[论文解读] Anomal-E: A Self-Supervised Network Intrusion Detection System based on Graph Neural Networks

Evan Caville, Wai Weng Lo+2 more|arXiv (Cornell University)|Jul 14, 2022

Network Security and Intrusion Detection被引用 8

一句话总结

Anomal-E 是一种基于自监督图神经网络（GNN）的网络入侵检测系统，通过结合边特征和图拓扑结构，学习网络流量的鲁棒、无标签表示。它在两个基准数据集上优于监督学习和基线 GNN 方法，与孤立森林结合时达到最高 95.39% 的宏平均 F1 分数，证明了其在无需标注数据情况下的优越泛化能力和异常检测性能。

ABSTRACT

This paper investigates Graph Neural Networks (GNNs) application for self-supervised network intrusion and anomaly detection. GNNs are a deep learning approach for graph-based data that incorporate graph structures into learning to generalise graph representations and output embeddings. As network flows are naturally graph-based, GNNs are a suitable fit for analysing and learning network behaviour. The majority of current implementations of GNN-based Network Intrusion Detection Systems (NIDSs) rely heavily on labelled network traffic which can not only restrict the amount and structure of input traffic, but also the NIDSs potential to adapt to unseen attacks. To overcome these restrictions, we present Anomal-E, a GNN approach to intrusion and anomaly detection that leverages edge features and graph topological structure in a self-supervised process. This approach is, to the best our knowledge, the first successful and practical approach to network intrusion detection that utilises network flows in a self-supervised, edge leveraging GNN. Experimental results on two modern benchmark NIDS datasets not only clearly display the improvement of using Anomal-E embeddings rather than raw features, but also the potential Anomal-E has for detection on wild network traffic.

研究动机与目标

• 为解决依赖稀缺标注网络流量的监督型 NIDS 模型的局限性，特别是针对零日攻击和高级持续性威胁。
• 克服现有基于 GNN 的 NIDS 仅关注节点特征而忽略关键边级（数据包级）信息的限制。
• 开发一种实用的自监督 GNN 框架，无需标注数据即可学习有意义的网络流表示。
• 评估边感知与拓扑感知的自监督表示学习在真实网络流量场景中异常检测的有效性。

提出的方法

• Anomal-E 采用 E-GraphSAGE，一种改进的 GraphSAGE 变体，可同时捕捉网络流图中的节点拓扑与边级特征。
• 采用改进的深度图互信息（DGI）目标函数，以自监督方式最大化局部边表示与全局图级上下文之间的互信息。
• 该模型生成编码了网络流中结构信息与基于特征信息的边嵌入，从而支持下游异常检测。
• 这些边嵌入随后输入传统异常检测算法（如孤立森林、PCA、CBLOF 和 HBOS）以进行入侵分类。
• 该框架以端到端方式自监督训练，无需依赖标注的攻击实例。
• 该方法将网络流量建模为图结构，其中主机为节点，流为带有丰富特征向量的边，从而实现整体模式的学习。

实验结果

研究问题

• RQ1 基于自监督 GNN 的 NIDS 是否能有效检测网络入侵，而无需依赖标注训练数据？
• RQ2 在 GNN 中引入边级特征与拓扑结构是否相比仅使用节点特征或原始特征基线能提升检测性能？
• RQ3 Anomal-E 在 NF-UNSW-NB15 和 CSE-CIC-IDS2018 等多样化真实网络流量数据集上的泛化能力如何？
• RQ4 Anomal-E 中的自监督表示学习是否能捕捉复杂攻击模式（如 APT 中的横向移动）而无需监督？
• RQ5 与现有基于 GNN 和非 GNN 的 NIDS 基线相比，Anomal-E 在宏平均 F1 分数和检测率方面表现如何？

主要发现

• 当与孤立森林结合时，Anomal-E 在 NF-CSE-CIC-IDS2018-v2 数据集上实现了 95.39% 的宏平均 F1 分数，显著优于基线模型。
• 在两个数据集上的平均表现中，Anomal-E-CBLOF 和 Anomal-E-HBOS 分别达到 93.04% 和 91.89% 的宏平均 F1 分数，而基于 GraphSAGE 的基线模型分别为 72.07% 和 74.69%。
• 在 4% 异常比例场景下，Anomal-E-HBOS 在所有数据集上保持 91.89% 的宏平均 F1 分数，而 GraphSAGE-HBOS 下降至 74.69%。
• Anomal-E 展现出强大的泛化能力，在 NF-UNSW-NB15-v2 和 CSE-CIC-IDS2018-v2 上均表现良好，而基线模型（如 GraphSAGE）尽管在某一数据集上表现优异，但在另一数据集上表现欠佳。
• Anomal-E 中 DGI 与 E-GraphSAGE 的结合实现了有效的自监督表示学习，其中基于 DGI 的模型平均宏 F1 分数仅为 47.91%，证实了所提架构的优越性。
• 在 4% 异常比例下，Anomal-E 使用孤立森林在 NF-UNSW-NB15-v2 上实现了 98.77% 的检测率，表明其对异常具有高度敏感性。