[论文解读] Structural Temporal Graph Neural Networks for Anomaly Detection in Dynamic Graphs

Lei Cai, Zhengzhang Chen+5 more|arXiv (Cornell University)|May 15, 2020

Advanced Graph Neural Networks参考文献 23被引用 11

一句话总结

该论文提出 StrGNN，一种端到端的结构化时间图神经网络，通过建模子图结构变化和时间动态性，检测动态图中的异常边。它围绕目标边提取 h 跳包围子图，利用节点标记和带有 SortPooling 的图卷积捕捉结构特征，并应用 GRU 模型化时间演化，在真实企业系统中实现了最先进性能，错误拒判率为 0%，错误预警率至少降低 50%。

ABSTRACT

Detecting anomalies in dynamic graphs is a vital task, with numerous practical applications in areas such as security, finance, and social media. Previous network embedding based methods have been mostly focusing on learning good node representations, whereas largely ignoring the subgraph structural changes related to the target nodes in dynamic graphs. In this paper, we propose StrGNN, an end-to-end structural temporal Graph Neural Network model for detecting anomalous edges in dynamic graphs. In particular, we first extract the $h$-hop enclosing subgraph centered on the target edge and propose the node labeling function to identify the role of each node in the subgraph. Then, we leverage graph convolution operation and Sortpooling layer to extract the fixed-size feature from each snapshot/timestamp. Based on the extracted features, we utilize Gated recurrent units (GRUs) to capture the temporal information for anomaly detection. Extensive experiments on six benchmark datasets and a real enterprise security system demonstrate the effectiveness of StrGNN.

研究动机与目标

• 解决现有图嵌入方法仅关注节点表示而忽略动态图中子图结构变化的局限性。
• 开发一种端到端模型，同时捕捉目标边周围的结构模式及其随时间的演化。
• 提升异常检测性能，特别是在真实系统中实现极低错误预警率和零错误拒判率。
• 设计一种对新节点和边变化具有鲁棒性的方法，避免依赖完整的节点历史知识。

提出的方法

• StrGNN 从动态图快照中提取以每个目标边为中心的 h 跳包围子图。
• 引入一种节点标记函数，识别子图中每个节点的角色，增强结构表示。
• 使用三层图卷积网络（GCNs）提取分层图特征，随后通过 SortPooling 层生成固定大小的嵌入表示。
• 时间模块采用门控循环单元（GRUs）建模子图特征在时间戳序列中的变化。
• 整个模型使用 Adam 优化器进行端到端训练，学习率为 1e-4，批量大小为 32，共训练 50 个周期。
• 该框架无需节点嵌入，对动态图中新增节点或边变化不敏感。

实验结果

研究问题

• RQ1 建模目标边周围子图的结构变化是否能提升动态图中的异常检测性能？
• RQ2 时间图神经网络在多大程度上能有效捕捉随时间演化的结构模式以识别异常边？
• RQ3 端到端框架是否能在真实世界入侵检测中，以极少错误预警率超越现有基于嵌入的方法？
• RQ4 所提方法在多大程度上对动态图中节点和边组成的变化具有鲁棒性？

主要发现

• StrGNN 在全部六个基准数据集上均优于四种基线方法，在所有异常注入率（1%、5%、10%）下均取得最高 AUC。
• 在 UCI Messages 数据集上，StrGNN 的 AUC 在训练数据增加时保持稳定且较高，于数据量达到 75% 时达到峰值并趋于稳定。
• 在真实企业入侵检测中，StrGNN 的 AUC 达到 0.99，显著优于次佳基线方法 NetWalk（AUC 为 0.90）。
• StrGNN 成功检测出全部 82 个真实攻击事件（召回率为 100%），仅产生 164 个错误预警，相比最先进方法错误预警率至少降低 50%。
• 使用 PCA 可视化 GRU 学习的嵌入表示，能清晰区分异常与正常子图模式，证实了有效表示学习。