[論文レビュー] XG-NID: Dual-Modality Network Intrusion Detection using a Heterogeneous Graph Neural Network and Large Language Model

Yasir Ali Farrukh, Syed Wali+2 more|arXiv (Cornell University)|Aug 27, 2024

Network Security and Intrusion Detection被引用数 5

ひとこと要約

XG-NID は、流量レベルとパケットレベルのデータを異種グラフで融合し、LLM ベースの説明機能を備えた HGNN を用いてリアルタイムで説明可能なネットワーク侵入検知を行い、マルチクラス分類で F1 を 97% に達成する。

ABSTRACT

In the rapidly evolving field of cybersecurity, the integration of flow-level and packet-level information for real-time intrusion detection remains a largely untapped area of research. This paper introduces "XG-NID," a novel framework that, to the best of our knowledge, is the first to fuse flow-level and packet-level data within a heterogeneous graph structure, offering a comprehensive analysis of network traffic. Leveraging a heterogeneous graph neural network (GNN) with graph-level classification, XG-NID uniquely enables real-time inference while effectively capturing the intricate relationships between flow and packet payload data. Unlike traditional GNN-based methodologies that predominantly analyze historical data, XG-NID is designed to accommodate the heterogeneous nature of network traffic, providing a robust and real-time defense mechanism. Our framework extends beyond mere classification; it integrates Large Language Models (LLMs) to generate detailed, human-readable explanations and suggest potential remedial actions, ensuring that the insights produced are both actionable and comprehensible. Additionally, we introduce a new set of flow features based on temporal information, further enhancing the contextual and explainable inferences provided by our model. To facilitate practical application and accessibility, we developed "GNN4ID," an open-source tool that enables the extraction and transformation of raw network traffic into the proposed heterogeneous graph structure, seamlessly integrating flow and packet-level data. Our comprehensive quantitative comparative analysis demonstrates that XG-NID achieves an F1 score of 97\% in multi-class classification, outperforming existing baseline and state-of-the-art methods. This sets a new standard in Network Intrusion Detection Systems by combining innovative data fusion with enhanced interpretability and real-time capabilities.

研究の動機と目的

• リアルタイム検知のために流量レベルとパケットレベルの情報を統合して、NIDS の改善を促進する。
• ネットワークトラフィックの二重モダリティを融合する異種グラフ表現を開発する。
• リアルタイム推論を可能にするグラフレベル分類のための異種グラフニューラルネットワークを設計する。
• Large Language Models を通じて人間が読める説明と是正措置の提案を提供する。
• 提案されたグラフ構造へのトラフィックの抽出と変換を促進するために GNN4ID を導入する。

提案手法

• 流量レベルとパケットレベルのデータを、2 種類のノード/エッジを持つ異種グラフに融合する。
• ノードおよびエッジ特徴を持つグラフレベル分類のための GAT ベースの異種グラフニューラルネットワークを開発する。
• フロー全体の時系列パターンを捉えるために、時系列に基づく説明可能な特徴を組み込む。
• Integrated Gradient Explainer と Generative Explainer を統合して、局所的な説明と人間が読める是正プロンプトを作成する。
• 生データのトラフィックを提案された異種グラフに変換するオープンソースツールとして GNN4ID を作成する。
• 文脈的で説明可能な推論を支援する新しい時系列ベースのフローフィーチャーを導入する。

Fig. 1.: Illustration of the proposed framework ”XG-NID”. The framework, depicted here, demonstrates its capability to better identify network attacks either based on flow or packet-level information with detailed contextual information and potential remedial actions. The framework comprises of six

実験結果

リサーチクエスチョン

• RQ1 異種グラフにおける流量とパケットデータのデュアルモダリティ融合は、侵入検知の性能を向上させ、リアルタイム推論を実現できるか？
• RQ2 時系列特徴とペイロード内容をどのように活用してNIDS予測の説明可能性を高められるか？
• RQ3 検出された脅威に対して、実行可能で人間が読める説明と是正提案を生成する際に、LLMs はどのような役割を果たせるか？

主な発見

• XG-NID はマルチクラス分類で F1 スコア 97% を達成する。
• このフレームワークは異種グラフ構造とグラフレベル分類を通じてリアルタイム推論を実現する。
• 時系列情報に基づく新しいフローフィーチャーのセットは、文脈的で説明可能な推論を高める。
• GNN4ID は、生データのトラフィックを提案された異種グラフへ抽出・変換するオープンソースパイプラインを提供する。
• 統合的な説明可能性アプローチは、LLMs からの文脈情報と特徴ベースの説明を組み合わせる。
• システムは詳細で人間が読める説明と提案された是正アクションを出力する。

Fig. 2.: Illustration of graph structure, fusing flow and packet level data modalities. The features of edges utilized in the generation of graph structures are highlighted on each edge. For ’link’ edge we are utilizing only one feature whereas for the contain edge the number of features are four.