[论文分享] PROGRAPHER: An Anomaly Detection System based on Provenance Graph Embedding

PROGRAPHER: An Anomaly Detection System based on Provenance Graph Embedding [USENIX 2023]

Fan Yang, The Chinese University of Hong Kong;
Jiacen Xu, University of California, Irvine;
Chunlin Xiong, Sangfor Technologies Inc.;
Zhou Li, University of California, Irvine;
Kehuan Zhang, The Chinese University of Hong Kong

近年来，高级持续性威胁(Advanced Persistent Threat, APT)已成为现代计算环境安全面临的最大威胁之一，其涉及的复杂恶意行为持续时间较长。作为对策，利用数据来源捕捉计算系统/网络中实体之间的复杂关系，并利用这些信息检测复杂的APT攻击。尽管现有系统在抵御APT攻击方面大有希望，但仍然无法在效率、准确性和粒度之间取得良好的平衡。在这项工作中，我们设计了一个新的物源图异常检测系统，称为PROGRAPHER。为了解决源图的“依赖爆炸”问题，提高效率，PROGRAPHER从摄取的日志中提取时序快照，并对快照进行检测。为了捕获图的丰富结构属性，应用了全图嵌入和基于序列的学习。最后，从异常快照中提取关键指标并报告给分析人员，从而大大减少分析人员的工作量。我们在五个真实世界的数据集上评估了编程器。结果表明，PROGRAPHER能够以较高的准确率检测标准攻击和APT攻击，性能优于目前最先进的检测系统。

一句话：应用全图嵌入和基于序列的学习，检测标准攻击和APT攻击

导论

在计算系统中，防御和攻击之间长期存在的战争仍在不断发展。尽管入侵检测系统(IDS)和反恶意软件等防御措施已被广泛部署，但以高级持续威胁(APT)为主题的复杂攻击[35]仍然能够渗透到组织网络中，造成严重损害。防范APT攻击失败的主要原因是:1)传统的防御系统依赖于攻击者很容易改变的攻击特征;2)在执行检测(例如，根据系统日志)时，没有充分利用计算系统或网络中不同实体之间的因果关系。
为了解决这两个基本问题，一些基于数据来源的防御系统被开发出来[23]。数据来源将系统日志转换为图形表示，它捕获了不同类型实体(例如，流程和文件)之间的时间和因果关系。在这种表示上，可以执行图遍历等图操作来检测正在进行的攻击或找出入侵的根本原因。有了数据来源，就可以很好地利用日志中嵌入的丰富上下文信息，从而检测APT攻击。
然而，根据我们的审查，没有一个现有的基于溯源的系统能够满足复杂生产环境中的所有基本部署需求，包括检测准确性、运行时效率、“无签名”和细粒度。1)当攻击者调整其模式时，依赖于签名、启发式或已知攻击痕迹的来源系统可以被规避[1,19]。2) 一些系统选择从日志中构建一个单一的来源图并检测恶意实体和事件[25,64]，但当日志量很大时，开销将是令人望而却步的。
本文提出了一种新的基于物源的异常检测系统PROGRAPHER，同时满足了上述要求。它遵循了图级的、基于学习的攻击检测方向[17]。当摄取日志时，PROGRAPHER提取快照，以减少整个源图的计算和内存开销。在每个快照上，PROGRAPHER应用名为graph2vec的全图嵌入技术[44]生成根子图(RSG)作为每个节点的低维表示，并通过最大化正常快照与正常RSG之间的共现概率来学习图表示。为了捕捉快照之间的时间动态，采用了一个名为TextRCNN的序列学习模型[30]，可以预测未来快照的表示，并在快照偏离预测时检测异常快照。以前的系统如Unicorn停止在报告异常快照的阶段，而PROGRAPHER则通过对RSG进行排序，并将最可疑的RSG报告为攻击指标，从而精确定位异常实体。
我们在5个日志数据集中实现和评估了PROGRAPHER，包括StreamSpot [36]， ATLAS [48]， DARPA3 [9]，一个未发布的DARPA ENGAGEMENT数据集，以及商业端点检测与响应(EDR)产品收集的日志，这些数据集涵盖了广泛的标准攻击(例如，发送网络钓鱼邮件)，APT攻击(例如，Nginx后门)和计算环境(小型实验室网络和大型企业网络)。评估结果表明，PROGRAPHER能够在所有数据集上有效识别包含攻击的快照，具有较高的准确率和召回率(例如，在DARPA ENGAGEMENT上的准确率、召回率和准确率为1.0)。与最相关的基线系统相比[17]，PROGRAPHER获得了很大的优势，特别是在生产EDR数据集上(例如，AUC为0.943比0.542)。指标生成过程将分析师的工作量减少了50%以上。PROGRAPHER非常高效，只需几秒钟即可执行检测和指示器生成。

