GNN-IDS: система обнаружения вторжений на основе графовой нейронной сети

Системы обнаружения вторжений (IDS) широко используются для выявления аномалий в компьютерных сетях и формирования сигналов тревоги при подозрительном поведении. Системы обнаружения вторжений на основе машинного обучения (ML), как правило, используют сетевые трассировки или журналы хостов для извлечения закономерностей из отдельных образцов, тогда как взаимозависимости внутри сетей часто не учитываются и не изучаются, что может приводить к большому числу неопределённых предсказаний, ложноположительных и ложноотрицательных результатов. Для решения этих задач обнаружения вторжений мы предлагаем систему обнаружения вторжений на основе графовой нейронной сети (GNN-IDS), использующую данные и методы машинного обучения. В предложенной GNN-IDS граф атаки и измерения в реальном времени, представляющие соответственно статические и динамические характеристики компьютерных сетей, объединяются и связываются для представления сложных компьютерных сетей. В качестве механизма вывода для обнаружения вторжений используются графовые нейронные сети. Изучая связность сети, графовые нейронные сети могут оценивать важность соседних узлов и признаков узлов, обеспечивая более надёжные предсказания. Кроме того, благодаря включению графа атаки GNN-IDS может не только обнаруживать аномалии, но и выявлять вредоносные действия, вызывающие их. Экспериментальные результаты, полученные на тестовой сети с двумя синтетическими наборами данных, один из которых сгенерирован на основе общедоступных данных IDS, показывают, что предложенная GNN-IDS обеспечивает хорошие результаты. Результаты проанализированы с точки зрения неопределённости, объяснимости и устойчивости.