Machine Learning for NetFlow Anomaly Detection With Human-Readable Annotations

關鍵摘要

我們開發了一個複雜企業網路中的異常檢測分析框架，既能提供與最先進的分類技術(如深度神經網路)相當的高精度，又能對決策邏輯進行人類可讀的解釋。由於決策表面對於高維資料可能是複雜的，所以提出的方法尋求為標記為異常的每個資料點生成上下文註釋。因此，給定一個異常檢測，分析師可以查詢該資料點的註釋。

• 一個自動提取 NetFlow 資料中人類可讀註釋的通用框架(例如，將資料點標記為對應於不同異常型別的上下文解釋) ，用於異常檢測資料的自動提取。
• 一種利用時空聚合和動態圖技術構造人類可理解的網路活動描述符的特徵增強方法。
• 一種基於遺傳演算法的方法，用於識別與每種異常型別最相關的特徵，從而降低選擇用於異常檢測的人類可讀註釋中的特徵集。
• 一個一般的機器學習模型，以經驗學習句子的組合，人類可解釋的不等式之間學習的特徵子集。
• 一個真實資料集的實驗研究。