DMFI: A Dual-Modality Log Analysis Framework for Insider Threat Detection with LoRA-Tuned Language Models

Resumen Técnico: DMFI para la Detección de Amenazas Internas

1. El Problema

La detección de amenazas internas (ITD) representa un desafío crítico en la ciberseguridad debido a la naturaleza sigilosa, a largo plazo y dependiente del contexto de las acciones maliciosas de los empleados.

• Limitaciones de los métodos tradicionales: Los sistemas basados en reglas y los modelos estadísticos o de aprendizaje profundo (DL) convencionales a menudo fallan al no capturar la intención semántica ni la dinámica compleja del comportamiento. Tratan los comportamientos como características numéricas, ignorando el contexto rico de los logs.
• Limitaciones de las soluciones actuales con LLM: Aunque los Modelos de Lenguaje Grandes (LLM) ofrecen capacidades de razonamiento semántico, las soluciones existentes suelen ser:
  • Basadas en prompts: Sensibles al diseño de la plantilla y carentes de adaptabilidad conductual dinámica.
  • Basadas en ajuste fino (fine-tuning): A menudo unimodales (enfocadas solo en el contenido o solo en la secuencia temporal) y que descartan la riqueza textual.
  • Desafío del desequilibrio de clases: La escasez de ejemplos de ataques reales frente a la abundancia de comportamiento normal dificulta la detección precisa.

2. Metodología Propuesta: DMFI

Los autores proponen DMFI (Dual-Modality Fine-tuned Inference), un marco unificado que integra el razonamiento semántico con la abstracción conductual utilizando LLMs ajustados con LoRA (Low-Rank Adaptation).

La arquitectura consta de tres etapas principales:

A. Preprocesamiento Dual (Dos Vistas Estructuradas)
El sistema transforma los logs crudos en dos vistas complementarias:

1. Vista Semántica: Extrae artefactos ricos en contenido (ej. cuerpos de correos electrónicos, URLs, mensajes HTTP) para analizar la intención y el contenido textual.
2. Vista Conductual (Abstracción 4W): Transforma las secuencias de acciones estructuradas en resúmenes narrativos naturales utilizando una guía de 4W (When, Where, What, Which - Cuándo, Dónde, Qué, Qué objeto).
   • Esta abstracción comprime la redundancia (ej. fusionar múltiples accesos a sitios web en una sola oración) mientras preserva las señales anómalas clave, reduciendo la longitud de los tokens y mejorando la eficiencia.

B. Ajuste Fino con LoRA (Dos Estrategias)
Se emplean dos LLMs independientes (uno por modalidad) ajustados eficientemente mediante LoRA. Se exploran dos estrategias de entrenamiento:

1. DMFI-A (Unificado): Un solo modelo se ajusta con datos mezclados (normales y anómalos) para predecir directamente la probabilidad de anomalía.
2. DMFI-B (Doble Rama Discriminativa): Se ajustan dos modelos separados desde la misma base preentrenada: uno solo con datos normales ($M_{norm}$) y otro solo con datos anómalos ($M_{abn}$).
   • La puntuación final se calcula mediante una margen basado en la discrepancia: $\alpha = \sigma(M_{abn}(x) - M_{norm}(x))$. Esta estrategia mejora significativamente la sensibilidad ante amenazas raras en escenarios de desequilibrio de clases.

C. Fusión de Decisión

• Las puntuaciones semánticas de múltiples entradas se agregan mediante estadísticas descriptivas (media, máximo, desviación estándar, mínimo) para crear un vector fijo.
• Este vector se combina con la puntuación de riesgo conductual.
• Un módulo ligero basado en MLP (Perceptrón Multicapa) fusiona estas características para generar una puntuación de amenaza calibrada y una etiqueta binaria (Normal/Anómalo), junto con explicaciones interpretables.

3. Contribuciones Clave

• Marco de Doble Modalidad: Unifica el análisis semántico impulsado por prompts y el perfilado conductual ajustado, superando la fragmentación de enfoques anteriores.
• Abstracción 4W: Una técnica novedosa para comprimir secuencias de comportamiento en lenguaje natural interpretable, equilibrando expresividad y compacidad.
• Estrategia de Ajuste Fino Discriminativo (DMFI-B): Introduce un enfoque de doble rama que separa las representaciones normales y anómalas, mejorando la detección de casos minoritarios sin necesidad de grandes volúmenes de datos de ataque.
• Eficiencia y Escalabilidad: Uso de LoRA para reducir la sobrecarga de parámetros y un módulo de decisión ligero, haciendo el sistema viable para despliegues en el mundo real.

4. Resultados Experimentales

El marco se evaluó en los conjuntos de datos estándar CERT r4.2 y r5.2, comparándose con modelos tradicionales (SVM, XGBoost), de aprendizaje profundo (LSTM, Transformers) y otros basados en LLM.

• Rendimiento Superior: DMFI-B logró los mejores resultados en todas las métricas clave:
  • Precisión: ~0.953 (r4.2) y ~0.945 (r5.2).
  • Tasa de Detección (Recall): ~0.929 y ~0.938.
  • Tasa de Falsos Positivos (FPR): Extremadamente baja, ~0.009 y ~0.011.
• Comparativa: Superó a los métodos de base más cercanos (como Audit-LLM) reduciendo la tasa de falsos positivos en más del 40% mientras mejoraba la recuperación de amenazas.
• Análisis de Ablación:
  • La combinación de ambas modalidades (semántica + conductual) mejoró la precisión en un 2-4% respecto a usar una sola.
  • La estrategia DMFI-B superó consistentemente a la unificada (DMFI-A), validando la importancia de modelar por separado las clases normales y anómalas.
  • La compresión de logs mediante la abstracción 4W redujo los tokens de entrada en un 36.7% sin perder información crítica, mejorando la velocidad de inferencia.

5. Significado e Impacto

El trabajo de DMFI es significativo porque:

1. Cierra la brecha semántica-conductual: Demuestra que la detección efectiva de amenazas internas requiere tanto entender qué se dijo (semántica) como cómo se actuó (comportamiento temporal).
2. Solución al desequilibrio de clases: La estrategia de doble rama (DMFI-B) ofrece una vía práctica para mejorar la detección de amenazas raras sin depender exclusivamente de técnicas de remuestreo agresivo.
3. Interpretabilidad: Al generar resúmenes en lenguaje natural y puntuaciones calibradas, el sistema facilita la toma de decisiones por parte de analistas de seguridad, no solo proporcionando una alerta, sino el "por qué".
4. Viabilidad Operativa: Al utilizar LoRA y módulos ligeros, el marco es lo suficientemente eficiente para ser desplegado en entornos empresariales con recursos limitados, ofreciendo una alternativa escalable a los modelos de LLM completos y costosos.

En conclusión, DMFI representa un avance hacia sistemas de detección de amenazas internas más robustos, interpretables y adaptativos, combinando la potencia de razonamiento de los LLMs con la modelización estructurada del comportamiento humano.