡터를 지닌 네트워크 플로우를 나타내는 이질적 그래프로 네트워크 트래픽을 표현한다.
• 메시지 전파 과정에서 노드 및 엣지 특징을 모두 통합하는 그래프 컨볼루션 집계 메커니즘을 사용하여 노드 표현을 업데이트한다.
• 업데이트된 노드 임베딩에 최종 분류기를 적용하여 각 엣지(플로우)의 공격 유형을 예측한다.
• 대규모 그래프로의 확장성을 확보하기 위해 샘플링 기반 학습 전략을 활용함으로써 효율성을 유지하면서도 모델 성능을 손상시키지 않는다.
• GNN의 인덕티브 바이어스를 활용하여 미리 보지 못한 그래프 구조로의 일반화를 가능하게 하여 실세계 구현에서의 강건성을 향상시킨다.

실험 결과

연구 질문

• RQ1 플로우 수준의 특징을 지닌 그래프로 네트워크 트래픽을 모델링함으로써, GNN 기반 모델이 엣지 수준의 특징을 활용해 네트워크 플로우를 정상 또는 악성으로 효과적으로 분류할 수 있는가?
• RQ2 다양한 벤치마크 데이터셋에서 E-GraphSAGE는 최첨단 NIDS 모델들과 비교해 탐지 정확도와 강건성 측면에서 어떻게 성능을 내는가?
• RQ3 엣지 특징을 통합함으로써 기존 엣지 수준 정보를 忽시하는 모델에 비해 침입 탐지 성능 향상에 얼마나 기여하는가?
• RQ4 제안된 모델은 미리 보지 못한 네트워크 토폴로지와 트래픽 패턴으로 일반화할 수 있는가? 이는 인덕티브 바이어스의 이점을 어떻게 보여주는가?

주요 결과

• E-GraphSAGE는 최근 여섯 개의 NIDS 벤치마크 데이터셋에서 최고 성능을 기록하며 기존 방법들보다 탐지 정확도에서 뛰어난 성능을 보였다.
• 엣지 특징의 통합은 모델 성능 향상에 상당한 기여를 하였으며, 그래프 기반 NIDS에서 플로우 수준의 특성 모델링의 중요성을 입증하였다.
• 모델는 강력한 일반화 능력을 보였으며, 인덕티브 바이어스 덕분에 미리 보지 못한 네트워크 토폴로지에서도 높은 성능를 유지하였다.
• 효율적인 샘플링 전략을 통해 E-GraphSAGE의 확장성은 유지되었으며, 성능 저하 없이 대규모 네트워크 그래프에서의 학습이 가능하였다.