教師なしGNNによるIoTデバイスの異常通信検知の検討

教師なしGNNによる
IoTデバイスの異常通信検知の検討
★近藤真暉（株式会社 ARISE analytics）
奥井宣広（株式会社 KDDI総合研究所）
2023.01.26 ＠ SCIS2023
©2023 ARISE analytics Reserved.
本研究成果は、国立研究開発法人情報通信研究機構の委託研究（05201）により得られたものです。

発表概要
©2023 ARISE analytics Reserved. 1
【本研究の概要】
IoTデバイスの通信データを対象とした異常通信検知を目的とした教師なしGNNを提案
【本研究の成果】
① Metric Learning を用いた教師なし学習によるグラフの埋め込み手法の提案
② 異常通信検知向け公開データセットを用い、本手法により汎用的な性能が得られていることを確認
Source
IP/Port
Destination
IP/Port
Device Network
1b
2b
1a
1c
2c
Create Graph
➡ ➡
Sub-Graph Extraction
➡
Graph
Embedding
Model
Anomaly Detection with kNN

目次
提案手法
先行研究
実験
まとめ
背景

背景 - IoTデバイスを対象としたサイバーセキュリティ
図：『総務省情報通信白書（R3版）（総務省 2021）』をもとに一部加工
IoTデバイスの増加に伴い、IoTデバイスを対象としたサイバー攻撃が増加傾向にある
世界のIoTデバイス数の推移及び予測 IoTデバイスを対象としたサイバー攻撃（マルウェアMiraiの例）
IoTデバイスは台数・種類の多さから手動によるセキュリティ対策が困難
↓
機械学習を用いたセキュリティ対策（異常通信検知）の自動化が不可欠
Mirai botmaster C&C Server 感染IoTデバイス DDoS攻撃

目次
提案手法
先行研究
実験
まとめ
背景

異常通信検知
デバイス間で行われる通信を観測し、正常とは異なる通信が発生したときに自動で検知する手段
機械学習を用いた異常通信検知は、「教師なし」ベースの手法と「教師あり」ベースの手法に大別される
デバイス間の通信を観測異常通信を検知したら対策
×
教師なし異常通信検知
教師あり異常通信検知
サイバー攻撃は日進月歩であり、過去とは異なる異常通信が発生する可能性が高く、
教師なし異常通信検知の重要性が高まっている
⚫ 正常通信を用いて学習
⚫ 正常通信と異なる異常通信を
検知する
⚫ 未知の異常通信に対応可能
⚫ 正常通信と異常通信を用いて
学習
⚫ 異常通信の検知に加え、異常
通信の種類も分類可能
⚫ 既知の異常通信のみを対象

グラフニューラルネットワーク（GNN）による異常通信検知
従来の機械学習アプローチに対し、近年GNNを用いた異常通信検知が提案されている
利点：
- 複数の通信データを統合して処理できるため、従来手法に比べて性能向上する例が多い
欠点：
- 教師ありの手法が中心であり、未知の異常に対して十分な検知精度が得られない可能性がある
Source
IP/Port
Destination
IP/Port
Device Network
1b
2b
1a
1c
2c
Create Graph
➡ ➡
➡
Graph
Embedding
Model
Anomaly Detection
（Supervised）
E-GraphSAGEによる教師あり異常通信検知の例

本研究の位置づけ
GNNを教師なし異常通信検知に適用できるよう改良し、活用の幅を広げる
GNN
ML
教師あり異常通信検知教師なし異常通信検知
• [1][2]など
• [4][5]など
• [3]など
• 提案手法
[1] Distributed anomaly detection for industrial wireless sensor networks based on fuzzy data modelling（JPDC 2013）
[2] On the symbiosis of specification-based and anomaly-based detection （Computers & Security 2010）
[3] Hyperspherical cluster based distributed anomaly detection in wireless sensor networks （JPDC 2013）
[4] E-GraphSAGE: A Graph Neural Network based Intrusion Detection System for IoT（NOMS 2022）
[5] Graph-based Solutions with Residuals for Intrusion Detection: the Modified E-GraphSAGE and E-ResGAT Algorithms（ArXiv 2021）

