[논문 리뷰] Self-Supervised and Interpretable Anomaly Detection using Network Transformers

Daniel Marino, Chathurika S. Wickramasinghe외 2명|arXiv (Cornell University)|2022. 02. 25.

Anomaly Detection Techniques and Applications인용 수 10

한 줄 요약

이 논문은 네트워크 트래픽의 이상 탐지에 대해 자기지도 학습 및 해석 가능한 딥러닝 모델인 네트워크 트랜스포머(Net)를 제안한다. 이 모델은 컴퓨터 네트워크의 그래프 구조를 활용한다. 원시 패킷 데이터로부터 계층적 특징을 학습하기 위해 트랜스포머 기반 아키텍처를 사용함으로써, 이상 탐지뿐만 아니라 영향을 받는 장치와 연결을 특정할 수 있으며, 레이블이 없는 데이터를 요구하지 않으면서도 높은 해석 가능성과 함께 성능을 달성한다.

ABSTRACT

Monitoring traffic in computer networks is one of the core approaches for defending critical infrastructure against cyber attacks. Machine Learning (ML) and Deep Neural Networks (DNNs) have been proposed in the past as a tool to identify anomalies in computer networks. Although detecting these anomalies provides an indication of an attack, just detecting an anomaly is not enough information for a user to understand the anomaly. The black-box nature of off-the-shelf ML models prevents extracting important information that is fundamental to isolate the source of the fault/attack and take corrective measures. In this paper, we introduce the Network Transformer (NeT), a DNN model for anomaly detection that incorporates the graph structure of the communication network in order to improve interpretability. The presented approach has the following advantages: 1) enhanced interpretability by incorporating the graph structure of computer networks; 2) provides a hierarchical set of features that enables analysis at different levels of granularity; 3) self-supervised training that does not require labeled data. The presented approach was tested by evaluating the successful detection of anomalies in an Industrial Control System (ICS). The presented approach successfully identified anomalies, the devices affected, and the specific connections causing the anomalies, providing a data-driven hierarchical approach to analyze the behavior of a cyber network.

연구 동기 및 목표

• 네트워크 이상 탐지에 대한 블랙박스 기계학습 모델의 해석 가능성 부족 문제를 해결하기 위해.
• 이상 탐지뿐만 아니라 구체적인 장치와 연결을 특정하는 방법을 개발하기 위해.
• 레이블이 없는 데이터를 통해 자기지도 학습을 통해 학습을 가능하게 하기 위해.
• 네트워크 통신의 본질적인 그래프 구조를 모델에 통합하여 더 나은 설명 가능성 확보를 위해.
• 다양한 정도의 해상도에서 분석이 가능한 계층적 특징 표현을 제공하기 위해.

제안 방법

• 모델은 원시 네트워크 패킷 데이터를 소스 및 디스티네이션 주소별로 그룹화하여 통신 그래프를 구성한다.
• 트랜스포머 신경망은 순차적 패킷 데이터로부터 네트워크 그래프의 노드와 엣지의 임bedded 표현을 학습한다.
• 집계 모듈은 네트워크 수준, 장치 수준, 연결 수준의 행동을 나타내는 계층적 특징을 추출한다.
• 의미 있는 표현을 지도 없이 학습하기 위해, 레이블이 없는 데이터에서 대비 학습 목표를 사용하여 자기지도 사전 학습을 수행한다.
• 계층적 특징에 대해 비지도 모델(OCSVM, LOF, AE)을 사용하여 최종 이상 탐지 작업을 수행한다.
• 엔드 투 엔드로 미분 가능한 파이프라인은 전역 이상에서 개별 노드와 연결으로의 추적을 가능하게 하여 해석 가능성을 확보한다.

실험 결과

연구 질문

• RQ1 자기지도 딥러닝 모델이 그래프 구조를 통해 해석 가능성을 유지하면서 네트워크 이상을 탐지할 수 있는가?
• RQ2 계층적 특징 추출이 다양한 정도의 해상도에서 이상의 근본 원인을 특정하는 데 얼마나 효과적인가?
• RQ3 자기지도 사전 학습 전략이 레이블이 없는 데이터에서 이상 탐지 성능을 얼마나 향상시킬 수 있는가?
• RQ4 모델의 내부 표현을 사용하여 이상에 관여하는 구체적인 장치와 연결을 설명할 수 있는가?
• RQ5 모델 아키텍처에 네트워크 토폴로지 구조를 통합함으로써, 블랙박스 모델 대비 진단 능력이 얼마나 향상되는가?

주요 결과

• 네트워크 트랜스포머는 레이블이 없는 데이터만을 사용하여 산업 제어 시스템(ICS) 네트워크에서 이상을 성공적으로 탐지하였다.
• 모델은 특정 장치와 연결을 특정함으로써 이상의 원인을 해석 가능한 방식으로 제공하여 대상 진단을 가능하게 하였다.
• 계층적 특징 추출을 통해 전반적인 네트워크 행동에서부터 개별 노드 및 엣지 활동까지의 분석이 가능하였다.
• 자기지도 사전 학습 전략을 통해 레이블이 없는 이상 데이터가 없더라도 효과적인 표현 학습이 가능하였다.
• 원시 패킷 바이트에서 전역 네트워크 표현까지의 엔드 투 엔드로 미분 가능한 파이프라인이 구현되어, 다양한 수준에서의 설명 가능성을 지원하였다.
• 트랜스포머 아키텍처에 그래프 구조를 통합함으로써 모델의 해석 가능성과 진단 유용성이 향상되었다.