[论文解读] Multi-centrality Graph Spectral Decompositions and their Application to Cyber Intrusion Detection

Pin‐Yu Chen, Sutanay Choudhury+1 more|arXiv (Cornell University)|Dec 23, 2015

Complex Network Analysis Techniques被引用 3

一句话总结

本文提出多中心性图主成分分析（MC-GPCA）和多中心性图字典学习（MC-GDL），将多种图中心性特征——如行走统计、到参考节点的距离以及各类中心性度量——整合到谱分解中，用于降维和异常检测。在网络安全入侵检测中的应用表明，MC-GPCA通过结构差异度量（SDS）识别结构偏差，而MC-GDL则学习具有区分性的结构原子以实现攻击分类，其在检测网络异常方面优于基于度数的度量方法。

ABSTRACT

Many modern datasets can be represented as graphs and hence spectral decompositions such as graph principal component analysis (PCA) can be useful. Distinct from previous graph decomposition approaches based on subspace projection of a single topological feature, e.g., the Fiedler vector of centered graph adjacency matrix (graph Laplacian), we propose spectral decomposition approaches to graph PCA and graph dictionary learning that integrate multiple features, including graph walk statistics, centrality measures and graph distances to reference nodes. In this paper we propose a new PCA method for single graph analysis, called multi-centrality graph PCA (MC-GPCA), and a new dictionary learning method for ensembles of graphs, called multi-centrality graph dictionary learning (MC-GDL), both based on spectral decomposition of multi-centrality matrices. As an application to cyber intrusion detection, MC-GPCA can be an effective indicator of anomalous connectivity pattern and MC-GDL can provide discriminative basis for attack classification.

研究动机与目标

• 解决现有图主成分分析与字典学习方法仅依赖单一中心性度量且对噪声和图结构变化敏感的局限性。
• 开发统一的谱分解框架，整合多种拓扑特征（如图行走统计、中心性度量和节点间距离），以提升图分析的鲁棒性。
• 将所提方法应用于网络入侵检测，实现对异常连通模式的检测以及网络流量图中攻击类型的分类。
• 证明多中心性特征可增强对结构变化的敏感性，如边的移除、权重变化以及有向图中的方向改变。

提出的方法

• MC-GPCA 通过 SVD 对由多种图中心性特征（如 1–20 跳行走统计、到 10 个高阶度节点的距离，以及 10 种中心性度量）组成的矩阵进行谱分解，实现单张图的低维表示。
• MC-GDL 将该框架扩展至图的集合，通过对每张图提取的 SDS 特征应用基于 K-SVD 的字典学习，学习稀疏系数和具有区分性的结构原子。
• 该方法构建一个包含 p=56 列的特征矩阵 X，整合了行走统计（1–20 跳）、10 种中心性度量（LFVC 中排除边方向）以及到 10 个高阶度参考节点的距离。
• 利用 MC-GPCA 的前两个主成分计算结构差异度量（SDS），以量化与正常网络行为的结构偏差。
• 在字典学习中，算法为每张图选择 z=300 个最高的 SDS 值，应用 K-SVD 学习 K=2 个结构原子及其对应的稀疏系数，用于攻击分类。
• 该框架支持加权、有向及非连通图，而以往方法通常仅限于无向、连通或无权图。

实验结果

研究问题

• RQ1 将多种中心性特征整合到谱分解中，是否能提升对图中细微结构变化的检测能力？
• RQ2 MC-GPCA 在识别网络攻击期间异常连通模式方面，与基于度数的度量相比表现如何？
• RQ3 MC-GDL 是否能学习到具有区分性的结构原子，以有效表征网络图中的正常行为与攻击行为？
• RQ4 多中心性特征在多大程度上增强了对噪声及图拓扑变化（如边的移除或方向改变）的鲁棒性？

主要发现

• MC-GPCA 的结构差异度量（SDS）能有效检测异常：在 UNB 数据集的第 3、4 和 5 天，SDS 值显著升高，对应于渗透、拒绝服务（DoS）和僵尸网络 DDoS 攻击。
• 度数统计无法检测异常，特别是第 7 天的 SSH 暴力破解攻击，该攻击具有局部性，未改变全局度分布。
• MC-GDL 成功学习到两个结构原子：一个代表正常活动（仅有一个主路由器的尖峰），另一个捕捉攻击模式，其 SDS 特征方差更高。
• MC-GDL 的系数矩阵可实现有效的攻击分类；使用两簇的 K-均值聚类正确识别出第 3、4 和 5 天为异常。
• 整合多种中心性特征（包括行走统计、到参考节点的距离以及 10 种中心性度量）相比单特征方法，能获得更鲁棒且更具区分性的表征。
• MC-GPCA 仅用一个或两个主成分即可解释大部分数据方差，表明多中心性特征能有效捕捉主导的结构模式。