[论文解读] Few-shot Network Anomaly Detection via Cross-network Meta-learning

Kaize Ding, Qinghai Zhou+2 more|arXiv (Cornell University)|Feb 22, 2021

Anomaly Detection Techniques and Applications参考文献 49被引用 6

一句话总结

该论文提出 Meta-GDN，一种少样本网络异常检测框架，通过跨网络元学习，将来自多个具有有限标注异常的辅助网络的元知识进行迁移。通过引入图偏差网络（GDN）以强制正常节点与异常节点之间的统计偏差，Meta-GDN 即使在单样本设置下也实现了最先进性能，在 Yelp 数据集上的 AUC-ROC 指标上相比基线方法最高提升 5.75%。

ABSTRACT

Network anomaly detection aims to find network elements (e.g., nodes, edges, subgraphs) with significantly different behaviors from the vast majority. It has a profound impact in a variety of applications ranging from finance, healthcare to social network analysis. Due to the unbearable labeling cost, existing methods are predominately developed in an unsupervised manner. Nonetheless, the anomalies they identify may turn out to be data noises or uninteresting data instances due to the lack of prior knowledge on the anomalies of interest. Hence, it is critical to investigate and develop few-shot learning for network anomaly detection. In real-world scenarios, few labeled anomalies are also easy to be accessed on similar networks from the same domain as of the target network, while most of the existing works omit to leverage them and merely focus on a single network. Taking advantage of this potential, in this work, we tackle the problem of few-shot network anomaly detection by (1) proposing a new family of graph neural networks -- Graph Deviation Networks (GDN) that can leverage a small number of labeled anomalies for enforcing statistically significant deviations between abnormal and normal nodes on a network; and (2) equipping the proposed GDN with a new cross-network meta-learning algorithm to realize few-shot network anomaly detection by transferring meta-knowledge from multiple auxiliary networks. Extensive evaluations demonstrate the efficacy of the proposed approach on few-shot or even one-shot network anomaly detection.

研究动机与目标

• 解决在目标网络上仅有少量标注异常的情况下进行少样本网络异常检测的挑战。
• 克服无监督方法因缺乏先验知识而可能将噪声或无趣实例误判为异常的局限性。
• 利用同一领域内多个辅助网络中的标注异常，以提升目标网络上的检测性能。
• 开发一个鲁棒且可泛化的框架，在最小化负迁移风险的同时实现在不同网络间迁移元知识。
• 即使在目标网络上仅有单个标注异常的情况下，也能实现有效的异常检测，从而减少对大量人工标注的依赖。

提出的方法

• 提出图偏差网络（GDN），一种新型图神经网络架构，仅使用少量标注异常即可学习到异常节点与正常节点之间的显著统计偏差。
• 设计一种跨网络元学习算法，从与目标网络同领域的多个辅助网络中提炼元知识。
• 训练元学习器以优化元损失，从而在使用来自辅助网络的少样本支持集时，使模型在目标网络上具备良好的泛化能力。
• 采用偏差损失函数，将标注异常的潜在表示与未标注节点的分布进行比较，以突出异常模式。
• 集成基于图神经网络的编码器，以提取拓扑结构与基于特征的表示，增强节点嵌入的表达能力。
• 采用两阶段训练流程：首先在辅助网络上预训练 GDN，然后在目标网络上使用少量标注异常进行微调。

(a) Latent Representation Space

实验结果

研究问题

• RQ1 当结合来自多个辅助网络的知识时，目标网络上仅有的少量标注异常是否足以实现有效的异常检测？
• RQ2 辅助网络的数量如何影响少样本异常检测的性能与鲁棒性？
• RQ3 所提出的 Meta-GDN 框架在不同网络类型与污染水平下具备多大程度的泛化能力？
• RQ4 跨网络元学习策略在无负迁移风险的前提下，其元知识迁移的有效性如何？
• RQ5 各组件（如 GNN 编码器、元学习、偏差损失）对整体检测性能的贡献程度如何？

主要发现

• 在三个基准数据集（Yelp、PubMed、Cora）的单样本设置下，Meta-GDN 均实现了最先进性能，全面超越所有基线方法。
• 在目标网络上仅有一个标注异常的情况下，Meta-GDN 在 Yelp 数据集上实现了 0.892 的 AUC-ROC，显著优于次优方法 5.75%。
• 随着标注异常数量的增加，性能持续提升，表明该框架具有良好的可扩展性。
• 即使在高污染水平（未标注数据中异常比例高达 10%）下，Meta-GDN 仍保持强鲁棒性，大幅优于 SemiGNN。
• 消融实验确认，GNN 编码器与跨网络元学习均至关重要：移除任一组件后，PubMed 数据集上的 Precision@100 最多下降 8.1%。
• 将辅助网络数量从 2 增加到 6 时，Yelp 数据集上的 AUC-ROC 提升不足 0.033，表明即使在辅助数据极少的情况下，系统仍具备强大性能。

(b) Anomaly Score Space