[논문 리뷰] Structural Temporal Graph Neural Networks for Anomaly Detection in Dynamic Graphs

Lei Cai, Zhengzhang Chen외 5명|arXiv (Cornell University)|2020. 05. 15.

Advanced Graph Neural Networks참고 문헌 23인용 수 11

한 줄 요약

이 논문은 동적 그래프에서 이상 엣지 탐지를 위해 하위구조적 변화와 시간적 동역학을 모델링하는 엔드 투 엔드 구조적 시간 그래프 신경망인 StrGNN을 제안한다. 목표 엣지 중심으로 h-호프 봉위 하위구조를 추출하고, 노드 레이블링과 SortPooling을 통한 그래프 컨볼루션을 사용해 구조적 특징을 캡처하며, GRU를 적용해 시간적 변화를 모델링하여 실기업 시스템에서 0%의 가짜 음성 결과와 최소 50% 감소한 가짜 양성 결과를 기록하며 최신 기술 수준의 성능을 달성한다.

ABSTRACT

Detecting anomalies in dynamic graphs is a vital task, with numerous practical applications in areas such as security, finance, and social media. Previous network embedding based methods have been mostly focusing on learning good node representations, whereas largely ignoring the subgraph structural changes related to the target nodes in dynamic graphs. In this paper, we propose StrGNN, an end-to-end structural temporal Graph Neural Network model for detecting anomalous edges in dynamic graphs. In particular, we first extract the $h$-hop enclosing subgraph centered on the target edge and propose the node labeling function to identify the role of each node in the subgraph. Then, we leverage graph convolution operation and Sortpooling layer to extract the fixed-size feature from each snapshot/timestamp. Based on the extracted features, we utilize Gated recurrent units (GRUs) to capture the temporal information for anomaly detection. Extensive experiments on six benchmark datasets and a real enterprise security system demonstrate the effectiveness of StrGNN.

연구 동기 및 목표

• 기존 그래프 임bedding 방법이 노드 표현에 집중하면서도 동적 그래프에서 하위구조적 변화를 간과하는 한계를 해결하기 위해.
• 목표 엣지 주변의 구조적 패턴과 시간에 따른 변화를 동시에 캡처하는 엔드 투 엔드 모델을 개발하기 위해.
• 특히 낮은 가짜 양성 비율과 0%의 가짜 음성 결과를 기록하는 실세계 시스템에서의 이상 탐지 성능 향상을 위해.
• 완전한 역사적 노드 지식에 의존하지 않고도 신규 노드나 엣지 변화에 강건한 방법을 설계하기 위해.

제안 방법

• StrGNN는 동적 그래프 스냅샷에서 각 목표 엣지 중심으로 h-호프 봉위 하위구조를 추출한다.
• 각 노드가 하위구조 내에서 수행하는 역할을 식별하기 위해 노드 레이블링 함수를 도입하여 구조적 표현을 향상시킨다.
• 세 층의 그래프 컨volution 네트워크(GCNs)를 사용해 계층적인 그래프 특징을 추출하고, 고정된 크기의 임베딩을 생성하기 위해 SortPooling 레이어를 적용한다.
• 시간 모듈은 시계열에 걸친 하위구조 특징의 변화를 모델링하기 위해 게이트드 순환 단위(GRUs)를 사용한다.
• 전체 모델은 Adam 최적화를 사용해 엔드 투 엔드로 훈련되며, 학습률 1e-4, 배치 크기 32, 총 50 에포크 동안 수행된다.
• 이 프레임워크는 노드 임베딩이 필요 없으며, 동적 그래프 내 신규 노드 또는 엣지 변화에 민감하지 않다.

실험 결과

연구 질문

• RQ1 목표 엣지 주변의 하위구조적 변화를 모델링하면 동적 그래프에서 이상 탐지 성능이 향상되는가?
• RQ2 시간적 그래프 신경망은 이상 엣지를 식별하기 위해 변화하는 구조적 패턴을 얼마나 효과적으로 캡처할 수 있는가?
• RQ3 엔드 투 엔드 프레임워크는 최소한의 가짜 양성 결과로 실세계 침입 탐지에서 기존 임베딩 기반 방법을 초월할 수 있는가?
• RQ4 제안된 방법은 동적 그래프의 노드 및 엣지 구성 변화에 얼마나 강건한가?

주요 결과

• StrGNN는 여섯 개의 벤치마크 데이터셋 전반에서 네 가지 기준 방법보다 뛰어나며, 모든 이상 주입 비율(1%, 5%, 10%)에서 최고의 AUC를 기록했다.
• UCI Messages 데이터셋에서 StrGNN의 AUC는 훈련 데이터가 증가함에 따라 안정적이고 높은 수준을 유지하며, 데이터의 75%까지 도달했을 때 정점에 도달하고 이후로 안정화된다.
• 실기업 침입 탐지 시스템에서 StrGNN는 AUC 0.99를 기록하여 다음으로 우수한 기준 방법인 NetWalk(0.90)을 크게 앞서며 성능을 뛰어나게 했다.
• StrGNN는 82개의 진짜 공격 이벤트를 모두 탐지(100% 재현율)했으며, 가짜 양성 결과는 164건으로, 최신 기술 수준의 방법 대비 최소 50% 감소한 결과를 기록했다.
• PCA를 사용한 GRU에 의해 학습된 임베딩의 시각화 결과 이상과 정상 하위구조 패턴이 명확히 분리되어 있어 효과적인 표현 학습을 확인할 수 있었다.