[論文レビュー] DeepHunter: A Graph Neural Network Based Approach for Robust Cyber Threat Hunting

Renzheng Wei, Lijun Cai+2 more|arXiv (Cornell University)|Apr 20, 2021

Advanced Graph Neural Networks参考文献 38被引用数 5

ひとこと要約

DeepHunter は、プロビジョニティグラフと既知の攻撃パターンを用いて攻撃行動をモデル化する、グラフニューラルネットワーク（GNN）ベースの手法であり、攻撃ステップが欠落している場合やパスが途切れている場合でも高い精度と耐性を発揮する。Poirot や他の最先端手法に比べて、複数のAPTシナリオでAUCスコアが優れている。

ABSTRACT

Cyber Threat hunting is a proactive search for known attack behaviors in the organizational information system. It is an important component to mitigate advanced persistent threats (APTs). However, the attack behaviors recorded in provenance data may not be completely consistent with the known attack behaviors. In this paper, we propose DeepHunter, a graph neural network (GNN) based graph pattern matching approach that can match provenance data against known attack behaviors in a robust way. Specifically, we design a graph neural network architecture with two novel networks: attribute embedding networks that could incorporate Indicators of Compromise (IOCs) information, and graph embedding networks that could capture the relationships between IOCs. To evaluate DeepHunter, we choose five real and synthetic APT attack scenarios. Results show that DeepHunter can hunt all attack behaviors, and the accuracy and robustness of DeepHunter outperform the state-of-the-art method, Poirot.

研究の動機と目的

• プロビジョニティデータに一貫性がない場合に脆弱な、固定されたルールベースの照合に依存する従来の脅威ハンティングツールの限界を是正すること。
• システムイベントからグラフパターンをエンドツーエンドで学習可能にすることで、脅威ハンティングにおけるエキスパート依存を低減すること。
• 欠落した攻撃ステップ、ノイズの多いデータ、プロビジョニティグラフ内の接続が途切れたパスといった、現実世界の不一致に対する耐性を向上させること。
• クエリグラフとプロビジョニティグラフの構造や完全性に差がある場合でも、高い精度を維持できるグラフパターン照合システムの開発

提案手法

• 属性埋め込みネットワークに注目メカニズムを組み込んだ二重ブランチGNNアーキテクチャを提案。これにより、ファイル名、IPアドレス、ポートなどの異なるIOC属性の重要性を重み付け可能となる。
• プロビジョニティグラフとクエリグラフの両方の構造的関係を符号化するために、GCNと独自のGNNを別々に用いたグラフ埋め込みネットワークを採用。
• グラフレベルの埋め込み同士の類似度スコアを計算するために、シアンサイト型類似度学習フレームワークにNTN（二重線形）層を適用。
• 類似するグラフペアに高いスコア、類似しないペアに低いスコアを割り当てるように促進する、新規の損失関数を導入。これによりエンドツーエンド学習が可能となる。
• 長期間にわたる攻撃の文脈を捉えるためにプロビジョニティグラフを活用し、複雑で多段階的なAPTの検出を可能にする。
• 完全なパス接続性に依存せず、構造的および属性的一致性に注目することで、プロビジョニティグラフ内のノードやエッジが欠落している場合でも耐性を持つようにモデルを設計

実験結果

リサーチクエスチョン

• RQ1 攻撃ステップが欠落している、またはパスが途切れている状況下でも、ルールベースやパスベースのグラフ照合よりもGNNベースのアプローチが、APT検出においてより高い耐性を示せるか。
• RQ2 注目メカニズムを備えた提案された属性埋め込みネットワークは、脅威検出における異なるIOC属性の関連性をどれほど適切に捉えられるか。
• RQ3 部分的またはノイズの多いデータ下でも、グラフ埋め込みネットワークがプロビジョニティグラフとクエリグラフ間の構造的類似性をどの程度保持できるか。
• RQ4 Poirot や他のGNNベースのモデルと比較して、DeepHunter は多様なAPTシナリオにおいてAUCと耐性の観点でどの程度優れているか。

主な発見

• DeepHunter は CADETS データセットでAUC 1.0、TRACE で0.951、ETW で0.916 を達成し、Poirot や他のGNNベースラインを大きく上回った。
• パスが途切れている場合でも効果を発揮する。Poirot は欠落したパスに対して影響力スコアがゼロとなるため、機能を失うが、DeepHunter は依然として有効である。
• DeepHunter-wo-AEN（属性埋め込みネットワークなし）では、TRACE でAUCが0.891、ETW で0.820 に低下し、注目ベースの属性エンコーダーの必要性が裏付けられた。
• すべてのデータセットで MatchGNet、MatchGNet-NTN、SimGNN、GMN を上回り、3つのテストセットすべてで最高のAUCを記録した。
• 学習なしのベースラインとしての Weisfeiler-Lehman カーネルは、TRACE でAUC 0.492、ETW で0.301 と低く、学習ベースの類似度モデリングの必要性が顕著に示された。
• DeepHunter は、5つの実際のおよび合成されたAPTシナリオをすべて検出でき、複雑な脅威ハンティング環境における耐性と実用的応用可能性を実証した。