[論文レビュー] A Heterogeneous Graph Learning Model for Cyber-Attack Detection

Mingqi Lv, Chengyu Dong+4 more|arXiv (Cornell University)|Dec 16, 2021

Network Security and Intrusion Detection被引用数 9

ひとこと要約

本論文では、証明データから意味的表現を学習する異種グラフニューラルネットワークモデルを提案し、静かで長期にわたるサイバー攻撃を検出する。局所的サブグラフのサンプリングとメタパスベースの埋め込みを活用することで、学習ベースのモデルよりも優れた検出性能を達成し、実世界のデータセットにおいてルールベースのシステムと同等の結果を示した。

ABSTRACT

A cyber-attack is a malicious attempt by experienced hackers to breach the target information system. Usually, the cyber-attacks are characterized as hybrid TTPs (Tactics, Techniques, and Procedures) and long-term adversarial behaviors, making the traditional intrusion detection methods ineffective. Most existing cyber-attack detection systems are implemented based on manually designed rules by referring to domain knowledge (e.g., threat models, threat intelligences). However, this process is lack of intelligence and generalization ability. Aiming at this limitation, this paper proposes an intelligent cyber-attack detection method based on provenance data. To effective and efficient detect cyber-attacks from a huge number of system events in the provenance data, we firstly model the provenance data by a heterogeneous graph to capture the rich context information of each system entities (e.g., process, file, socket, etc.), and learns a semantic vector representation for each system entity. Then, we perform online cyber-attack detection by sampling a small and compact local graph from the heterogeneous graph, and classifying the key system entities as malicious or benign. We conducted a series of experiments on two provenance datasets with real cyber-attacks. The experiment results show that the proposed method outperforms other learning based detection models, and has competitive performance against state-of-the-art rule based cyber-attack detection systems.

研究の動機と目的

• ルールベースのサイバー攻撃検出システムの限界に対処すること。これらのシステムは専門知識に大きく依存しており、環境の変化に伴う一般化能力に欠ける。
• 短期的な行動に注目し、豊かな文脈的情報を無視する伝統的な侵入検知手法の非効率性と一般化能力の低さを克服すること。
• 証明データを用いて、複雑で静かで持続的なサイバー攻撃を同定できる知能的でスケーラブルな検出システムを開発すること。
• システムエンティティ間の長距離依存関係をモデル化することで、ハイブリッドTTP（戦術、手法、手順）を用いた攻撃の効果的検出を可能にすること。
• システムイベントデータからの埋め込み表現学習により、攻撃パターンの潜在的特徴を直接学習することで、手動でのルール設計に依存するのを減らすこと。

提案手法

• 本手法は、システムの証明データを異種グラフとしてモデル化し、ノードをシステムエンティティ（例：プロセス、ファイル、ソケット）として、エッジをシステムイベント（例：読み取り、書き込み、フォーク）として定義する。
• 異なる種類のエンティティとイベント間のハイレベルな意味的相互作用を捉えるために、メタパスベースのグラフ埋め込みを採用し、複雑な攻撃行動の意味的表現を学習可能にする。
• 効率的なオンライン検出を実現するため、候補となるシステムエンティティの周囲のコンパクトで文脈を豊かに含む近隣領域を抽出する局所的サブグラフサンプリング戦略を採用する。
• サンプリングされた局所的グラフ上でグラフ畳み込みネットワーク（GCNs）を適用し、特徴を伝搬・集約することで、直接観測できない悪意あるエンティティの検出を可能にする。
• オンライン推論では、学習済みの表現とグラフ内に既存のラベル付きノードを活用して、新しい未観測のシステムエンティティのラベルをラベル伝搬により推定する。
• フレームワークはエンドツーエンドで訓練され、局所的グラフの文脈と学習済み埋め込みに基づいて、システムエンティティを悪意あるか良性か分類する。

実験結果

リサーチクエスチョン

• RQ1 異種グラフ学習モデルは、複数のシステムエンティティとハイブリッドTTPを含む静かで長期にわたるサイバー攻撃を効果的に検出できるか？
• RQ2 メタパスベースのグラフ埋め込みは、標準的なノードレベル表現と比較して、複雑な攻撃パターンの検出をどのように向上させるか？
• RQ3 局所的サブグラフサンプリングとグラフ畳み込みは、計算効率を維持しつつ検出性能をどの程度向上できるか？
• RQ4 本手法は、最新のルールベースシステムと比較して、正確性、再現率、および新しい攻撃シナリオへの適応性において、どの程度優れているか？
• RQ5 ラベル伝搬を用いることで、再トレーニングなしにリアルタイムで未観測のシステムエンティティに一般化できるか？

主な発見

• Labデータセットでは、本手法は99.35％の精度、99.58％の再現率、95.30％のマクロF1スコアを達成し、NeighborAvgとLabelPropを顕著に上回った。
• DARPAデータセットでは、本手法は100％の再現率と99.24％の精度を達成し、静かで長期にわたる攻撃の検出能力が優れていることを示した。
• 本手法は、精度とF1スコアの両面で他の学習ベースのモデルを上回り、多様な攻撃パターンの検出における頑健性と一般化能力を示した。
• ラベル伝搬に基づく新しいエンティティの推論は高い性能を示し、本手法のスケーラビリティと動的システム環境への適応性を裏付けた。
• 高階の近隣伝搬による長距離依存関係の捉え込みにより、初期ノードで直接観測できない攻撃行動の検出が可能になった。
• 結果から、本手法はルールベースのシステムと同等の性能を達成している一方で、専門知識や手動でのルール作成への依存を低減していることが示された。