[论文解读] Automating Botnet Detection with Graph Neural Networks

Jiawei Zhou, Zhiying Xu+2 more|arXiv (Cornell University)|Mar 13, 2020

Network Security and Intrusion Detection参考文献 26被引用 46

一句话总结

本文使用图神经网络通过学习Botnet结构的拓扑模式，在大规模网络图中自动检测僵尸网络，结果表明更深的GNN在多种拓扑结构上提升检测效果。

ABSTRACT

Botnets are now a major source for many network attacks, such as DDoS attacks and spam. However, most traditional detection methods heavily rely on heuristically designed multi-stage detection criteria. In this paper, we consider the neural network design challenges of using modern deep learning techniques to learn policies for botnet detection automatically. To generate training data, we synthesize botnet connections with different underlying communication patterns overlaid on large-scale real networks as datasets. To capture the important hierarchical structure of centralized botnets and the fast-mixing structure for decentralized botnets, we tailor graph neural networks (GNN) to detect the properties of these structures. Experimental results show that GNNs are better able to capture botnet structure than previous non-learning methods when trained with appropriate data, and that deeper GNNs are crucial for learning difficult botnet topologies. We believe our data and studies can be useful for both the network security and graph learning communities.

研究动机与目标

• 在不进行手动特征工程或手调启发式的情况下，激励自动化的僵尸网络检测。
• 探索GNNs是否能够在大型流量图中捕捉集中式和去中心化的僵尸网络拓扑。
• 在合成和真实僵尸网络拓扑上对比非学习基线评估GNNs。
• 分析模型深度和拓扑结构如何影响跨数据集的检测性能与鲁棒性。

提出的方法

• 将每个网络表示为一个无向图，节点代表子网实体，边代表通信。
• 使用具有L层的图神经网络进行节点级二分类以判断是否属于僵尸网络。
• 在GNN中自定义归一化，使用随机游走风格的 bar_A = D^{-1}A，并将 X^{(0)} 初始化为 1，以聚焦拓扑。
• 在以 CAIDA 背景流量叠加合成/真实僵尸网络拓扑构建的数据集上使用 Adam 进行训练。
• 与逻辑回归和 BotGrep 进行对比评估，报告假阳性、假阴性和检测率。
• 采用更深的GNN架构（最多12层）以捕获多跳拓扑依赖。

实验结果

研究问题

• RQ1 一个端到端的GNN是否能够仅使用大图中的拓扑而不依赖节点属性来检测僵尸网络节点？
• RQ2 GNN深度如何影响在不同僵尸网络拓扑（集中式与去中心化）上的检测性能？
• RQ3 在合成和真实的僵尸网络图上，GNN是否优于传统基于拓扑的方法和简单的机器学习基线？
• RQ4 在更大规模的僵尸网络上训练对检测较小的僵尸网络社区的影响（跨尺度的鲁棒性）？

主要发现

• GNN在僵尸网络检测率方面高于LR，假阳性更低，并且在合成拓扑上常常超越BotGrep。
• 更深的GNN（超过6层）在大多数拓扑中有益，一些拓扑需要更深的深度（Chord），而其他拓扑在较浅模型（de Bruijn）下表现良好。
• 在更大的僵尸网络社区上训练可以提升对较小僵尸网络的检测，体现了数据驱动对仅拓扑学习的益处。
• 在1万僵尸网络数据上训练的模型对1k和100个僵尸网络场景具有相当的泛化能力，表明在类别不平衡下的鲁棒性。
• 对于真实僵尸网络（C2、P2P），GNN显著优于LR，在某些配置中接近完美检测（例如GNN在C2上实现99.03% DET）。
• GNN的性能受益于以拓扑为焦点的、无特征设定，利用僵尸网络的快速混合特性。