使用图卷积网络检测异常网络通信模式
密码学与安全
2023-12-01 v1 机器学习
摘要
为保护组织的端点免受复杂网络攻击，需要先进的检测方法。在本研究中，我们提出GCNetOmaly：一种基于图卷积网络（GCN）的变分自编码器（VAE）异常检测器，训练于包含内部与外部机器间连接事件的数据上。作为输入，所提出的基于GCN的VAE模型接收两个矩阵：(i) 归一化邻接矩阵，表示机器间的连接；(ii) 特征矩阵，包含用于刻画各节点/机器画像的多种特征（人口统计、统计、进程相关及Node2vec结构特征）。在预定义时间窗口收集的数据上训练模型后，将模型应用于相同数据；模型对给定机器获得的重建分数随即作为该机器的异常分数。GCNetOmaly在由Carbon Black EDR记录的真实大规模数据上评估，数据来自某大型金融机构的自动柜员机（ATMs）以及与活动目录（AD）服务器的通信，包含无监督与有监督两种设置。我们的评估结果证明了GCNetOmaly在无监督数据上检测机器异常行为的有效性。
引用
@article{arxiv.2311.18525,
title = {Detecting Anomalous Network Communication Patterns Using Graph Convolutional Networks},
author = {Yizhak Vaisman and Gilad Katz and Yuval Elovici and Asaf Shabtai},
journal= {arXiv preprint arXiv:2311.18525},
year = {2023}
}