Technische Zusammenfassung: BEACON-Datensatz für Verhaltensfingerprinting

Problemstellung

Die kontinuierliche Authentifizierung in hochriskanten digitalen Umgebungen, insbesondere im kompetitiven E-Sport, stößt auf einen kritischen Engpass: das Fehlen umfassender, multimodaler Datensätze, die fein abgestimmte Verhaltenssignale unter realistischen kognitiven und motorischen Anforderungen erfassen. Bestehende Benchmarks sind häufig durch geringe Skalierbarkeit, unimodale Erfassung (z. B. nur Tastenanschläge oder Mausbewegungen) oder das Fehlen eines synchronisierten Umgebungskontexts begrenzt. Darüber hinaus verlassen sich aktuelle Datensätze häufig auf niedrigfrequente Desktop-Aufgaben oder künstlich kurze Sitzungen, die das Einsetzen von Spielermüdigkeit oder die mikrosekundengenauen sensorischen Eingaben des schnellen Spiels nicht erfassen. Diese Lücke behindert das Training und die Evaluierung neuartiger fundamentaler KI-Modelle für kontinuierliche Authentifizierung, Verhaltensprofilierung und Anomalieerkennung.

Methodik

Um diese Einschränkungen zu adressieren, stellen die Autoren BEACON (Behavioral Engine for Authentication & Continuous Monitoring) vor, einen groß angelegten multimodalen Datensatz, der aus kompetitiven Valorant-Spielabläufen abgeleitet wurde.

Architektur der Datenerfassung

Die Autoren entwickelten ein benutzerdefiniertes, latenzarmes Protokollierungsframework, das Telemetriedaten erfasst, ohne den Spielverlauf zu beeinträchtigen oder die Bildwiederholrate zu verschlechtern. Das System arbeitet über vier parallele Threads:

1. Tastatur-Telemetrie: Erfasst Tastenanschlag-/Loslass-Ereignisse, Zeitstempel, Verweildauern und Inter-Key-Latenzen mittels pynput.keyboard.
2. Maus-Telemetrie: Zeichnet Cursor-Koordinaten, Bewegungstrajektorien, Klick-Ereignisse, Scroll-Aktivität, Geschwindigkeit und Beschleunigung mittels pynput.mouse auf.
3. Netzwerk-Telemetrie: Nutzt scapy.sniff, um Rohnetzwerkverkehr (PCAPs) zu erfassen, was eine zeitliche Ausrichtung lokaler physischer Eingaben mit serverseitigen Spielaktivitäten ermöglicht.
4. Bildschirmaufzeichnung: Erfasst Spielsitzungen über einen FFmpeg-Subprozess mit 25 fps unter Verwendung konservativer Encoder-Einstellungen, um CPU-Konkurrenz zu minimieren und gleichzeitig den visuellen Kontext zu bewahren.

Alle Modalitäten werden mit der POSIX-Zeit des Hosts (Unix-Epoche) versehen, um eine präzise zeitliche Ausrichtung über Modalitäten hinweg ohne explizite Synchronisationsmarker zu gewährleisten. Die Datenerfassung umfasste 28 verschiedene Teilnehmer in 79 realen Sitzungen, die sowohl in kontrollierten Labors als auch in häuslichen Umgebungen durchgeführt wurden, um Hardwarevielfalt sicherzustellen.

Zusammensetzung des Datensatzes

BEACON umfasst etwa 430 GB synchronisierter Modalitätsdaten (insgesamt 461 GB auf der Festplatte, einschließlich zusätzlicher Konfigurationserfassungen). Der Datensatz beinhaltet:

• Teilnehmer: 28 verschiedene Spieler (pseudonymisiert P001–P028) aus verschiedenen kompetitiven Skill-Tiers.
• Dauer: Ca. 102,51 Stunden aktives Gameplay.
• Ereignisvolumen: Über 90 Millionen Mausereignisse, ca. 498.000 Tastenanschläge und über 114 Millionen Netzwerkpakete.
• Modalitäten: Mausbewegungsdynamik, Tastenanschlagsdynamik, Netzwerkpaketmitschnitte, Bildschirmaufzeichnungen und Hardware-Metadaten (CPU, RAM, Peripheriegeräte).

Baseline-Evaluierung

Um die Nutzbarkeit des Datensatzes zu charakterisieren, etablierten die Autoren Baseline-Leistungswerte unter Verwendung von sechs fortschrittlichsten Architekturen, die ursprünglich für Website-Fingerprinting entwickelt wurden (ARES, BAPM, NetCLR, TCN, TMWF und Var-CNN). Diese Modelle wurden angepasst, um eine 28-Klassen-Benutzeridentifizierungsaufgabe unter Verwendung von Maus- und Tastaturmodalitäten durchzuführen. Die Evaluierung nutzte zeitliche Fenster von 10 s, 30 s, 45 s und 60 s, wobei die Daten chronologisch partitioniert wurden (80 % Training, 10 % Validierung, 20 % Test).