contributions

(1) 提出了一种基于物源图的异常检测系统。它结合了全图嵌入(通过graph2vec)和序列学习(通过TextRCNN)来分析来源图的快照，有效地学习了正常系统行为的表示。
(2) 引入了一种基于根子图(RSG)的新技术，从检测到的异常快照中识别攻击指标，大大减少了分析人员的工作量。
(3) 实现了PROGRAPHER，并在5个数据集上对其进行了评估，这些数据集包括不同环境中标准或APT攻击的痕迹。结果表明，PROGRAPHER在所有数据集上都达到了较高的检测精度和召回率，大大优于前人的研究成果。

背景

Data Provenance for Attack Investigation

为了实现攻击检测和取证，系统日志通常由系统级审计工具收集，如Windows ETW [10]， Linux Audit[52]和FreeBSD Dtrace[12]，它们描述了进程和文件等系统实体之间的交互。在组织内的终端主机上收集的日志通常由安全信息和事件管理(SIEM)[3]等中央服务进行分析，以检测复杂的跨机器攻击。
在系统日志的基础上，提出了数据来源来检测和推断入侵，甚至可以检测到由多个阶段(如侦察、安装、指挥控制和横向移动)组成的长期高级持续威胁(APT)攻击[35]。从本质上讲，数据来源从系统日志中构建了一个依赖图来描述事件之间的关系，因此检测和调查可以转化为与图相关的操作[23]。
在所有与图相关的操作中，图遍历可能是最流行的选择。一个突出的例子是回溯，通过回溯，安全分析师查询具有兴趣点(POI)实体和时间窗口的来源图，并返回具有时间依赖性的事件[28]。然而，这种简单的方法受到“依赖爆炸”的影响[6]，这可能是由于长时间运行的进程在其生命周期中与许多主体/对象交互所导致的。

Learning-based Attack Detection on Provenance Graph

为了准确定位攻击事件，提出了大量基于规则的方法[23]，这些方法利用已知攻击行为的知识来搜索来源图。然而，编写规则需要分析人员付出相当大的努力，并且可能会忽略不可见模式下的攻击。因此，最近基于学习的方法开始获得更多的关注，这种方法训练具有正常系统行为(以及用于监督学习的恶意行为)的模型来检测异常的系统执行。虽然应用基于学习的方法来捕获网络攻击并不新鲜，但来源图为利用图结构和应用新的图学习方法提供了新的机会。现有工作可以按照目标粒度进行分类:边/节点、路径、图。
当目标是边/节点时，训练系统的目的是判断一对实体之间的交互或实体本身是否恶意。ShadeWatcher就是一个例子，它从系统日志中构建一个知识图，并使用基于图神经网络(graph Neural Networks, GNN)的推荐系统来检测恶意交互[64]。SIGL利用节点嵌入和自动编码器模型来判断从软件安装图(SIG)生成的进程是否为恶意进程[18]。然而，在遇到大型来源图时，实现基于边/节点的检测的高精度相当具有挑战性。此外，检测结果不提供上下文信息(例如，与检测到的边/节点相关的其他活动)，这对理解攻击活动很有价值。
对于基于图的检测，要么将来源图作为一个整体进行分类，要么将其分解为一组子图，并在这些子图上执行分类。例如，Unicorn 通过滑动时间窗口对日志进行切片，并从中构建演化子图。对于每个子图，进行图形素描[61]，将捕获结构特征的直方图转换为固定大小的向量。ProvGem[25]提出了多重嵌入来捕获节点的不同上下文，并以监督学习的方式在聚合的节点嵌入上对图进行分类。基于图的检测的主要问题是其检测粒度太粗，分析人员仍然需要相当大的努力才能从可能包含数千个节点的图中确定恶意实体/事件。

Graph Embedding

为了捕获来源图的关键属性，来源系统经常使用图嵌入。从本质上讲，图嵌入学习通过低维向量来表示节点、边、子图或整个图，这些低维向量捕获图的结构、顶点到顶点的关系以及图的其他相关信息。来源系统利用了两种类型的图嵌入技术。

