Графовые нейронные сети для обнаружения вторжений: обзор

Кибератаки представляют собой постоянно растущую угрозу, которая стала насущным приоритетом для большинства организаций. Злоумышленники используют сложные сценарии атак, чтобы обмануть системы защиты, получить доступ к конфиденциальным данным или причинить ущерб. Машинное обучение (ML) и глубокое обучение (DL) продемонстрировали впечатляющие результаты в обнаружении кибератак благодаря способности выявлять обобщаемые закономерности в неструктурированных данных. Однако такие данные не позволяют учесть структурное поведение атак, что имеет ключевое значение для эффективного обнаружения. Напротив, графовые структуры обеспечивают более устойчивое и абстрактное представление системы, от которого злоумышленникам сложнее уклониться. В последнее время графовые нейронные сети (GNN) успешно обучаются извлекать полезные представления из семантики, содержащейся в графовых данных. Вторжения уже многие годы обнаруживаются с использованием таких графов, как графы сетевых потоков или графы происхождения данных, а обучение представлений на основе этих структур может помочь моделям понимать структурные закономерности атак в дополнение к традиционным признакам. В настоящем обзоре рассматривается применение обучения графовым представлениям для обнаружения сетевых вторжений и вторжений на уровне узлов, при этом особое внимание уделяется методам на основе GNN. Для обоих уровней — сетевого и узлового — представлены графовые структуры данных, которые могут быть использованы, а также проведён всесторонний обзор современных исследований и применяемых наборов данных. Наш анализ показывает, что GNN особенно эффективны в сфере кибербезопасности, поскольку способны обучать полезные представления без привлечения внешних предметных знаний. Кроме того, мы оцениваем устойчивость этих методов к состязательным атакам. Наконец, обсуждаются сильные и слабые стороны обнаружения вторжений на основе GNN и определяются перспективные направления дальнейших исследований.