Med tanke på en ström av heterogena grafer som innehåller olika typer av noder och kanter, hur kan vi upptäcka anomalier i realtid samtidigt konsumera bundna minne? Detta problem motiveras av och generaliseras från dess tillämpning i säkerhet till värdnivå avancerad ihållande hot (APT) upptäckt. Vi föreslår StreamSpot, en klusterbaserad anomali detektion metod som tar itu med utmaningar i två nyckelfronter: 1) heterogenitet, och (2) strömmande natur. Vi introducerar en ny likhetsfunktion för heterogena grafer som jämför två grafer baserat på deras relativa frekvens av lokala substrukturer, representerade som korta strängar. Denna funktion lämpar sig för en vektorrepresentation av en graf, som är a) snabb att beräkna, och b) kan användas för en skissad version med avgränsad storlek som bevarar likheten. StreamSpot uppvisar önskvärda egenskaper som ett strömmande program kräver-det är (i) full-streaming; bearbeta strömmen en kant i taget när det anländer, (ii) minne scient; kräver konstant utrymme för skisser och kluster, (iii) snabbt; tar konstant tid att uppdatera grafskisser och klustersammanfattningar som kan bearbeta över 100K kanter per sekund, och (iv) online; scoring och flaging avvikelser i realtid. Experiment på datauppsättningar som innehåller simulerade system-callflödesgrafer från normal webbläsaraktivitet och olika attackscenarier (grundsanning) visar att StreamSpot är högpresterande; att uppnå över 95% detektionsnoggrannhet med liten fördröjning, samt konkurrenskraftig tid och minnesanvändning.
SteamSpot REF använder en ny likhetsfunktion för att jämföra grafer och bygga informationsflödesgrafkluster för att upptäcka avvikelser.
Fast Memory-efficient Anomaly Detection in Streaming Heterogeneous Graphs
{'venue': "KDD '16", 'journal': None, 'mag_field_of_study': ['Computer Science']}