以前的基于图形的检测系统，如Unicorn，检查了相对简单的嵌入模型，如图形素描，它只捕获图中子结构的频率。我们发现graph2vec考虑了复杂的非线性子结构，从而可以更准确地测量结构相似的图。

方案

Problem Statement

我们采用了之前基于日志进行异常检测的威胁模型[1,17,34,64]。我们假设攻击者不会操纵从终端主机监视器收集的审计日志。因此，任何故意破坏审计系统安全性的攻击都超出了本研究的范围。现有的确保日志完整性的工作[26,45]可以用来防御此类攻击。

Overview

我们设想通过PROGRAPHER实现三个设计目标(G1到G3)。值得注意的是，之前的工作没有一个能够同时满足这些要求，我们将PROGRAPHER与表2中的代表性工作进行比较。

PROGRAPHER由四个组件组成，以满足G1 - G3: 1) 快照生成器，2) 编码器，3) 异常检测器和 4) 关键指标生成器。PROGRAPHER的工作流程如图1所示。

具体来说，快照构建器首先从从终端主机收集的审计日志中提取节点和边，然后根据时间戳将数据拆分为快照。编码器在每个快照上生成一个完整的图嵌入，以捕获图的结构特征。异常检测器使用来自快照的嵌入训练预测模型，这些快照应该只包含良性活动，并检测异常快照。最后，关键指标生成器对异常快照所包含的节点进行排序，并向分析人员报告顶部节点。

Pre-processing and Snapshot Builder

我们考虑有关文件(例如，文件创建，文件读取，文件写入)，进程(例如，创建和特权更改)，网络套接字(例如，网络连接)，主体(用户或帐户)等的日志事件。边缘由描述源实体对目标实体执行的操作的事件组成(例如，进程读取文件)。图2显示了一个示例。PROGRAPHER考虑的节点类型和边缘类型的完整列表如表3所示。

Encoder

生成快照后，编码器组件将其转换为低维嵌入，以捕获其关键信息，以便稍后执行异常检测。我们选择graph2vec[44]作为编码模型。从本质上讲，graph2vec将以每个节点为中心的根子图(rooted subgraphs, RSG)作为其词汇表，并在词汇表上应用名为doc2vec[31]的NLP嵌入技术来学习图的表示。
第一步，对每个节点进行枚举，提取不同的RSG，获取节点的邻域信息。在graph2vec中，利用用于测试图同构的Weisfeiler-Lehman (WL)图核[50,60]来实现这一目标。具体来说，对于节点v, WL内核将其标签及其连接边和节点的标签作为输入标签。然后，为从输入标签聚合而成的v生成一个称为RSG的新标签。整个过程在每个节点v∈V上重复d次，以描述其邻接点深度为1,…, d。为了适应起源图的格式，我们将节点和边缘类型作为标签(原始WL内核只考虑节点类型)。此外，我们发现从一个大而密集的图中生成的RSG可能有很多冗余标签。为了提高效率，我们只保留每个RSG的唯一标签。

Anomaly Detector

在生成快照的表示之后，PROGRAPHER继续检测异常快照。我们将快照之间的变化作为检测的重要输入，并研究了一系列快照{S1, S2，···，Sk}。本任务选择TextRCNN[30]提出的双向循环结构卷积神经网络模型，该模型已广泛用于文本分类。
为了训练异常检测器，我们将一组快照序列及其相关嵌入作为输入。利用循环结构和卷积网络得到输入序列中每个快照 $S_i$ 的潜在表示 $y_i$，定义如下:

Key Indicator Generator

检测到异常快照后，将生成恶意活动的关键指标。我们发现Unicorn等其他作品遗漏了这一步[17]。因此，它们的检测结果是粗粒度的。但是随着graph2vec的采用，更细粒度的攻击归因可以通过PROGRAPHER实现。
根据式1，目标函数J(E)度量快照嵌入与每个RSG共现的概率。该值越小，共现概率越小。由于可能性是在快照的每个RSG上计算的，因此我们可以根据RSG的概率对其排序，并从中选择关键指标。特别是，在测试阶段，给定一个快照$S_i$，我们将$S_i$生成的嵌入$E_{S_i}$与$k$个快照序列预测的嵌入$E_{S_i}$进行比较，并提取每个RSG的两种嵌入之间的差异。然后，根据损失差值对RSG进行排序，选择最前面的K个可疑RSG。一个RSG可以映射到多个节点，因为它只存储节点和边缘类型。因此，我们搜索快照以找到与K个可疑RSG匹配的所有节点，并将它们发送给分析人员。

