شناسایی حملات روز صفر با استفاده از یادگیری مبتنی بر گراف

حملات روز صفر به دلیل رفتار ناشناخته و نبود سازوکارهای دفاعی، تهدیدی جدی محسوب می‌شوند. در حالی که روش‌های یادگیری عمیق در شناسایی حملات شناخته‌شده عملکرد موثری دارند، اغلب این مبتنی بر یادگیری نظارت‌شده عمل می‌کنند که مستلزم وجود مجموعه‌داده‌های برچسب‌خورده‌ی زیاد است و در برابر حملات روز صفر کارایی محدودی دارد. در مقابل، روش‌های نیمه‌نظارتی و بدون نظارت، به‌طور ذاتی از استحکام بالاتری برخوردارند و برای شناسایی ناهنجاری‌ها از طریق تشخیص انحراف از الگوی رفتاری عادی مناسب‌تر هستند. علاوه بر این، روش‌های موجود غالباً بر بسته‌ها یا جریان‌های شبکه تمرکز دارند و ساختار کلی شبکه و تعامل میان گره‌ها را نادیده می‌گیرند. پیشرفت‌های اخیر در شبکه‌های عصبی گرافی (gnn) این چالش را با لحاظ شدن توپولوژی شبکه شامل رفتار گره‌ها و تعاملات میان یال‌ها تا حدی برطرف کرده‌اند، با این حال بیشتر روش‌های مبتنی بر شبکه‌های عصبی گرافی همچنان نظارت‌شده بوده و در شناسایی حملات روز صفر محدودیت دارند. در این پژوهش، مدل نیمه‌نظارتی مبتنی بر خودرمزگذار گرافی(graph-autoencoder) ارائه شده است که با لحاظ کردن توپولوژی شبکه به شناسایی ناهنجاری‌ها می‌پردازد. نتایج حاصل از آزمایش نشان می‌دهد که با استفاده از دید کلی داده شده نسبت به شبکه در رویکرد های مبتنی بر گراف و در نظر گرفتن نقش گره‌های مبدا و مقصد در طبقه‌بندی یال‌ها، بهبود قابل‌توجه عملکرد شناسایی در مقایسه با روش‌های مبتنی بر جریان حاصل می‌شود. این بهبود، نرخ از دست رفتن حملات را به طور چشمگیری کاهش داده و گامی موثر در جهت پیشرفت سامانه‌های شناسایی حملات روز صفر محسوب می‌شود.

zero-day attack detection using graph learning

zero-day attacks pose a significant threat due to their unknown nature and the lack of existing defensive mechanisms. while deep learning methods are effective in identifying known attacks, they are often based on supervised learning, which necessitates large, labeled datasets and demonstrates limited efficacy against zero-day threats. conversely, semi-supervised and unsupervised methods are inherently more robust and better suited for anomaly detection by identifying deviations from the normal pattern of behavior. furthermore, existing methods frequently focus on network packets or flows, often neglecting the overall network structure and the interaction between nodes. recent advancements in graph neural networks (gnns) have partially addressed this challenge by incorporating network topology, including node behavior and edge interactions. however, the majority of gnn-based methods remain supervised, thereby limiting their effectiveness in zero-day attack identification. this research proposes a semi-supervised model based on a graph autoencoder (gae) that performs anomaly detection by considering network topology. experimental results indicate that by utilizing the holistic network view provided by graph-based approaches and factoring in the role of source and destination nodes in edge classification, a significant improvement in detection performance is achieved compared to flow-based methods. this enhancement substantially reduces the attack miss rate (false negatives) and represents an effective step toward advancing zero-day attack detection systems.