Hauptbeiträge

1. Der BEACON-Datensatz: Ein öffentlich veröffentlichter, groß angelegter multimodaler Datensatz, der speziell für Verhaltensbiometrie in hochriskanten FPS-Umgebungen entwickelt wurde. Er isoliert einzigartig die Schnittstelle aus rohen sensorischen Dynamiken, Hardwarekonfigurationen und Netzwerktelemetrie.
2. Multimodale Synchronisation: Der Datensatz bietet synchronisierte Daten über Maus-, Tastatur-, Netzwerk- und Videomodalitäten hinweg, was die Untersuchung kontinuierlicher Authentifizierung und Benutzerdrift in einer hochfideligen Umgebung ermöglicht.
3. Baseline-Benchmarks: Die Arbeit liefert initiale Leistungsmetriken für die Benutzeridentifizierung unter Verwendung von Deep-Learning-Architekturen und demonstriert die Machbarkeit kontinuierlicher Authentifizierung in diesem Bereich.
4. Offener Zugang: Der Datensatz und der benutzerdefinierte Protokollierungscode werden auf Hugging Face bzw. Zenodo veröffentlicht, um einen reproduzierbaren Benchmark für die Gemeinschaft zu schaffen.

Ergebnisse

Die Baseline-Experimente ergaben folgende zentrale Erkenntnisse:

• Modalleistung: Unimodale Mausbewegungsdynamik übertraf konsistent unimodale Tastenanschlagsdynamik. Maus-only-Modelle erreichten Identifizierungsgenauigkeiten von bis zu 63,16 % (Var-CNN bei 10 s Auflösung), während Tastatur-only-Modelle bei 36,23 % (TMWF bei 45 s) ihren Höhepunkt erreichten.
• Fusionsleistung: Die frühe Fusion von Maus- und Tastaturmodalitäten erzielte die höchste Gesamtleistung. Die Var-CNN-Architektur erreichte eine globale maximale Identifizierungsgenauigkeit von 70,82 % mit einer Equal Error Rate (EER) von 4,31 % im 60-Sekunden-Fusionssetup.
• Architekturelle Varianz: Die Var-CNN- und NetCLR-Architekturen zeigten überlegene Konvergenz und Leistung, was darauf hindeutet, dass dilatierte kausale Faltungen und kontrastives Repräsentationslernen gut für E-Sport-Telemetrie geeignet sind. Umgekehrt scheiterte die ARES-Architektur bei allen Konfigurationen an der Konvergenz, was eine Domänenlücke zwischen Modellen unterstreicht, die für bursty Netzwerkverkehr optimiert sind, und kontinuierlichen menschlichen sensorischen Ausgaben.
• Zeitliche Auflösung: Die Leistung verbesserte sich im Allgemeinen mit längeren Beobachtungsfenstern (bis zu 60 s), was darauf hindeutet, dass Mikror reflexe zwar eindeutige Signale liefern, Makroverhalten (z. B. rotatorisches Pacing) jedoch die notwendige kontextuelle Stabilität bieten, um False-Rejection-Raten zu minimieren.

Bedeutung und Behauptungen

Die Arbeit positioniert BEACON als grundlegendes Asset für die Cybersicherheitsforschung, speziell zum Stress-Test kontinuierlicher Authentifizierungssysteme und autonomer KI-Agenten unter realistischen, hochmüden Bedingungen. Die Autoren behaupten, dass der Datensatz Folgendes ermöglicht:

• Robuste Verhaltensprofilierung: Die hohe Inter-User-Variabilität und die niedrige Intra-User-Variabilität, die in den Daten beobachtet wurden, bestätigen, dass kompetitives Gameplay genuine, stabile biometrische Signale erzeugt.
• Passwortlose Sicherheit: Durch die Nutzung unbewusster sensorischer Gewohnheiten unterstützt der Datensatz die Entwicklung nahtloser, nicht-invasiver Authentifizierungsmechanismen, die für latenzsensitive Gaming-Anwendungen geeignet sind.
• Zukünftige Forschungsrichtungen: Die Autoren rahmen den Datensatz explizit als Ausgangspunkt für offene Forschungsrichtungen ein, einschließlich adversarischer Robustheit (Erkennung von Nachahmung und Bots), der Fusion von Netzwerkebene-PCAP-Daten mit Videobildern sowie der Entwicklung selbstüberwachter verhaltensbasierter fundamentaler Modelle für Kompetenzbewertung und Müdigkeitserkennung.

Die Autoren bleiben hinsichtlich des Umfangs des Datensatzes bescheiden und erkennen Einschränkungen an, wie die spezifische Kohortengröße (28 Teilnehmer), den Einzelspiel-/Einzelplattform-Charakter der Daten (Valorant auf Windows) und das Fehlen longitudinaler Daten zur Modellierung von Verhaltensdrift über die Zeit. Sie betonen, dass der Datensatz defensiver Forschung (Authentifizierung, Anti-Cheat) dienen soll und nicht der verdeckten Überwachung.