A Running Example

在这里，我们使用从ATLAS数据集的一次攻击中总结的一个运行示例(利用CVE-2015-3105[7]的“Malvertising dominance”)来说明PROGRAPHER在实践中的工作原理。在这种攻击中，用户访问一个恶意IP地址，并建立一组网络会话。接下来，将有效负载文件下载到用户的计算机上，并执行该文件以收集攻击者可以利用的其他信息。
如图3所示，S1和S2代表攻击前的快照，S3代表攻击的初始阶段。为了便于演示，我们使用从来源图生成的快照的一个子集，并通过删除许多不相关的活动和合并快照之间的实体来简化每个快照。红色节点表示由ATLAS数据集标记的恶意实体。

PROGRAPHER根据快照序列S1 ~ S2检测异常快照S3。之后，PROGRAPHER进一步选择最顶端的RSG作为指标，用它们的根节点表示。实验结果表明，其中3个节点与攻击活动有关:(1)根节点是标记的恶意节点(“6479_IP_address”和“6492_session”)，或者(2)在RSG中可以找到标记的恶意节点(“6483_process”)。同时，剩下的一个是假阳性。

实验

Datasets

我们使用两个日志数据集模拟攻击(StreamSpot和ATLAS)和两个DARPA数据集(DARPA3和DARPA ENGAGEMENT)来评估PROGRAPHER在实践中的表现。此外，我们将PROGRAPHER部署在生产环境中，以分析由商业EDR产品收集的系统日志。
StreamSpot dataset[37] 包含来自6种场景的600个良性和攻击图:“YouTube”，“GMail”，“VGame”，“驱动下载攻击”，“下载”和“CNN”。

ATLAS dataset[48] 数据集在实验室环境中收集，包含10种类型的APT攻击，包括不同的策略，如恶意电子邮件附件和横向移动。在每次攻击的执行过程中，各种良性活动，包括浏览网站、阅读邮件、下载附件、连接其他主机等，都是在攻击发生前一起模拟的。平均而言，每个场景有20,088个唯一实体和249k个事件。数据提供者将与攻击相关的实体标记为恶意。

DARPA3 dataset 由Trace、Fivedirection、CLEARSCOPE、THEIA和cadet等5个子数据集组成，它们是在DARPA透明计算(Transparent Computing, TC)项目下构建的[9]。每个子数据集包含不同平台上特定系统事件(例如，文件读/写，网络连接)的2周系统日志。红队在“沉默”期后执行多个攻击活动(只执行良性活动)。攻击活动模拟了已知的APT攻击向量，如Nginx后门，Darkon APT和Firefox后门，以及发送网络钓鱼电子邮件等常见攻击向量。为了公平的比较，我们使用了与Unicorn相同的三个子数据集(CADETS, CLEARSCOPE和THEIA)，它们代表了FreeBSD, Android和Ubuntu Linux上的系统活动。

DARPA ENGAGEMENT dataset 包含从Linux系统收集的8小时系统日志。总共有大约3M个系统实体和120M个系统事件，其每小时的系统事件和实体远远超过之前的DARPA3子数据集，反映了执行准确攻击检测的难度更高的场景。包括Firefox后门和Loader dragon APT在内的两次APT攻击。

Production EDR dataset 部署在100多家公司的18K端点(工作站和服务器)上的商业EDR产品收集的日志，我们评估了PROGRAPHER在实际生产环境中的性能。平均每个端点每天收集2,030个事件(1.2 MB)，在9天的持续时间内，总共分析了332,433,377个事件(180 GB)。