目次
提案手法
先行研究
実験
まとめ
背景

提案手法：Unsupervised E-GraphSAGE
[4] E-GraphSAGE: A Graph Neural Network based Intrusion Detection System for IoT（NOMS 2022）
E-GraphSAGE[4]をベースに、Metric Learningを導入することで教師なし学習を実現
本手法は３つの手順に分かれる
Source
IP/Port
Destination
IP/Port
Device Network
1b
2b
1a
1c
2c
Create Graph
➡ ➡
➡
Graph
Embedding
Model
Anomaly Detection with kNN
手順① 通信データからのグラフ構築手順② ノード埋め込みモデルの学習手順③ 異常検知モデルの学習
E-GraphSAGEベース今回の改良部分

手順① 通信データからのグラフ構築
ホストをノードに、ホスト間通信をエッジとみなすことで、グラフを用いた通信表現が可能
ただし、一般的なGNNはノードに特徴（通信データ）が保有されていることを前提としている
➡ノードに通信データが含まれるように変換を行う
Source
IP/Port
Destination
IP/Port
1
2
3
a
b
c
Source
IP/Port
Destination
IP/Port
＝ ⇔
1b
2b
3b
1a
1c
2c
Device Network Device Graph Swap Edges and Nodes
3c
1b
2b
1a
1c
2c
通信データはエッジに格納されており
一般的なGNNでは処理が難しい
通信データ
通信データ
ノードとエッジを入れ替えることで、
ノードに通信データを格納することが可能
これにより、一般的なGNNでの処理が可能になる

手順② ノード埋め込みモデルの学習 – Metric Learning
教師情報を用いないMetric Learningを導入し、教師なしによるノード埋め込みモデルを学習
近くなるように学習
𝑧𝑢
𝑧𝑣𝑛
𝑧𝑣
𝐹(𝑆𝑢)
𝐹(𝑆𝑣)
𝐹(𝑆𝑣𝑛
)
アンカー・ポジティブ・ネガティブを用い、
以下を実現する埋め込みモデル 𝐹(𝑥) を学習
アンカー𝒖-ポジティブ𝒗 ：近くなる
アンカー𝒖-ネガティブ𝒗𝒏 ：遠くなる
Metric Learningの損失関数（Triplet Loss）
遠くなるように学習
アンカー
ポジティブ
ネガティブ

手順② ノード埋め込みモデルの学習 – ノードの選択
※ 隣接ノードからは似たサブグラフが、遠方ノードからは異なるサブグラフが構築される、という考え方に基づく
選択したアンカーノードに対し、構成されるサブグラフが似る/似ないようにポジティブ/ネガティブを選択し、ノード
を起点とするサブグラフを埋め込むモデルを学習
k-hop
近くなるように学習
𝑢
𝑣
𝑣𝑛
𝑧𝑢
𝑧𝑣𝑛
𝑧𝑣
𝑆𝑢
𝑆𝑣
𝑆𝑣𝑛
𝐹(𝑆𝑢)
𝐹(𝑆𝑣)
𝐹(𝑆𝑣𝑛
)
① 埋め込み対象アンカーノード𝒖 を決定
② ポジティブサンプルである隣接ノード𝒗 と
ネガティブサンプルである遠方ノード𝒗𝒏を決定
③ それぞれのノードに対し、k-hop
samplingを行いサブグラフを構築
（k=2の例）
④ サブグラフの埋め込みを学習
アンカーノード𝒖-隣接ノード𝒗 ：近くなる
アンカーノード𝒖-遠方ノード𝒗𝒏 ：遠くなる
遠くなるように学習
ポジティブ
ネガティブ
アンカー

