[논문 리뷰] Multi-centrality Graph Spectral Decompositions and their Application to Cyber Intrusion Detection

Pin‐Yu Chen, Sutanay Choudhury외 1명|arXiv (Cornell University)|2015. 12. 23.

Complex Network Analysis Techniques인용 수 3

한 줄 요약

이 논문은 다중 중심성 그래프 주성분 분석(MC-GPCA)과 다중 중심성 그래프 사전 학습(MC-GDL)을 제안하며, 산책 통계, 기준 노드까지의 거리, 다양한 중심성 측정치와 같은 다중 그래프 중심성 특징들을 스펙트럼 분해에 통합하여 차원 감소 및 이질성 탐지에 활용한다. 사이버 침입 탐지에 적용된 MC-GPCA는 구조적 이질성에 대해 구조적 차이 점수(SDS)를 통해 탐지하고, MC-GDL은 공격을 분류하는 분류 가능한 구조적 원자들을 학습한다. 이는 도시 중심성 기반 지표보다 네트워크 이질성을 탐지하는 데에서 뛰어난 성능을 보인다.

ABSTRACT

Many modern datasets can be represented as graphs and hence spectral decompositions such as graph principal component analysis (PCA) can be useful. Distinct from previous graph decomposition approaches based on subspace projection of a single topological feature, e.g., the Fiedler vector of centered graph adjacency matrix (graph Laplacian), we propose spectral decomposition approaches to graph PCA and graph dictionary learning that integrate multiple features, including graph walk statistics, centrality measures and graph distances to reference nodes. In this paper we propose a new PCA method for single graph analysis, called multi-centrality graph PCA (MC-GPCA), and a new dictionary learning method for ensembles of graphs, called multi-centrality graph dictionary learning (MC-GDL), both based on spectral decomposition of multi-centrality matrices. As an application to cyber intrusion detection, MC-GPCA can be an effective indicator of anomalous connectivity pattern and MC-GDL can provide discriminative basis for attack classification.

연구 동기 및 목표

• 기존의 그래프 주성분 분석 및 사전 학습 방법이 단일 중심성 측정치에 의존하고 소음 및 그래프 구조 변화에 민감한 점을 해결하기 위해.
• 그래프 산책 통계, 중심성 측정치, 노드 간 거리와 같은 다수의 정점 구조적 특징들을 통합하는 통합된 스펙트럼 분해 프레임워크를 개발하여 그래프 분석의 강건성을 향상시키기 위해.
• 제안된 방법을 사이버 침입 탐지에 적용하여 네트워크 트래픽 그래프에서 이질적인 연결 패턴 탐지 및 공격 유형 분류를 가능하게 하기 위해.
• 다중 중심성 특징이 간선 제거, 가중치 이동, 방향성 변화 등의 구조적 변화에 더 민감하게 반응함을 입증하기 위해.

제안 방법

• MC-GPCA는 다수의 그래프 중심성 특징(예: 1–20단계 산책 통계, 10개의 고도수 노드까지의 거리, 10개의 중심성 측정치)으로 구성된 행렬에 대해 SVD를 수행하여 단일 그래프의 저차원 표현을 가능하게 한다.
• MC-GDL은 각 그래프에서 추출한 SDS 특징에 K-SVD 기반 사전 학습을 적용하여 그래프 앙상블에 대해 프레임워크를 확장하고, 희소 계수와 분류 가능한 구조적 원자들을 학습한다.
• 이 방법은 p=56개의 열을 포함하는 특징 행렬 X를 구성하며, 이는 산책 통계(1–20단계), 10개의 중심성 측정치( LFVC에서 간선 방향 제외), 및 10개의 고도수 기준 노드까지의 거리로 구성된다.
• 구조적 차이 점수(SDS)는 MC-GPCA의 첫 번째 및 두 번째 주성분을 사용하여 정규 네트워크 행동에서의 구조적 이질성을 정량화하기 위해 계산된다.
• 사전 학습을 위해 알고리즘은 각 그래프당 z=300개의 최고 SDS 값을 선택하고, K-SVD를 적용하여 K=2개의 구조적 원자와 해당하는 희소 계수를 학습하여 공격 분류를 수행한다.
• 이 프레임워크는 가중치가 있는, 방향성이 있는, 비연결 그래프를 지원하며, 이는 이전 방법들이 비방향성, 연결성, 비가중치 그래프에 국한된 것과 대비된다.

실험 결과

연구 질문

• RQ1 스펙트럼 분해에 다수의 중심성 특징을 통합하면 그래프 내 미세한 구조적 변화 탐지 능력이 향상되는가?
• RQ2 MC-GPCA는 사이버 공격 기간 동안 이질적인 네트워크 연결 패턴을 탐지하는 데 도시 중심성 기반 지표보다 어떻게 우월한가?
• RQ3 MC-GDL은 네트워크 그래프에서 정상 행동 및 공격 행동을 효과적으로 표현하는 분류 가능한 구조적 원자들을 학습할 수 있는가?
• RQ4 다중 중심성 특징은 간선 제거 또는 방향성 변화와 같은 그래프 구조의 노이즈 및 변동성에 대해 얼마나 강건성을 향상시키는가?

주요 결과

• MC-GPCA의 구조적 차이 점수(SDS)는 이질성을 효과적으로 탐지한다: UNB 데이터셋의 Day 3, 4, 5 동안 SDS 값이 유의미하게 높게 나타나며, 이는 침입, DoS, 봇넷 DDoS 공격에 해당한다.
• 도시 중심성 통계는 이질성을 탐지하지 못한다. 특히 Day 7의 SSH 폭력 공격은 局부적 공격으로 전역 도시 분포에 영향을 주지 않아 탐지되지 않는다.
• MC-GDL은 두 개의 구조적 원자를 성공적으로 학습하였다: 하나는 주 라우터의 단일 피크를 나타내는 정상 활동을, 다른 하나는 SDS 특징에서 높은 분산을 보이는 공격 패턴을 포착한다.
• MC-GDL의 계수 행렬은 효과적인 공격 분류를 가능하게 하며, 두 클러스터로 K-means 군집화를 수행했을 때 Day 3, 4, 5를 정상적이지 않은 것으로 올바르게 식별한다.
• 산책 통계, 기준 노드까지의 거리, 10개의 중심성 측정치를 포함한 다중 중심성 특징의 통합은 단일 특징 접근 방식보다 더 강건하고 분류 능력이 뛰어난 표현을 가능하게 한다.
• MC-GPCA는 하나 또는 두 개의 주성분으로 대부분의 데이터 분산을 설명하며, 이는 다중 중심성 특징이 주요 구조적 패턴을 효과적으로 포착하고 있음을 시사한다.