[论文解读] E-GraphSAGE: A Graph Neural Network based Intrusion Detection System

Wai Weng Lo, Siamak Layeghy+3 more|arXiv (Cornell University)|Mar 30, 2021

Network Security and Intrusion Detection参考文献 15被引用 11

一句话总结

本文提出 E-GraphSAGE，一种基于图神经网络的入侵检测系统，通过扩展 GraphSAGE 以支持边特征，实现对网络流是否为良性或恶意的分类。在六个基准数据集上评估，E-GraphSAGE 通过有效建模具有边特征的流级图结构，在网络入侵检测任务中达到最先进性能。

ABSTRACT

This paper presents a new network intrusion detection system (NIDS) based on Graph Neural Networks (GNNs). GNNs are a relatively new sub-field of deep neural networks, which have the unique ability to leverage the inherent structure of graph-based data. Training and evaluation data for NIDSs are typically represented as flow records, which can naturally be represented in a graph format. This establishes the potential and motivation for exploring GNNs for the purpose of network intrusion detection, which is the focus of this paper. E-GraphSAGE, our proposed new approach is based on the established GraphSAGE model, but provides the necessary modifications in order to support edge features for edge classification, and hence the classification of network flows into benign and attack classes. An extensive experimental evaluation based on six recent NIDS benchmark datasets shows the excellent performance of our E-GraphSAGE based NIDS in comparison with the state-of-the-art.

研究动机与目标

• 通过在网络流数据上利用图神经网络（GNN）的结构建模能力，解决传统 NIDS 的局限性。
• 通过扩展 GraphSAGE 以整合边特征，实现在基于图的网络入侵检测中对边的有效分类。
• 开发一种可扩展且准确的 NIDS，将网络流量建模为图结构，其中流作为带特征的边，以提升对复杂攻击模式的检测能力。
• 在多个基准数据集上将所提模型与最先进方法进行对比，以验证其性能和泛化能力。

提出的方法

• 扩展 GraphSAGE 框架以支持边级特征，使模型能够将单个网络流分类为良性或恶意。
• 将网络流量表示为异构图，其中节点代表网络实体（例如主机），边代表具有丰富特征向量的网络流。
• 使用图卷积聚合机制，在消息传递过程中同时整合节点和边特征，以更新节点表示。
• 对更新后的节点嵌入应用最终分类器，以预测每条边（流）的攻击类别。
• 采用基于采样的训练策略，以在保持性能的同时实现对大规模图的高效扩展。
• 利用 GNN 的归纳偏置，使模型能够泛化到未见过的图结构，提升在实际部署中的鲁棒性。

实验结果

研究问题

• RQ1 基于图神经网络的模型是否能通过在带边特征的图中建模网络流量，有效分类网络流为良性或恶意？
• RQ2 在多种基准数据集上，E-GraphSAGE 与最先进 NIDS 模型相比，在检测准确率和鲁棒性方面表现如何？
• RQ3 与忽略边级信息的模型相比，边特征在多大程度上提升了入侵检测性能？
• RQ4 所提模型是否能泛化到未见过的网络拓扑和流量模式，从而体现归纳偏置的优势？

主要发现

• E-GraphSAGE 在六个近期的 NIDS 基准数据集上均达到最先进性能，检测准确率优于现有方法。
• 边特征的整合显著提升了模型性能，证明了在基于图的 NIDS 中建模流级特征的重要性。
• 该模型展现出强大的泛化能力，由于其归纳偏置，能在未见过的网络拓扑上保持高性能。
• 通过高效的采样策略，E-GraphSAGE 的可扩展性得以保持，使其能够在大规模网络图上训练而不会导致性能下降。