[论文解读] Use of Graph Neural Networks in Aiding Defensive Cyber Operations

Shaswata Mitra, Trisha Chakraborty+3 more|arXiv (Cornell University)|Jan 11, 2024

Information and Cyber Security被引用 4

一句话总结

本文提出使用图神经网络（GNNs）通过干扰洛克希德·马丁网络杀手机制的各个阶段来增强防御性网络作战。GNNs 分析图结构化的网络威胁数据，以检测模式、预测攻击者行为，并在整个攻击生命周期中提升检测与响应能力，为智能网络防御提供一种新颖且全面的框架，同时指出了研究空白与未来方向。

ABSTRACT

In an increasingly interconnected world, where information is the lifeblood of modern society, regular cyber-attacks sabotage the confidentiality, integrity, and availability of digital systems and information. Additionally, cyber-attacks differ depending on the objective and evolve rapidly to disguise defensive systems. However, a typical cyber-attack demonstrates a series of stages from attack initiation to final resolution, called an attack life cycle. These diverse characteristics and the relentless evolution of cyber attacks have led cyber defense to adopt modern approaches like Machine Learning to bolster defensive measures and break the attack life cycle. Among the adopted ML approaches, Graph Neural Networks have emerged as a promising approach for enhancing the effectiveness of defensive measures due to their ability to process and learn from heterogeneous cyber threat data. In this paper, we look into the application of GNNs in aiding to break each stage of one of the most renowned attack life cycles, the Lockheed Martin Cyber Kill Chain. We address each phase of CKC and discuss how GNNs contribute to preparing and preventing an attack from a defensive standpoint. Furthermore, We also discuss open research areas and further improvement scopes.

研究动机与目标

• 应对传统基于签名的检测方法难以应对的日益复杂和演化的网络攻击。
• 研究图神经网络（GNNs）在建模复杂、关联性网络威胁数据方面的潜力，以提升防御性作战能力。
• 将GNN应用映射到网络杀手机制的所有阶段，以提供系统化、基于生命周期的防御框架。
• 识别GNN在网络安全领域部署中的开放挑战，包括数据集成、隐私保护和模型泛化能力。
• 概述通过知识共享和协作学习推进基于GNN的网络防御系统未来研究方向。

提出的方法

• 将网络威胁数据建模为异构图，表示实体（如系统、用户、IP地址）及其交互（如网络流量、文件访问）。
• 通过消息传递机制聚合邻域信息，应用GNN学习节点和图级别的表征。
• 利用GNN进行异常检测，通过识别图结构或节点嵌入中的偏差来发现恶意行为。
• 将GNN集成到威胁情报平台中，通过整合多样数据源的上下文和关系洞察来丰富知识图谱。
• 探索联邦学习与迁移学习技术，实现在保护隐私的同时实现协作式模型训练，并促进知识共享。
• 利用GNN检测虚假数据并缓解图结构混淆，以提升共享威胁情报的可信度。

Figure 1 . Illustration of GNN aggregate and update functions. The nodes $v$ of input graph $G$ is aggregates the embeddings $h_{u}^{(k)}$ over $k$ iteration from the neighbourhood $\mathcal{N}(v)$ . Then, the node embedding of node $v$ is updated which is denoted by $a_{v}$ . The final updated node

实验结果

研究问题

• RQ1 如何有效应用GNNs来检测并干扰网络杀手机制的各个阶段？
• RQ2 与传统机器学习和基于规则的方法相比，GNNs在建模复杂网络威胁关系方面具有哪些关键优势？
• RQ3 如何在保护数据隐私和完整性的前提下，利用GNNs支持实时威胁情报共享？
• RQ4 在大规模防御性网络作战中部署GNNs时面临的主要技术和操作挑战是什么？
• RQ5 未来哪些研究方向可提升基于GNN的网络防御系统在鲁棒性、泛化能力和可扩展性方面的表现？

主要发现

• GNNs能有效建模网络威胁数据的关联性和层次性特征，从而检测出传统方法难以发现的细微攻击模式。
• 通过学习系统交互的图结构化特征，GNNs在网络杀手机制的各个阶段（从初始侦察到数据渗出）均提升了检测能力。
• 通过联邦学习和基于图的基准测试实现GNN模型之间的知识共享，可提升集体威胁检测能力并减少误报。
• 尽管前景广阔，GNNs在应对如NOP插入和子程序重排等图混淆技术时仍面临挑战，需采用自适应学习策略。
• 当前研究缺乏标准化、开源的GNN网络防御数据集和评估基准，限制了可复现性与进展。
• 在基于GNN的威胁情报共享中，图结构隐藏等隐私保护技术尚未得到充分探索，构成关键研究空白。

Figure 2 . Overview of our proposed taxonomy. We considered seven phases of the cyber kill chain (CKC) [Reconnaissance, Weaponization, Delivery, Exploitation, Installation, Command & Control, Actions on Objectives] with possible attacker activities. For prevention, we consider seven defensive phases