[论文解读] A Heterogeneous Graph Learning Model for Cyber-Attack Detection

Mingqi Lv, Chengyu Dong+4 more|arXiv (Cornell University)|Dec 16, 2021

Network Security and Intrusion Detection被引用 9

一句话总结

该论文提出了一种异构图神经网络模型，通过从溯源数据中学习语义表示，以检测隐蔽的、长期存在的网络攻击。通过采样局部子图并利用基于元路径的嵌入表示，该方法在真实世界数据集上的学习型模型中表现出更优的检测性能，并在与基于规则的系统对比中也取得了具有竞争力的结果。

ABSTRACT

A cyber-attack is a malicious attempt by experienced hackers to breach the target information system. Usually, the cyber-attacks are characterized as hybrid TTPs (Tactics, Techniques, and Procedures) and long-term adversarial behaviors, making the traditional intrusion detection methods ineffective. Most existing cyber-attack detection systems are implemented based on manually designed rules by referring to domain knowledge (e.g., threat models, threat intelligences). However, this process is lack of intelligence and generalization ability. Aiming at this limitation, this paper proposes an intelligent cyber-attack detection method based on provenance data. To effective and efficient detect cyber-attacks from a huge number of system events in the provenance data, we firstly model the provenance data by a heterogeneous graph to capture the rich context information of each system entities (e.g., process, file, socket, etc.), and learns a semantic vector representation for each system entity. Then, we perform online cyber-attack detection by sampling a small and compact local graph from the heterogeneous graph, and classifying the key system entities as malicious or benign. We conducted a series of experiments on two provenance datasets with real cyber-attacks. The experiment results show that the proposed method outperforms other learning based detection models, and has competitive performance against state-of-the-art rule based cyber-attack detection systems.

研究动机与目标

• 为解决基于规则的网络攻击检测系统所面临的局限性，此类系统严重依赖专家知识，且在环境变化时缺乏泛化能力。
• 克服传统入侵检测方法效率低下且泛化能力差的问题，这些方法聚焦于短期行为，忽略了丰富的上下文信息。
• 开发一种智能且可扩展的检测系统，能够利用溯源数据识别复杂、隐蔽且持续的网络攻击。
• 通过建模系统实体之间的长程依赖关系，实现对混合TTPs（战术、技术和程序）攻击的有效检测。
• 通过图表示学习直接从系统事件数据中学习潜在的攻击模式，从而减少对手动规则工程的依赖。

提出的方法

• 该方法将系统溯源数据建模为异构图，其中节点表示系统实体（如进程、文件、套接字），边表示系统事件（如读取、写入、复制）。
• 采用基于元路径的图嵌入方法，捕捉不同类型实体与事件之间的高层语义交互，使模型能够学习复杂攻击行为的有意义表示。
• 采用局部子图采样策略，提取候选系统实体周围的紧凑且上下文丰富的邻域，以实现高效的在线检测。
• 在采样的局部图上应用图卷积网络（GCNs），以传播和聚合特征，使模型即使在恶意实体未被直接观测时也能检测到其存在。
• 在在线推理阶段，利用学习到的表示和图中已标记的节点，通过标签传播算法推断新出现的未见系统实体的标签。
• 该框架端到端训练，基于局部图上下文和学习到的嵌入表示，将系统实体分类为恶意或良性。

实验结果

研究问题

• RQ1 异构图学习模型能否有效检测涉及多个系统实体和混合TTPs的隐蔽、长期网络攻击？
• RQ2 与标准节点级表示相比，基于元路径的图嵌入在检测复杂攻击模式方面有何改进？
• RQ3 局部子图采样与图卷积在多大程度上可提升检测性能，同时保持计算效率？
• RQ4 与最先进的基于规则的系统相比，该方法在精确率、召回率以及对新型攻击场景的适应性方面表现如何？
• RQ5 该模型能否在不重新训练的情况下，通过在异构图上进行标签传播，实现对实时未见系统实体的有效泛化？

主要发现

• 在Lab数据集上，该方法实现了99.35%的准确率、99.58%的召回率和95.30%的宏F1值，显著优于NeighborAvg和LabelProp方法。
• 在DARPA数据集上，该方法实现了100%的召回率和99.24%的准确率，展现出对隐蔽攻击的强大检测能力。
• 该方法在精确率和F1值上均优于其他基于学习的模型，表明其在检测多样化攻击模式方面具备鲁棒性和泛化能力。
• 基于标签传播的新型实体推理实现了高性能，表明模型在动态系统环境中具备良好的可扩展性与适应性。
• 该模型通过高阶邻域传播捕获长程依赖关系的能力，使得即使恶意行为在初始节点处不可见，也能实现攻击检测。
• 结果表明，该方法在性能上可与基于规则的系统相媲美，同时显著降低了对专家知识和手动规则创建的依赖。