CTGAD-X：用于高级威胁检测的时序图可解释对比学习方法

《IEEE Transactions on Device and Materials Reliability》：CTGAD-X: Explainable Contrastive Learning on Temporal Graphs for Advanced Threat Detection

　　

摘要：

高级持久威胁和零日攻击能够规避基于签名以及完全监督的入侵检测机制，这促使人们开发出能够在保持高安全性同时还能解释未知行为异常的检测方法。现有的时间图神经网络检测方法通常依赖重构目标，透明度较低，这会影响对新型威胁的区分能力，并降低分析人员的信任度。我们提出了CTGAD-X，这是一种用于时间图上零日威胁检测的可解释自监督框架。CTGAD-X通过对比学习从正常流量中学习出具有区分性的正常嵌入空间，然后根据与正常参考集的距离差异来标记异常情况。为确保时间上的准确性，我们采用了考虑因果关系的基于重叠的流切片方法，并通过原始PCAP数据包的时间戳对窗口级归因进行了验证，其结果一致性很高（皮尔逊相关系数为0.943，字节数据的平均相对误差为3.2%，数据包为2.0%）。在UNSW-NB15数据集上，采用考虑因果关系的切片方法后，CTGAD-X的ROC-AUC值为0.9908，F1分数为0.9888。在零日攻击的留一法评估中，可在较低的误报率下检测到几乎所有的攻击案例，而更高灵敏度下的误报率则可降至0%。同样地，对于普通攻击类型，其检测覆盖率也可从约65.5%提升至100%，从而体现了该模型在召回率与误报率之间的良好平衡。为提升操作透明度，CTGAD-X集成了多级可解释性分析模块，包括注意力归因、输入扰动和全局排列重要性分析，并通过特征掩码和扰动测试来验证解释结果的合理性。我们还通过最小化调整量的迁移学习方法，评估了该模型在多个基准数据集上的跨数据集泛化能力。CTGAD-X结构轻量，仅有16,320个参数，每个序列的编码器推理时间仅为3.94毫秒，非常适合在高吞吐量环境中部署。最后，CTGAD-X实现了时间上的一致性...

显示更多内容