[论文解读] Graph Convolutional Network-based Suspicious Communication Pair Estimation for Industrial Control Systems

Tatsumi Oba, Tadahiro Taniguchi|arXiv (Cornell University)|Jul 17, 2020

Network Security and Intrusion Detection参考文献 15被引用 5

一句话总结

该论文提出GCN SCOPE，一种基于图卷积网络的框架，用于对工业控制系统（ICS）中的未观测通信三元组（服务器IP、端口、客户端IP）进行评分，以区分正常与异常流量。通过将网络通信建模为多图，并使用关系图卷积网络（R-GCNs）进行链接预测，该方法在AUC上达到0.957，显著优于DistMult和启发式方法等基线方法。

ABSTRACT

Whitelisting is considered an effective security monitoring method for networks used in industrial control systems, where the whitelists consist of observed tuples of the IP address of the server, the TCP/UDP port number, and IP address of the client (communication triplets). However, this method causes frequent false detections. To reduce false positives due to a simple whitelist-based judgment, we propose a new framework for scoring communications to judge whether the communications not present in whitelists are normal or anomalous. To solve this problem, we developed a graph convolutional network-based suspicious communication pair estimation using relational graph convolution networks, and evaluated its performance. For this, we collected the network traffic of three factories owned by Panasonic Corporation, Japan. The proposed method achieved a receiver operating characteristic area under the curve of 0.957, which outperforms baseline approaches such as DistMult, a method that directly optimizes the node embeddings, and heuristics, which score the triplets using first- and second-order proximities of multigraphs. This method enables security operators to concentrate on significant alerts.

研究动机与目标

• 解决基于白名单的工业控制系统（ICS）异常检测中误报率过高的问题。
• 量化历史日志中未出现的未观测通信三元组的异常程度。
• 开发一种可扩展的、基于学习的方法，以减少安全运营中心的告警疲劳。
• 通过将通信模式建模为具有关系GCN的多图，提高检测准确性。
• 在区分正常与异常通信方面，优于现有方法如DistMult和基于接近度的启发式方法。

提出的方法

• 将ICS网络流量建模为多图，其中节点代表IP地址，边代表它们之间的TCP/UDP端口使用情况。
• 应用关系图卷积网络（R-GCNs）联合学习节点嵌入并预测缺失链接（未观测三元组）。
• 将未观测三元组的异常评分问题视为多图中的链接预测问题。
• 采用基于分数和基于排名的评估方法，以衡量正常与异常三元组的可区分性。
• 在三个工厂的真实ICS网络数据中进行一周的训练，并在另一周独立数据上进行测试。
• 使用不在训练集或测试集中的随机三元组作为异常检测评估的正样本。

实验结果

研究问题

• RQ1 图神经网络框架能否有效对ICS网络中的未观测通信三元组进行评分，以识别异常？
• RQ2 基于R-GCN的链接预测与传统方法（如DistMult和接近度启发式方法）相比，在检测可疑通信方面表现如何？
• RQ3 从多图中学习的嵌入在多大程度上能改善正常与异常通信模式之间的区分？
• RQ4 通过图卷积联合优化节点嵌入，与独立优化相比，能否减少评分尺度的不一致？
• RQ5 所提出的方法能否在不牺牲检测灵敏度的前提下，显著减少ICS安全监控中的误报？

主要发现

• GCN SCOPE在链接预测的ROC曲线上实现了0.957的平均AUC，显著优于基线方法。
• 在工厂A中，基于分数的AUC达到0.962，而DistMult仅达到0.262，显示出显著的性能差距。
• 基于排名的评估显示，GCN SCOPE在工厂A中AUC达到0.903，优于一阶接近度启发式方法（0.767）和二阶接近度启发式方法（0.768）。
• R-GCN优越的性能归因于节点嵌入的联合优化，这缓解了DistMult中常见的评分尺度不一致问题。
• GCN SCOPE通过过滤掉低分且非关键的告警，有效减少了误报，使安全团队能够集中关注高风险事件。
• 该方法在三个不同的工业环境中均表现出良好的泛化能力，AUC范围在0.914至0.996之间，具体取决于工厂。