MV-Gate: Insider Threat Detection via Multi-View Behavioral Statistics and Semantic Modeling

Resumen Técnico: MV-Gate para la Detección de Amenazas Internas

Enunciado del Problema
Las amenazas internas se caracterizan por actores maliciosos que son usuarios legítimos, lo que hace difícil distinguir sus acciones de las operaciones normales. Estos ataques suelen progresar lentamente, generando señales débiles y temporalmente dispersas. Una observación crítica es que las anomalías tempranas frecuentemente no provienen de la semántica de eventos individuales (por ejemplo, que un comando específico sea malicioso), sino de alteraciones en las estadísticas conductuales. Estas incluyen patrones de recurrencia alterados (por ejemplo, una acción que resurge tras un periodo de inactividad) y cambios en las frecuencias a corto versus largo plazo.

Los enfoques actuales de aprendizaje profundo para la Detección de Amenazas Internas (ITD) han girado mayoritariamente hacia la tokenización de registros y su procesamiento con codificadores secuenciales (LSTM, GRU, Transformers). Aunque son efectivos para capturar el contexto semántico, estos modelos "solo token" a menudo descartan regularidades estadísticas explícitas. En consecuencia, permanecen insensibles a las desviaciones conductuales graduales y de baja visibilidad que típicamente preceden a los incidentes internos.

Metodología: MV-Gate
Para cerrar la brecha entre las señales estadísticas y el modelado secuencial, los autores proponen MV-Gate (Atención Puerta de Múltiples Vistas), un marco ligero que integra explícitamente regularidades conductuales estadísticas con la semántica de secuencias. La arquitectura opera en tres etapas:

1. Representación de Comportamiento de Múltiples Vistas:
   El modelo construye tres secuencias conductuales sincronizadas a partir de registros de auditoría crudos:

   • Vista de Token de Actividad ($Z$): Tokens discretos que codifican la semántica del evento y el contexto temporal grueso.
   • Vista de Estado ($S$): Una señal multiescala que captura patrones de recurrencia. Cuantifica lo "raro" o "nuevo" que es un acto verificando su ausencia a través de múltiples ventanas históricas (por ejemplo, 1, 3 y 7 pasos).
   • Vista de Desviación de Frecuencia ($F$): Una señal que cuantifica cambios de intensidad comparando la frecuencia a corto plazo contra la frecuencia a largo plazo (por ejemplo, ráfagas o comportamientos suprimidos).

   Estas vistas se proyectan en un espacio de incrustación compartido mediante proyecciones lineales específicas de la vista o tablas de búsqueda.

2. Mecanismo de Puerta Consciente de Anomalías:
   La innovación central reside en un mecanismo de puerta dinámica que inyecta señales estadísticas en el cálculo de atención de un codificador Transformer.

   • Se calcula una Puerta de Riesgo ($g_t$) para cada paso de tiempo basándose en las incrustaciones de estado y frecuencia. Este valor escalar representa el nivel de anormalidad del evento.
   • Esta puerta modula los Vectores Clave en el mecanismo de autoatención ($K'_t = g_t \cdot K_t$).
   • Al escalar las claves, el modelo ajusta dinámicamente los pesos de atención para enfatizar eventos con alta irregularidad estadística sin alterar la estructura subyacente del Transformer.

3. Detección de Anomalías:
   Las representaciones de tokens con puerta se fusionan con estadísticas agregadas (mediante agrupación media de las incrustaciones de estado y frecuencia) y se pasan a través de un clasificador de Perceptrón Multicapa (MLP) para generar una puntuación de anomalía a nivel de secuencia.

Contribuciones Clave

• Representación de Actividad de Múltiples Vistas: Un marco unificado que optimiza conjuntamente tokens semánticos con dos vistas estadísticas (estado y frecuencia), evitando la dependencia de la ingeniería manual de características mientras preserva las señales estadísticas perdidas en la tokenización.
• Puerta Consciente de Anomalías: Un mecanismo novedoso que utiliza puntuaciones de anomalía estadística para modular dinámicamente los pesos de atención, permitiendo que el modelo se centre en eventos estadísticamente irregulares que los mecanismos de atención tradicionales podrían pasar por alto.
• Marco de Extremo a Extremo: Un pipeline completo que integra la fusión de múltiples vistas y la atención con puerta para la clasificación a nivel de secuencia.
• Evaluación Exhaustiva: Experimentos extensos que demuestran la eficacia del marco en diversos conjuntos de datos.

Resultados Experimentales
Los autores evaluaron MV-Gate en tres conjuntos de datos públicos: CERT r4.2, CERT r5.2 y ADFA-LD.

• Rendimiento: MV-Gate logró resultados de vanguardia en todas las métricas (Recall, Precisión, Exactitud, Puntuación F1) en comparación con líneas base de aprendizaje automático clásico (LR, RF, XGBoost), modelos genéricos de aprendizaje profundo (CNN, Transformer) y enfoques específicos del dominio (ITDBERT, CATE, ITDLM, LogGPT).
• Ganancias Específicas: En el conjunto de datos CERT r5.2, MV-Gate alcanzó una puntuación F1 de 0.957, superando al siguiente mejor modelo específico del dominio (CATE con 0.926) y superando significativamente a los Transformers genéricos (0.805).
• Estudios de Ablación: Eliminar la vista de estado, la vista de frecuencia o el mecanismo de atención con puerta resultó en una degradación notable del rendimiento, confirmando que tanto la representación de múltiples vistas como el mecanismo de puerta son esenciales para detectar amenazas de señales débiles.
• Eficiencia: El estudio encontró que un codificador Transformer compacto de 2 capas ofrece el mejor equilibrio entre rendimiento y uso de memoria, ya que las pilas más profundas proporcionaron ganancias marginales para las secuencias de ITD típicamente cortas y dispersas.

Significado y Afirmaciones
El artículo argumenta que una detección robusta de amenazas internas requiere el modelado conjunto de evidencia estadística y secuencial. Si bien los modelos de aprendizaje profundo sobresalen en el razonamiento semántico, a menudo fallan al detectar amenazas que se manifiestan como anomalías estadísticas (por ejemplo, un cambio repentino en la frecuencia o recurrencia) en lugar de cambios semánticos.

MV-Gate demuestra que integrar explícitamente priores estadísticos —específicamente patrones de recurrencia y desviaciones de frecuencia— en el mecanismo de atención permite a los modelos detectar amenazas de "señal débil" y progresivas que a menudo son pasadas por alto por los enfoques "solo token". Los autores concluyen que este enfoque proporciona una representación más fiable de los patrones de amenazas internas, particularmente para ataques graduales que evolucionan con el tiempo, sin incurrir en los altos costos computacionales asociados con los Modelos de Lenguaje Grande (LLM). El trabajo futuro sugerido por los autores incluye la fusión de registros multimodales (por ejemplo, tráfico de red con operaciones de archivos) y la posible integración de LLM para la interpretación semántica junto con la evidencia estadística de MV-Gate.