ФАКТОРНА ДІАГНОСТИКА ДИСКРИМІНАТИВНОЇ ЗДАТНОСТІ ЛОКАЛЬНИХ ГРАФОВИХ ОЗНАК У ЗАДАЧІ ВИЯВЛЕННЯ АНОМАЛІЙ НА ТЕМПОРАЛЬНИХ МУЛЬТИГРАФАХ

Євгеній Редзюк

doi:10.28925/2663-4023.2026.35.1376

Автор(и)

Євгеній Редзюк Військовий інститут телекомунікацій та інформатизації імені Героїв Крут https://orcid.org/0000-0001-5592-5121

DOI:

https://doi.org/10.28925/2663-4023.2026.35.1376

Ключові слова:

інтелектуальний аналіз даних, графова аналітика, виявлення аномалій, темпоральний мультиграф, графові ознаки, виявлення спільнот;, некероване навчання, виявлення вторгнень

Анотація

Виявлення аномалій на темпоральних графах взаємодії є задачею інтелектуального аналізу даних, у якій потокоорієнтовані методи обмежено враховують структурний контекст взаємодій між вузлами. Метою роботи є оцінювання дискримінативної здатності локальних інтерпретованих графових ознак як самостійного детектора мережевих аномалій за некерованої побудови ознак. Запропоновано композитну метрику аномальності на основі трьох графових компонентів: відхилення центральності за посередництвом, зміни спільноти Louvain та Жаккарового розходження локальної околиці. Експериментальну оцінку проведено на наборі CICIDS2017 із використанням контрольного дизайну «класифікатор × ознаковий простір» та порівнянням із потокоорієнтованими базовими методами. Метод реалізовано на стеку Neo4j Graph Data Science та Java для аналізу темпорального мультиграфа мережевого трафіку. Результати показали, що досліджені графові ознаки зберігають ранжувальну здатність (ROC-AUC до 0,84), але не забезпечують операційно прийнятної точності як самостійний детектор: у спільному протоколі оцінювання F₁ = 0,0021 проти F₁ = 0,2000 у потокового базового методу. Контрольні експерименти локалізували джерело деградації в ознаковому просторі, а не у класифікаторі, кількості ознак чи некерованому характері побудови ознак. Наукова новизна роботи полягає у встановленні обмежень дискримінативної здатності локальних графових ознак у досліджуваній постановці задачі та у розробленні діагностичного шаблону для аудиту графових детекторів аномалій, що поєднує декомпозицію розмітки, контрольоване порівняння класифікаторів і ознакових просторів та аналіз структурних і семантичних чинників низької результативності. Результати обґрунтовують доцільність використання потокових ознак як основи виявлення аномалій у досліджуваному класі корпоративних мереж; узагальнення висновків на сітчасті топології потребує окремої експериментальної перевірки.

Завантаження

Дані завантаження ще не доступні.

Посилання

King, I. J., & Huang, H. H. (2023). Euler: Detecting network lateral movement via scalable temporal link prediction. ACM Transactions on Privacy and Security, 26(3), Article 35. https://doi.org/10.1145/3588771

Chen, Z., Tang, D., Li, Q., Liu, Z., Zhang, J., & Zhang, Y. (2024). A survey on graph neural networks for intrusion detection systems: Methods, trends and challenges. Computers & Security, 141, Article 103821. https://doi.org/10.1016/j.cose.2024.103821

Ma, X., Wu, J., Xue, S., Yang, J., Zhou, C., Sheng, Q. Z., Xiong, H., & Akoglu, L. (2023). A comprehensive survey on graph anomaly detection with deep learning. IEEE Transactions on Knowledge and Data Engineering, 35(12), 12012–12038. https://doi.org/10.1109/TKDE.2021.3118815

Akoglu, L., Tong, H., & Koutra, D. (2015). Graph-based anomaly detection and description: A survey. Data Mining and Knowledge Discovery, 29(3), 626–688. https://doi.org/10.1007/s10618-014-0365-y

Ilienko, A., Ilienko, S., Yakovenko, O., Halych, Ye., & Pavlenko, V. (2024). Prospects for the integration of artificial intelligence into cybersecurity systems. Cybersecurity: Education, Science, Technique, 1(25), 318–329. https://doi.org/10.28925/2663-4023.2024.25.318329 [in Ukrainian]

Blondel, V. D., Guillaume, J.-L., Lambiotte, R., & Lefebvre, E. (2008). Fast unfolding of communities in large networks. Journal of Statistical Mechanics: Theory and Experiment, 2008(10), Article P10008. https://doi.org/10.1088/1742-5468/2008/10/P10008

Brandes, U. (2001). A faster algorithm for betweenness centrality. Journal of Mathematical Sociology, 25(2), 163–177. https://doi.org/10.1080/0022250X.2001.9990249

Sharafaldin, I., Habibi Lashkari, A., & Ghorbani, A. A. (2018). Toward generating a new intrusion detection dataset and intrusion traffic characterization. In Proceedings of the 4th International Conference on Information Systems Security and Privacy (pp. 108–116). SCITEPRESS. https://doi.org/10.5220/0006639801080116

Engelen, G., Rimmer, V., & Joosen, W. (2021). Troubleshooting an intrusion detection dataset: The CICIDS2017 case study. In 2021 IEEE Security and Privacy Workshops (pp. 7–12). IEEE. https://doi.org/10.1109/SPW53761.2021.00009

Bowman, B., Laprade, C., Ji, Y., & Huang, H. H. (2020). Detecting lateral movement in enterprise computer networks with unsupervised graph AI. In 23rd International Symposium on Research in Attacks, Intrusions and Defenses (pp. 257–268). USENIX Association. https://www.usenix.org/conference/raid2020/presentation/bowman

Arp, D., Quiring, E., Pendlebury, F., Warnecke, A., Pierazzi, F., Wressnegger, C., Cavallaro, L., & Rieck, K. (2022). Dos and don’ts of machine learning in computer security. In Proceedings of the 31st USENIX Security Symposium (pp. 3971–3988). USENIX Association. https://www.usenix.org/conference/usenixsecurity22/presentation/arp

Caville, E., Lo, W. W., Layeghy, S., & Portmann, M. (2022). Anomal-E: A self-supervised network intrusion detection system based on graph neural networks. Knowledge-Based Systems, 258, Article 110030. https://doi.org/10.1016/j.knosys.2022.110030

Maltseva, I. R., Chernysh, Yu. O., & Protsiuk, Yu. O. (2024). Analysis of algorithms for early detection of cyberattacks on networks using machine learning. Communication, Informatization and Cybersecurity Systems and Technologies, (6), 105–115. https://doi.org/10.58254/viti.6.2024.08.105 [in Ukrainian]