MGAN：一种多视图图自适应网络，用于鲁棒的恶意流量检测

《ACM Transactions on Privacy and Security》：MGAN: A Multi-view Graph Adaptive Network for Robust Malicious Traffic Detection

检测大规模动态网络环境中恶意流量的挑战在于现有模型难以有效捕捉空间依赖与时序模式。本研究提出多视图图自适应网络(MGAN)，通过多跳图神经网络聚合与Transformer时序建模，结合Dirichlet采样增强稀疏数据邻域选择，以及互信息最大化对齐多视图表征，创新性地融合全局网络语境与局部时序特征。实验表明MGAN在四个真实数据集上F1-Score达97%以上，较最优基线提升2.35%，在40%连接信息缺失时仍保持95%以上准确率，噪声环境下较基线高4.5%，零日攻击识别率超96%，且处理速度达2034样本/秒，检测延迟仅3ms/样本。

　　

摘要

在大型、动态的环境中检测恶意网络流量是一项重大挑战，因为网络关系的复杂性以及网络威胁的不断演变。现有的基于图和基于序列的模型往往无法有效捕捉空间依赖性和时间模式，从而导致检测效果不佳。本研究提出了多视图图自适应网络（MGAN）这一新颖框架，它将多跳图神经网络（GNN）的聚合技术与基于变压器的序列建模相结合，以应对这些挑战。MGAN能够捕捉网络流量中的长距离空间依赖性和时间动态，从而检测复杂的攻击模式。该框架采用狄利克雷采样方法在稀疏和噪声数据环境中选择可靠的邻居，并通过最大化互信息来使多视图表示保持一致。此外，多视图注意力机制能够跨不同跳点聚合信息，平衡局部和全局网络上下文。在四个真实世界数据集上的广泛实验表明，MGAN的性能优于7种基线模型，平均F1分数超过97%，比最佳基线模型高出2.35%。即使在去除40%的连接信息的情况下，MGAN的检测准确率仍保持在97%以上。在噪声条件下，其准确率仍超过93%，比基线模型高出4.5%以上。在零日攻击场景中，对于之前未见过的攻击类别，MGAN的检测率超过96%。MGAN还具有出色的计算效率，每秒可处理2,034个样本，每个样本的检测时间为3.00毫秒，在准确性和速度方面均优于所有竞争模型。