[论文解读] CELEST: Federated Learning for Globally Coordinated Threat Detection

Talha Ongun, Simona Boboila+4 more|arXiv (Cornell University)|May 23, 2022

Network Security and Intrusion Detection被引用 6

一句话总结

CELEST 是一种联邦学习框架，可在组织之间实现协作、隐私保护的全球性协调 HTTP 基础网络威胁检测。通过整合主动学习和一种新型投毒防御机制（DTrust），CELEST 在检测此前未见过的恶意软件方面实现了 PR-AUC 三倍的提升，从而在不共享原始数据的情况下实现新型威胁的早期检测。

ABSTRACT

The cyber-threat landscape has evolved tremendously in recent years, with new threat variants emerging daily, and large-scale coordinated campaigns becoming more prevalent. In this study, we propose CELEST (CollaborativE LEarning for Scalable Threat detection, a federated machine learning framework for global threat detection over HTTP, which is one of the most commonly used protocols for malware dissemination and communication. CELEST leverages federated learning in order to collaboratively train a global model across multiple clients who keep their data locally, thus providing increased privacy and confidentiality assurances. Through a novel active learning component integrated with the federated learning technique, our system continuously discovers and learns the behavior of new, evolving, and globally-coordinated cyber threats. We show that CELEST is able to expose attacks that are largely invisible to individual organizations. For instance, in one challenging attack scenario with data exfiltration malware, the global model achieves a three-fold increase in Precision-Recall AUC compared to the local model. We also design a poisoning detection and mitigation method, DTrust, specifically designed for federated learning in the collaborative threat detection domain. DTrust successfully detects poisoning clients using the feedback from participating clients to investigate and remove them from the training process. We deploy CELEST on two university networks and show that it is able to detect the malicious HTTP communication with high precision and low false positive rates. Furthermore, during its deployment, CELEST detected a set of previously unknown 42 malicious URLs and 20 malicious domains in one day, which were confirmed to be malicious by VirusTotal.

研究动机与目标

• 解决孤立的本地威胁检测系统在检测新型、全球协调的网络威胁方面存在的局限性。
• 在不共享敏感网络数据或标签的前提下，实现跨组织的威胁检测协作。
• 开发一种可扩展的、隐私保护的框架，通过利用联邦客户端的集体知识，检测此前未见过的恶意软件。
• 通过设计一种领域特定的防御机制 DTrust，减轻协作式威胁检测中的模型投毒风险。

提出的方法

• CELEST 采用联邦学习，在多个客户端之间训练全局神经网络模型，同时将所有训练数据保留在各自主机网络内部。
• 主动学习组件在每个客户端上识别异常网络流量，随后进行标注并加入全局训练集，以提升对新型威胁的检测能力。
• 每个客户端运行一个异常检测模块，用于标记可疑的 HTTP 流量，随后优先进行人工或自动标注，并将结果反馈至全局模型。
• DTrust 是一种新型投毒防御机制，通过检测并过滤掉聚合过程中恶意或损坏的模型更新，评估客户端更新的可信度。
• 全局模型采用 FedAvg 风格的聚合方式训练，通过定期同步客户端之间的模型权重，以提升检测性能。
• 该系统在两个大学网络中进行部署，并使用真实 HTTP 日志、公开的恶意软件数据集（Mirai、Gafgyt、数据外泄）以及合成攻击数据进行评估。

实验结果

研究问题

• RQ1 联邦学习是否能够比孤立训练的本地模型更有效地检测全球性协调的 HTTP 基础恶意软件？
• RQ2 如何将主动学习整合到联邦学习中，以在不依赖大规模标注数据的前提下，提升对此前未见恶意软件的检测能力？
• RQ3 像 DTrust 这样的投毒防御机制是否能有效检测并缓解协作式威胁检测环境中的模型投毒攻击？
• RQ4 客户端之间的知识迁移在多大程度上提升了对训练期间未观察到的新恶意软件的检测性能？
• RQ5 在真实环境中，CELEST 在低误报率下是否表现出高精度，能够有效检测未知的恶意 URL 和域名？

主要发现

• 在检测数据外泄型恶意软件时，通过 CELEST 训练的全局模型相比本地模型，其精确率-召回率 AUC 提升了三倍。
• 在真实环境部署期间，CELEST 在单日内检测到 42 个此前未知的恶意 URL 和 20 个恶意域名，所有结果均经 VirusTotal 确认。
• 主动学习的整合使全局模型能够检测到训练数据中未出现过的全新恶意软件家族。
• DTrust 有效识别并缓解了联邦学习管道中的投毒攻击，提升了模型的鲁棒性。
• 全局模型在所有测试的恶意软件家族（包括 Mirai、Gafgyt 和数据外泄型恶意软件）中均优于本地模型，证明了协作学习的价值。
• CELEST 在生产环境中实现了高检测精度与低误报率，验证了其在真实部署中的实用性。