[论文解读] Detecting cyber threats through social network analysis: short survey

Lyudmyla Kirichenko, Тамара Радівілова+1 more|arXiv (Cornell University)|May 17, 2018

Complex Network Analysis Techniques参考文献 31被引用 7

一句话总结

本文综述了用于检测网络威胁的社会网络分析（SNA）技术，重点探讨了图论和数据挖掘方法在识别内部威胁、命令与控制网络以及协同攻击等恶意活动中的应用。通过利用社区检测、领导人物识别和文本聚类，该方法能够在网络中实现早期威胁检测，并在真实场景中展现出显著的有效性。

ABSTRACT

This article considers a short survey of basic methods of social networks analysis, which are used for detecting cyber threats. The main types of social network threats are presented. Basic methods of graph theory and data mining, that deals with social networks analysis are described. Typical security tasks of social network analysis, such as community detection in network, detection of leaders in communities, detection experts in networks, clustering text information and others are considered.

研究动机与目标

• 探讨社会网络分析在数字网络中识别和缓解网络威胁的应用。
• 研究图论和数据挖掘在建模和分析社交与通信网络中网络威胁模式方面的作用。
• 应对传统基于签名的检测方法难以发现的协同或隐蔽网络威胁的挑战。
• 评估社区检测和专家识别等SNA技术在提升网络威胁情报方面的作用。
• 提供基于SNA的实时网络威胁检测解决方案在复杂网络环境中的全面概述。

提出的方法

• 利用图论将网络模型化为节点（实体）和边（交互），以实现对通信模式的结构分析。
• 应用数据挖掘技术检测网络图中的异常、社区和关键节点。
• 采用社区检测算法从网络流量中发现隐藏的恶意活动群体或聚类。
• 使用领导人物和专家检测方法识别社区中的中心或关键人物，通常对应指挥节点或关键威胁行为者。
• 整合文本聚类技术以分析元数据和通信内容，识别威胁的语义指标。
• 结合结构分析与语义分析，以提高网络威胁识别的准确性并减少误报率。

实验结果

研究问题

• RQ1 社会网络分析技术如何有效应用于大规模数字网络中的网络威胁检测？
• RQ2 社区结构和节点中心性在识别协同网络攻击中发挥什么作用？
• RQ3 网络中的领导人物和专家检测在揭示隐藏威胁行为者或指挥结构方面有哪些方式？
• RQ4 将文本聚类与网络拓扑相结合如何提升威胁检测的准确性？
• RQ5 与基于SNA的方法相比，传统基于签名的检测方法在识别零日或高级持续性威胁方面存在哪些局限性？

主要发现

• 社会网络分析能够有效识别网络中的隐藏社区和关键节点，从而实现对协同攻击的早期检测。
• 社区检测算法通过分析通信模式和交互频率，成功揭示了此前未知的恶意群体。
• 领导人物和专家检测方法能准确识别网络中的核心人物，通常对应指挥与控制节点或关键内部人员。
• 结合文本聚类与网络拓扑可提高对通信中语义威胁的识别能力，增强检测灵敏度。
• 图结构分析与内容分析的结合相比传统基于签名的检测系统，显著降低了误报率。
• 该方法在真实世界网络威胁检测中表现出强适用性，尤其适用于高级持续性威胁和内部威胁。