表5总结了每个数据集的信息。每个数据集被训练、验证和测试分开，我们确保它们都是不相交的，并且测试集中的所有良性图都发生在训练和验证图之后。

Effectiveness

Metric

Results on StreamSpot-DS & DARPA3

Results on ATLAS-DS and DARPA ENGAGEMENT

Results on Production EDR

Evaluation on Indicator Generation

PROGRAPHER的设计是从异常快照中推断攻击指标，这是与Unicorn等其他系统的主要区别。在这里，我们根据三个指标来评估这个组件:指标的有效性、攻击的覆盖范围和工作量减少。
从异常快照中选择前K个RSG，并返回与这些RSG匹配的所有节点。我们用以下度量来判断所选节点是否可以成为一个有效的指标。给定一个真实攻击节点，我们认为3跳邻域中的节点是有效的，其他节点都是无效的。我们选择3跳邻域，因为我们将小图的WL内核深度设置为3(大图为4，参见第5节)，因为通常的做法是在给定警报的情况下调查邻域实体[20]。如果该指标中至少有一个节点属于攻击节点或有效邻居，则认为该指标有效。图5给出了这三种类型节点的示例。

Runtime Performance

测量每个组件的运行时开销，并在表11中显示结果。结果在不同的DARPA3数据集上的不同运行中平均。

Impact of Key Parameters

Robustness

攻击者可能会通过调整攻击行为来逃避PROGRAPHER。一种方法是在攻击事件前后插入许多随机事件，以隐藏真实的攻击。我们通过在ATLAS-DS上进行新的实验来模拟这一策略。
对于测试集中的每个地面真相攻击节点，我们在10分钟的时间窗口内以p的概率在它和其他节点之间随机插入事件。之后，我们执行相同的训练和测试过程。我们检查了p = 10%， 20%和50%，发现精度，召回率和F1没有变化(都保持在1.0，如表7所示)。我们推测这是因为良性行为的空间很大，很难选择在训练中观察到的正确行为。

