[논문 리뷰] XG-NID: Dual-Modality Network Intrusion Detection using a Heterogeneous Graph Neural Network and Large Language Model

Yasir Ali Farrukh, Syed Wali외 2명|arXiv (Cornell University)|2024. 08. 27.

Network Security and Intrusion Detection인용 수 5

한 줄 요약

XG-NID는 흐름-레벨과 패킷-레벨 데이터를 이질 그래프에 융합하고 LLM 기반 설명을 가진 HGNN을 사용하여 실시간의 설명 가능한 네트워크 침입 탐지를 수행하며, 다중 클래스 분류에서 F1 97%를 달성한다.

ABSTRACT

In the rapidly evolving field of cybersecurity, the integration of flow-level and packet-level information for real-time intrusion detection remains a largely untapped area of research. This paper introduces "XG-NID," a novel framework that, to the best of our knowledge, is the first to fuse flow-level and packet-level data within a heterogeneous graph structure, offering a comprehensive analysis of network traffic. Leveraging a heterogeneous graph neural network (GNN) with graph-level classification, XG-NID uniquely enables real-time inference while effectively capturing the intricate relationships between flow and packet payload data. Unlike traditional GNN-based methodologies that predominantly analyze historical data, XG-NID is designed to accommodate the heterogeneous nature of network traffic, providing a robust and real-time defense mechanism. Our framework extends beyond mere classification; it integrates Large Language Models (LLMs) to generate detailed, human-readable explanations and suggest potential remedial actions, ensuring that the insights produced are both actionable and comprehensible. Additionally, we introduce a new set of flow features based on temporal information, further enhancing the contextual and explainable inferences provided by our model. To facilitate practical application and accessibility, we developed "GNN4ID," an open-source tool that enables the extraction and transformation of raw network traffic into the proposed heterogeneous graph structure, seamlessly integrating flow and packet-level data. Our comprehensive quantitative comparative analysis demonstrates that XG-NID achieves an F1 score of 97\% in multi-class classification, outperforming existing baseline and state-of-the-art methods. This sets a new standard in Network Intrusion Detection Systems by combining innovative data fusion with enhanced interpretability and real-time capabilities.

연구 동기 및 목표

• 실시간 탐지를 위해 흐름 수준 및 패킷 수준 정보를 통합하여 NIDS의 성능 향상을 모티브화한다.
• 네트워크 트래픽의 이중 모달리티를 융합하기 위한 이질 그래프 표현을 개발한다.
• 실시간 추론이 가능한 그래프 수준 분류를 위한 이질 그래프 신경망을 설계한다.
• 대형 언어 모델을 통해 인간이 읽을 수 있는 설명과 대응 조치를 제시한다.
• 트래픽을 제안된 그래프 구조로 변환하고 추출하는 GNN4ID를 도입한다.

제안 방법

• 흐름 수준과 패킷 수준 데이터를 이질 그래프의 두 유형 노드/엣지로 융합한다.
• 노드 및 엣지 특징을 갖는 그래프 수준 분류를 위한 Gat 기반 이질 그래프 신경망을 개발한다.
• 흐름 간의 시간 기반 패턴을 포착하기 위해 시간적 설명 가능 특징을 도입한다.
• 로컬 설명을 생성하고 사람이 읽을 수 있는 수정 프롬프트를 제공하기 위해 Integrated Gradient Explainer와 Generative Explainer를 통합한다.
• 제안된 이질 그래프에 원시 트래픽을 변환하는 오픈 소스 도구인 GNN4ID를 만든다.
• 맥락적이고 설명 가능한 추론을 돕기 위해 시간 기반 흐름 특징의 새로운 세트를 도입한다.

Fig. 1.: Illustration of the proposed framework ”XG-NID”. The framework, depicted here, demonstrates its capability to better identify network attacks either based on flow or packet-level information with detailed contextual information and potential remedial actions. The framework comprises of six

실험 결과

연구 질문

• RQ1 흐름 및 패킷 데이터의 이질 그래프에서의 이중 모달리티 융합이 침입 탐지 성능을 개선하고 실시간 추론을 가능하게 할 수 있는가?
• RQ2 시간적 특징과 페이로드 내용을 어떻게 활용하면 NIDS 예측의 설명 가능성을 향상시킬 수 있는가?
• RQ3 감지된 위협에 대해 실행 가능한 인간 읽기 가능한 설명 및 수정 제안을 생성하는 데 LLM이 어떤 역할을 할 수 있는가?

주요 결과

• XG-NID는 평가된 데이터 세트에서 다중 클래스 분류에서 F1 점수 97%를 달성한다.
• 이질 그래프 구조와 그래프 수준 분류를 통해 실시간 추론을 가능하게 한다.
• 시간 정보 기반의 흐름 특징이 맥락적이고 설명 가능한 추론을 향상시킨다.
• GNN4ID는 원시 트래픽을 제안된 이질 그래프로 추출하고 변환하는 오픈 소스 파이프라인을 제공한다.
• 통합 설명 가능성 접근 방식은 LLM의 맥락 정보와 특징 기반 설명을 결합한다.
• 시스템은 자세하고 인간이 읽을 수 있는 설명과 권장된 시정 조치를 출력한다.

Fig. 2.: Illustration of graph structure, fusing flow and packet level data modalities. The features of edges utilized in the generation of graph structures are highlighted on each edge. For ’link’ edge we are utilizing only one feature whereas for the contain edge the number of features are four.