[논문 리뷰] Online Anomaly Detection Systems Using Incremental Commute Time

Nguyen Lu Dang Khoa, Sanjay Chawla|arXiv (Cornell University)|2011. 07. 20.

Anomaly Detection Techniques and Applications참고 문헌 21인용 수 3

한 줄 요약

이 논문은 실시간으로 Commute Time Distance (CTD)를 계산하기 위한 두 가지 새로운 증분 방법을 제안한다: 그래프 라플라시안의 증분 고유분해 기반 방법과 재귀적 도달 시간 근사 기반 방법. 두 방법 모두 새로운 데이터 포인트당 일정 시간 내에 업데이트가 가능하여 온라인 이상 탐지가 가능하며, 대규모 그래프(30만 개 이상의 노드)에서 평균 처리 시간이 7ms 이내로 빠르며, 배치 처리 방법보다 빠르면서도 전역 및 국소 이상 탐지 정확도를 유지한다.

ABSTRACT

Commute Time Distance (CTD) is a random walk based metric on graphs. CTD has found widespread applications in many domains including personalized search, collaborative filtering and making search engines robust against manipulation. Our interest is inspired by the use of CTD as a metric for anomaly detection. It has been shown that CTD can be used to simultaneously identify both global and local anomalies. Here we propose an accurate and efficient approximation for computing the CTD in an incremental fashion in order to facilitate real-time applications. An online anomaly detection algorithm is designed where the CTD of each new arriving data point to any point in the current graph can be estimated in constant time ensuring a real-time response. Moreover, the proposed approach can also be applied in many other applications that utilize commute time distance.

연구 동기 및 목표

• 기존에 O(n³) 고유분해 비용으로 인해 증분 업데이트에 너무 느려서 실시간 온라인 이상 탐지에 어려움을 겪는 Commute Time Distance (CTD)를 실시간으로 사용할 수 있도록 하기 위해.
• 새로운 데이터 포인트가 동적으로 도착할 때 기존 계산을 다시 시작하지 않고도 CTD를 효율적으로 계산하는 문제를 해결하기 위해.
• 스트리밍 애플리케이션(예: 네트워크 모니터링 또는 센서 데이터)에 적합한 확장성 있고 일정 시간 내에 CTD를 추정할 수 있는 방법을 설계하기 위해.
• 두 가지 다른 증분 CTD 근사 기법—고유분해 업데이트와 재귀적 도달 시간 추정—의 정확도, 속도, 내성에 대해 비교하기 위해.
• 합성 및 실세계 데이터셋(네트워크 트래픽 및 환경 모니터링 데이터 포함)을 대상으로 제안된 방법의 유효성을 검증하기 위해.

제안 방법

• 첫 번째 방법은 일阶 섭동 이론을 활용해 그래프 라플라시안 행렬의 고유값과 고유벡터를 증분적으로 업데이트함으로써, 변화하는 그래프에서 효율적인 스펙트럼 계산을 가능하게 한다.
• 두 번째 방법은 도달 시간과 교환 시간 간의 재귀적 관계를 이용하여, 도달 시간을 동적으로 업데이트함으로써 새로운 포인트당 일정 시간 내에 CTD를 추정한다.
• 두 방법 모두 라플라시안 고유분해를 전체적으로 다시 계산하지 않아 시간 복잡도를 O(n³)에서 근선형 또는 일정 시간으로 감소시킨다.
• 온라인 이상 탐지 알고리즘은 각 새로운 포인트의 기존 모든 포인트들에 대한 CTD를 일정 시간 내에 계산하여, CTD가 높은 포인트를 이상으로 표시한다.
• 정규화를 위해 최소-최대 스케일링을 통합하고, k-최근접 이웃 또는 고정된 이웃 반경 기반 그래프 구축을 사용한다.
• iLED(증분 고유분해 기반) 및 iECT(도달 시간을 통한 증분 CTD) 버전을 사용해 성능 평가를 수행하였으며, 배치 CTD 계산과의 성능를 비교하였다.

실험 결과

연구 질문

• RQ1 실시간 데이터 스트림에서 이상 탐지에 적합하게 CTD를 일정 시간 내에 증분적으로 계산할 수 있는가?
• RQ2 증분 고유분해와 재귀적 도달 시간 추정 방식이 온라인 CTD 계산에서 정확도와 효율성 측면에서 어떻게 비교되는가?
• RQ3 제안된 두 방법이 전역 및 국소 이상 탐지에서 CTD의 내성 특성을 얼마나 잘 유지하는가?
• RQ4 증분 CTD 접근 방식은 배치 방법 대비 계산 비용을 줄이면서도 높은 탐지 정확도를 유지할 수 있는가?
• RQ5 두 증분 방법 간의 정밀도와 재현율의 상호 보완적 특성은 무엇이며, 이를 조합하여 성능을 향상시킬 수 있는가?

주요 결과

• 제안된 증분 CTD 방법은 노드 수 30만 개 이상, 간선 수 100만 개 이상인 그래프에서 새로운 데이터 포인트당 평균 처리 시간이 7ms 이내로 확보되어 실시간 구현이 가능하다.
• iECT(도달 시간을 통한 증분 CTD)는 NICTA 네트워크 데이터셋에서 100% 재현율과 84.6% 정밀도를 기록하여 iLED보다 재현율에서 뛰어나면서도 정밀도는 유지하였다.
• 합성 데이터셋에서 iLED는 100% 정밀도를 기록했지만 재현율은 66.7%에 그쳐 이상 탐지 시 CTD를 과소평가하는 경향이 있음을 시사했다.
• NICTA 데이터셋에서 iECT는 배치 방법 대비 평균 이상 점수에서 2% 높았고, iLED는 2% 낮아 iECT가 비이상 포인트를 약간 과대평가하는 경향이 있음을 나타냈다.
• NICTA 데이터셋에서 iLED는 재현율 27.3%이지만 정밀도 100%를 기록했고, iECT는 재현율 100%와 정밀도 84.6%를 기록하여 두 방법 간의 상호 보완적 강점이 확인되었다.
• 결과적으로 iECT는 더 빠르고 이상 탐지에 더 효과적이지만, iLED는 더 보수적인 경향이 있어 향후 전체 탐지 정확도 향상을 위해 하이브리드 통합이 가능할 것으로 보인다.