总结

References

[1] Abdulellah Alsaheel, Yuhong Nan, Shiqing Ma, Le Yu, Gregory Walkup, Z. Berkay Celik, Xiangyu Zhang, and Dongyan Xu. ATLAS: A sequence-based learning approach for attack investigation. In Michael Bailey and Rachel Greenstadt, editors, USENIX Security Symposium, pages 3005–3022. USENIX Association, 2021.
[3] Amrit T. Williams, Mark Nicolett. Improve it security with vulnerability management. https://www.gart ner.com/en/documents/480703, 2005.
[6] Adam Bates and Wajih Ul Hassan. Can data provenance put an end to the data breach? IEEE Security & Privacy, 17(4):88–93, 2019.
[9] DARPA I2O. Transparent computing engagement 3. https://github.com/darpa-i2o/Transpare nt-Computing/blob/master/README-E3.md, 2018.
[10] Don Marshall. Winodws event tracing. https://docs.microsoft.com/en-us/window s-hardware/drivers/devtest/event-tracing-f or-windows–etw-, 2021.
[12] George V. Neville-Neil. Dtrace on freebsd. https: //wiki.freebsd.org/DTrace, 2018.
[15] William L. Hamilton, Zhitao Ying, and Jure Leskovec. Inductive representation learning on large graphs. In Isabelle Guyon, Ulrike von Luxburg, Samy Bengio, Hanna M. Wallach, Rob Fergus, S. V. N. Vishwanathan, and Roman Garnett, editors, Advances in Neural Information Processing Systems 30: Annual Conference on Neural Information Processing Systems, pages 10241034, 2017.
[17] Xueyuan Han, Thomas F. J.-M. Pasquier, Adam Bates, James Mickens, and Margo I. Seltzer. UNICORN: runtime provenance-based detector for advanced persistent threats. CoRR, abs/2001.01525, 2020.
[18] Xueyuan Han, Xiao Yu, Thomas F. J.-M. Pasquier, Ding Li, Junghwan Rhee, James W. Mickens, Margo I. Seltzer, and Haifeng Chen. SIGL: securing software installations through deep graph learning. In Michael Bailey and Rachel Greenstadt, editors, 30th USENIX Security Symposium, USENIX Security 2021, August 11-13, 2021, pages 2345–2362. USENIX Association, 2021.
[19] Wajih Ul Hassan, Adam Bates, and Daniel Marino. Tactical provenance analysis for endpoint detection and response systems. In IEEE Symposium on Security and Privacy, pages 1172–1189. IEEE, 2020.
[20] Wajih Ul Hassan, Shengjian Guo, Ding Li, Zhengzhang Chen, Kangkook Jee, Zhichun Li, and Adam Bates. Nodoze: Combatting threat alert fatigue with automated provenance triage. In Network and Distributed System Security Symposium, NDSS. The Internet Society, 2019.
[23] Muhammad Adil Inam, Yinfang Chen, Akul Goyal, Jason Liu, Jaron Mink, Noor Michael, Sneha Gaur, Adam Bates, and Wajih Ul Hassan. Sok: History is a vast early warning system: Auditing the provenance of system intrusions. In 2023 IEEE Symposium on Security and Privacy (SP), pages 307–325. IEEE Computer Society, 2023.
[25] Maya Kapoor, Joshua Melton, Michael Ridenhour, Siddharth Krishnan, and Thomas Moyer. PROV-GEM: automated provenance analysis framework using graph embeddings. In M. Arif Wani, Ishwar K. Sethi, Weisong Shi, Guangzhi Qu, Daniela Stan Raicu, and Ruoming Jin, editors, 20th IEEE International Conference on Machine Learning and Applications, ICMLA 2021, Pasadena, CA, USA, December 13-16, 2021, pages 1720–1727. IEEE, 2021.
[26] Vishal Karande, Erick Bauman, Zhiqiang Lin, and Latifur Khan. Sgx-log: Securing system logs with sgx. In Proceedings of the 2017 ACM on Asia Conference on Computer and Communications Security, pages 19–30, 2017.
[28] Samuel T. King and Peter M. Chen. Backtracking intrusions. ACM Trans. Comput. Syst., 23(1):51–76, 2005.
[29] Thomas N Kipf and Max Welling. Variational graph auto-encoders. arXiv preprint arXiv:1611.07308, 2016.
[30] Siwei Lai, Liheng Xu, Kang Liu, and Jun Zhao. Recurrent convolutional neural networks for text classification. In Blai Bonet and Sven Koenig, editors, Proceedings of the Twenty-Ninth AAAI Conference on Artificial Intelligence, January 25-30, 2015, Austin, Texas, USA, pages 2267–2273. AAAI Press, 2015.
[34] Yushan Liu, Mu Zhang, Ding Li, Kangkook Jee, Zhichun Li, Zhenyu Wu, Junghwan Rhee, and Prateek Mittal. Towards a timely causality analysis for enterprise security. In Network and Distributed System Security Symposium. The Internet Society, 2018.
[35] Lockheed Martin. Cyber kill chain. https://www.lockheedmartin.com/en-us/ca pabilities/cyber/cyber-kill-chain.html, 2022.
[36] Emaad Manzoor. Streamspot_datasets. https://gi thub.com/sbustreamspot/sbustreamspot-data, 2016.
[44] Annamalai Narayanan, Mahinthan Chandramohan, Rajasekar Venkatesan, Lihui Chen, Yang Liu, and Shantanu Jaiswal. graph2vec: Learning distributed representations of graphs. CoRR, abs/1707.05005, 2017.
[45] Riccardo Paccagnella, Pubali Datta, Wajih Ul Hassan, Adam Bates, Christopher Fletcher, Andrew Miller, and Dave Tian. Custos: Practical tamper-evident auditing of operating systems using trusted execution. In Network and distributed system security symposium, 2020.
[47] Bryan Perozzi, Rami Al-Rfou, and Steven Skiena. Deepwalk: online learning of social representations. In Sofus A. Macskassy, Claudia Perlich, Jure Leskovec, Wei Wang, and Rayid Ghani, editors, International Conference on Knowledge Discovery and Data Mining, pages 701–710. ACM, 2014.
[48] purseclab. ATLAS. https://github.com/pursecl ab/ATLAS, 2020.
[52] Steve Grubb. Linux audit. https://linux.die.ne t/man/8/auditd, 2021.
[61] Dingqi Yang, Bin Li, Laura Rettig, and Philippe CudréMauroux. Histosketch: Fast similarity-preserving sketching of streaming histograms with concept drift. In 2017 IEEE International Conference on Data Mining (ICDM), pages 545–554. IEEE, 2017.
[63] Zhitao Ying, Jiaxuan You, Christopher Morris, Xiang Ren, Will Hamilton, and Jure Leskovec. Hierarchical graph representation learning with differentiable pooling. Advances in neural information processing systems, 31, 2018.
[64] J. Zeng, X. Wang, J. Liu, Y. Chen, Z. Liang, T. Chua, and Z. Chua. Shadewatcher: Recommendation-guided cyber threat analysis using system audit records. In 2022 IEEE Symposium on Security and Privacy (SP) (SP), 2022.