手順③ 異常検知モデルの学習
※ 埋め込みモデルの学習データと異常検知モデルの学習データは同一のものを用いる
得られたノードの埋め込み特徴（通信データの埋め込み特徴）を用い、異常検知モデルを学習
異常検知モデルは、Metric Learningと同様に距離計算ベースの手法であるkNN Anomaly Detectorを採用
検知対象サンプルに対し、N個の近隣サンプルとの距離を算出
距離が事前に学習した閾値を上回った場合は異常とみなす
（k=3の例）
正常サンプルの処理例異常サンプルの処理例
最大距離 : 4.2 最大距離 : 14.7

目次
提案手法
先行研究
実験
まとめ
背景

実験設定
※1 E-GraphSAGEと同様の前処理を行うため、IPアドレスおよびポートは除去して用いた。
※2 すべての種類の異常通信をまとめてひとつの異常通信として扱う。
提案手法の効果を確認するため、IoTの通信データによる公開データセットを用いた実験を実施
【データセット内訳】
【比較対象】
① 通信データの特徴表現（埋め込み前の既存特徴 / 提案手法）
② 異常検知アルゴリズム（kNN / AutoEncoder / One Class SVM）
【評価方法】
① t-SNEを用いた埋め込み特徴の可視化
② 二値分類による通信異常検知（正常通信か異常通信※2かを分類）とROCAUCを用いた評価
データセット
異常通信の種類
数
正常通信の割合
（％）
既存特徴の次元※1
訓練データの件数
（正常通信のみ）
検証データの件数
（異常通信含む）
テストデータの件数
（異常通信含む）
UNSW-NB15 9 96.83 43 485,001 5,000 210,000
The TON_IoT 9 65.07 39 316,043 5,000 210,000

実験① 埋め込み特徴の可視化
提案手法によるノード埋め込み（通信データ埋め込み）結果をt-SNEで可視化
UNSW-NB15 The TON_IoT
青色：正常通信から生成されたサンプル
それ以外の色：異常通信から生成されたサンプル
同一種別の通信によるまとまりが確認できている
↓
提案手法により、正常通信と異常通信を分離できるような特徴表現を学習できている

実験② 通信異常検知
提案手法によるノード埋め込み（通信データ埋め込み）結果と異常検知アルゴリズムの組み合わせを検証
比較対象として、通信データに対し異常検知アルゴリズムを適用したケース（RAW）を算出
各データセットで高精度であったのはRAW（AE）/RAW（kNN）
ただし、平均値は提案手法（kNN）が最も高精度であり、データセット間の差分（ばらつき）も最も小さい
↓
本実験の範囲において、Unsupervised E-GraphSAGE Embedding Model（kNN）は
データセットによらず汎用的な性能が得られている
↓
↑ ↑
↑

目次
提案手法
先行研究
実験
まとめ
背景

まとめ
【本研究の概要】
IoTデバイスの通信データを対象とした異常通信検知を目的に、教師なしGNN異常検知を提案
【本研究の成果】
① Metric Learning を用いた教師なし学習によるグラフの埋め込み手法の提案
② 異常通信検知向け公開データセットを用い、本手法と異常検知手法を組み合わせることで汎用的な性
能が得られていることを確認
【今後の展望】
① ノード埋め込みモデルの学習と異常検知モデルの学習の統合
② 組み合わせる異常検知アルゴリズムの違いによる特性の分析

Best Partner for innovation, Best Creator for the future.

教師なしGNNによるIoTデバイスの異常通信検知の検討

教師なしGNNによるIoTデバイスの異常通信検知の検討

Recomendados

Más contenido relacionado

Was ist angesagt?

Was ist angesagt?(20)

Similar a 教師なしGNNによるIoTデバイスの異常通信検知の検討

Similar a 教師なしGNNによるIoTデバイスの異常通信検知の検討(20)

Más de ARISE analytics

Más de ARISE analytics(17)

Último

Último(12)

教師なしGNNによるIoTデバイスの異常通信検知の検討