基于图结构数据的三层次SHAP归因方法用于GNN网络入侵检测系统的时间忠实可解释性研究

《IEEE Open Journal of the Communications Society》：SHAP-GSD: Temporal Multi-granular Explanation Method for Graph Neural Networks in Network Intrusion Detection

　　

摘要：

在基于图神经网络（GNN）的网络入侵检测系统（NIDS）中，告警可能反映流量属性、近期端点通信或异常端点行为。仅基于特征的 Shapley 方法能够识别触发标记的流量属性，但无法归因于时间邻域上下文或端点新颖性。本文提出了基于图结构数据的 SHapley 加法解释（SHAP-GSD），这是一种时间受限的 Shapley 框架，将每个告警分解为三个归因层：48 个语义特征组、严格逐边截止条件下的时间邻域流量（仅允许使用检测时刻可用的证据），以及一个节点级联盟（结合滚动端点状态和二元首次出现标志）。在 NF-UNSW-NB15-v3 数据集上，在相同的时间顺序划分下，SHAP-GSD 相比 TE-G-SAGE 将宏观 F1 提高了 6.33%。时间邻域证据大约出现在一半被解释的流量中，语义分组将归因集中在 48 个命名组的一个小子集中，在相同掩蔽范围内，其必要性和充分性得分均高于未分组的维度，因此可读性不会牺牲保真度。一个 Shellcode 案例研究表明，时间邻域对告警起到了反向作用，而端点首次出现标志的贡献为零，这些区分在单一粒度的解释器中会被合并为一个无差别的分数。SHAP-GSD 是首个能够同时为基于 GNN 的 NIDS 在所有三个证据维度上提供时间忠实、多粒度归因的 Shapley 公式化方法。