Signal Decomposition Reveals Structure in Insider Threat Detection under Sparse Temporal Data

Aquí se presenta un resumen técnico detallado del artículo "Descomposición de Señales Revela Estructura en la Detección de Amenazas Internas bajo Datos Temporales Escasos".

1. Planteamiento del Problema

La detección de amenazas internas enfrenta un desafío fundamental debido a la naturaleza de los datos de auditoría empresariales:

• Extrema Escasez: La mayoría de las ventanas de tiempo contienen poca o ninguna actividad del usuario. El comportamiento malicioso es raro, intermitente y está incrustado dentro de largos periodos de inactividad.
• Heterogeneidad Temporal: Los ataques varían significativamente en duración, desde eventos breves y localizados hasta campañas sostenidas que duran días o semanas.
• Limitaciones de los Modelos Estándar: Los modelos tradicionales basados en reconstrucción (por ejemplo, autoencoders estándar) optimizan el error de reconstrucción sobre todas las entradas de entrada. En datos escasos, la pérdida está dominada por las regiones inactivas (ceros). En consecuencia, estos modelos aprenden a reconstruir la "inactividad" en lugar de la estructura de desviaciones significativas, lo que conduce a una mala detección de eventos raros y a un alto volumen de falsos positivos.

2. Metodología

Los autores proponen un Autoencoder Enmascarado de Doble Canal que alinea el objetivo de aprendizaje con las propiedades estructurales de los datos temporales escasos.

A. Representación de Datos

• Ventanización: Los registros de eventos crudos se agregan en ventanas de tiempo de longitud fija ($W$), subdivididas en intervalos ($\Delta t$).
• Descomposición Máscara-Valor: En lugar de tratar la entrada como una única matriz densa, cada ventana se descompone en dos canales distintos:
  1. Canal de Máscara ($M$): Una matriz binaria que indica la presencia de actividad ($1$ si existe actividad, $0$ en caso contrario).
  2. Canal de Valor ($V$): Una matriz que captura la magnitud (conteo/estadística) de la actividad.
• Tensor de Entrada: Estos se apilan para formar un tensor de entrada de 2 canales $X^{(2)} = [M, V]$.

B. Arquitectura del Modelo

• Autoencoder Convolucional de Doble Canal: El modelo utiliza un codificador compartido para mapear la entrada de doble canal a un espacio latente y un decodificador para reconstruir ambos canales.
• Función de Pérdida Especializada: El objetivo de entrenamiento está diseñado para evitar que el modelo desperdicie capacidad en regiones inactivas:
  • Pérdida de Máscara ($L_{mask}$): Entropía Cruzada Binaria ponderada para reconstruir con precisión la presencia/ausencia de actividad.
  • Pérdida de Valor ($L_{value}$): Error Cuadrático Medio (MSE) aplicado solo donde la máscara indica actividad ($M=1$). Esto asegura que el modelo se centre en modelar la intensidad del comportamiento solo cuando existe comportamiento.
  • Regularización Temporal ($L_{temp}$): Un término opcional para imponer suavidad en las representaciones latentes entre ventanas normales consecutivas.

C. Puntuación de Anomalías

• Las puntuaciones de anomalía se derivan de los errores de reconstrucción de ambos canales.
• La puntuación final es una suma ponderada del error de máscara estandarizado y el error de valor ($S = \alpha_{mask} \cdot \hat{L}_{mask} + \alpha_{value} \cdot \hat{L}_{value}$).
• Los pesos ($\alpha$) se determinan mediante búsqueda en cuadrícula para maximizar el Área Bajo la Curva de Precisión-Recall (PR-AUC), permitiendo que el modelo dependa adaptativamente del componente de señal más informativo.

D. Configuración Experimental

• Conjunto de Datos: Conjunto de datos de amenazas internas CERT r5.2 (sintético pero estructurado comportamentalmente).
• Variables: El estudio varía la duración de la ventana ($\Delta w$), la resolución del intervalo ($\Delta b$) e introduce ruido (añadiendo datos de usuarios benignos) para simular condiciones del mundo real.
• Métricas: La métrica principal es PR-AUC (debido al desequilibrio de clases extremo), complementada por ROC-AUC.

3. Contribuciones Clave

1. Descomposición Estructural: Se introduce una descomposición de presencia-magnitud que aborda el problema de la "dominancia de ceros" en la detección de anomalías basada en reconstrucción escasa.
2. Caracterización de la Señal: Se demuestra que la importancia relativa de "presencia" frente a "magnitud" no es un hiperparámetro fijo, sino que surge de la estructura de los datos:
   • Ataques de corta duración: Se detectan principalmente a través del canal de presencia (máscara).
   • Ataques de larga duración: Se benefician del canal de magnitud (valor) ya que la actividad sostenida proporciona señal redundante.
   • Alto Ruido: La magnitud se vuelve poco fiable, obligando al modelo a revertir a una detección dominada por la presencia.
3. Agregación a Nivel de Campaña: Se muestra que el modelado de secuencias complejo es innecesario para la detección de campañas. Estrategias simples de agregación (específicamente la selección Top-k de las ventanas con mayor puntuación) son suficientes para recuperar campañas de ataque extendidas a partir de señales escasas a nivel de ventana.

4. Resultados Clave

• Dependencia Adaptativa de la Señal: En escenarios de corta duración (por ejemplo, Escenario 3), el peso óptimo para el canal de valor ($\alpha_{value}$) se acerca a cero, confirmando que la magnitud actúa como ruido. En escenarios de larga duración, $\alpha_{value}$ aumenta, mostrando que la magnitud añade poder discriminativo.
• Robustez ante el Ruido:
  • Los ataques de corta duración son altamente sensibles al ruido; añadir ruido degrada significativamente el rendimiento.
  • Los ataques de larga duración son más robustos debido a la redundancia de señal a través de ventanas.
  • Bajo ruido, el modelo desplaza consistentemente el peso hacia el canal de máscara.
• Resolución Temporal: El rendimiento depende en gran medida de ajustar el tamaño de la ventana ($\Delta w$) a la duración del ataque. Las ventanas inadecuadas (por ejemplo, una ventana de 96 horas para un ataque de 24 horas) diluyen la señal.
• Detección de Campañas: El uso de una estrategia de agregación Top-2 de ventanas en secuencias de 6 días produjo el PR-AUC más alto (0.8357) y ROC-AUC (0.9388), superando al promedio uniforme. Esto confirma que las amenazas internas se concentran en un pequeño número de ventanas altamente anómalas.

5. Significado y Conclusión

• Cambio de Paradigma: El artículo argumenta que la detección efectiva de amenazas internas depende menos de aumentar la complejidad del modelo (por ejemplo, añadir RNNs/Transformers) y más de alinear la representación y los objetivos con la escasez inherente y la estructura temporal de los datos.
• Perspectiva Operativa: Los hallazgos sugieren un enfoque operativo de dos etapas:
  1. Nivel de Ventana: Utilizar el modelo de doble canal para identificar ventanas anómalas de alta confianza basadas en el régimen temporal específico (corto vs. largo).
  2. Nivel de Campaña: Agregar estas señales escasas y de alta confianza utilizando una lógica simple "Top-k" para identificar campañas extendidas, evitando la necesidad de un modelado complejo de secuencias temporales.
• Generalizabilidad: Aunque se probó con datos sintéticos de CERT, los principios de escasez, heterogeneidad temporal y señales de anomalía localizadas se aplican a la telemetría empresarial del mundo real, ofreciendo una base escalable para sistemas de detección no supervisados.