[论文解读] GraphPrints: Towards a Graph Analytic Method for Network Anomaly Detection

Christopher R. Harshaw, Robert A. Bridges+3 more|arXiv (Cornell University)|Feb 2, 2016

Complex Network Analysis Techniques参考文献 8被引用 7

一句话总结

GraphPrints 提出了一种基于图分析的网络异常检测方法，将时变网络流量建模为动态有向图，通过提取图谱计数和自同构轨道，在网络整体和单个IP层面检测异常流量模式。在真实数据中植入了BT异常后进行评估，图级别和IP级别的真阳性率均达到100%，误报率分别为2.84%和0.05%。

ABSTRACT

This paper introduces a novel graph-analytic approach for detecting anomalies in network flow data called GraphPrints. Building on foundational network-mining techniques, our method represents time slices of traffic as a graph, then counts graphlets -- small induced subgraphs that describe local topology. By performing outlier detection on the sequence of graphlet counts, anomalous intervals of traffic are identified, and furthermore, individual IPs experiencing abnormal behavior are singled-out. Initial testing of GraphPrints is performed on real network data with an implanted anomaly. Evaluation shows false positive rates bounded by 2.84% at the time-interval level, and 0.05% at the IP-level with 100% true positive rates at both.

研究动机与目标

• 为解决基于签名和人工分析的方法在检测新型、此前未见的网络威胁时的局限性。
• 开发一种可扩展、自动化的大型网络流量数据异常行为检测方法。
• 不仅实现网络整体层面的检测，还能精确定位表现出异常通信模式的单个IP。
• 利用图谱分析和自同构轨道作为新方法，表征指示异常的局部网络拓扑变化。
• 为动态网络环境中的实时异常检测提供低误报率的解决方案。

提出的方法

• 将网络流量数据表示为有向图，其中节点为IP地址，边为节点之间的通信流量。
• 提取图谱——大小为3的诱导子图——并计算其计数，以形成每个时间窗口的图谱向量。
• 使用拟合的多元正态分布的马氏距离，对图谱向量随时间的异常程度进行评分。
• 为每个节点（IP）追踪自同构轨道，以表征其在局部网络拓扑中的结构角色。
• 对采样IP的轨道向量应用K均值聚类，以建模正常行为并检测节点层面的偏离。
• 通过异常评分的阈值化处理，识别出与正常模式存在统计显著偏差的时间窗口和IP。

实验结果

研究问题

• RQ1 时变网络图中的图谱计数能否有效检测异常流量模式？
• RQ2 单个IP的自同构轨道能否识别出参与异常网络行为的特定节点？
• RQ3 该方法能否在真实网络数据中实现高检测准确率且保持低误报率？
• RQ4 该方法能否检测出超出植入测试案例的未知异常？
• RQ5 通过轨道向量聚类能否区分不同类型的用户行为？

主要发现

• GraphPrints在图级别和IP级别对植入的BT异常均实现了100%的真阳性率。
• 该方法将时间区间级别的误报率控制在2.84%，IP级别的误报率仅为0.05%。
• 检测到五个此前未知的异常，表明该方法具有识别新型攻击模式的潜力，超越已知签名的范围。
• 异常检测评分在已知异常与正常流量之间表现出明显分离，支持有效阈值设定且无假阴性。
• 轨道向量聚类揭示了不同的行为模式，表明该方法具有对不同类型网络活动（如电子邮件、网页浏览）进行分类的潜力。
• 该方法成功识别出异常行为发生的时间区间和具体IP，展示了多层级检测能力。