Signal Decomposition Reveals Structure in Insider Threat Detection under Sparse Temporal Data
यह शोधपत्र एक डुअल-चैनल ऑटोएनकोडर का प्रस्ताव करता है जो ऑडिट डेटा को बाइनरी एक्टिविटी मास्क और इंटेंसिटी वैल्यू में विभाजित करता है ताकि स्पार्स टेम्पोरल सेटिंग्स में इनसाइडर थ्रेट्स का प्रभावी ढंग से पता लगाया जा सके, जो यह प्रदर्शित करता है कि मॉडल के उद्देश्यों को स्पार्स डेटा की अंतर्निहित संरचना के साथ संरेखित करने से जटिल सीक्वेंस मॉडलिंग की आवश्यकता के बिना मजबूत डिटेक्शन प्राप्त होता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक सुरक्षा गार्ड हैं जो एक विशाल कार्यालय भवन के एक विशाल, 24-घंटे के निगरानी फीड को देख रहे हैं। अधिकांश समय, गलियारे खाली होते हैं, लाइटें बंद होती हैं, और कुछ नहीं होता। यह "सामान्य" स्थिति है।
अचानक, एक चोर अंदर घुस आता है। लेकिन वे केवल मुख्य दरवाजे से नहीं आते; वे शायद एक घंटे के लिए एक अलमारी में छिप सकते हैं, फिर 10 मिनट के लिए एक फाइल चुरा सकते हैं, और फिर गायब हो सकते हैं। उनके कार्य दुर्लभ, छोटे और घंटों की "कुछ नहीं होने" की स्थिति में दबे हुए होते हैं।
यह शोध पत्र कंप्यूटर को खाली गलियारों के समुद्र में इन चोरों को पहचानने के लिए सिखाने की समस्या पर काम करता है। यहाँ एक सरल विवरण दिया गया है कि लेखकों ने क्या किया और क्या पाया:
समस्या: "खामोशी" का जाल
अधिकांश कंप्यूटर सुरक्षा प्रणालियाँ एक ऐसे छात्र की तरह काम करती हैं जो एक पाठ्यपुस्तक को याद करने की कोशिश कर रहा है। वे डेटा को देखते हैं और उसे पूरी तरह से पुन: बनाने की कोशिश करते हैं। यदि कंप्यूटर देखता है कि 99% डेटा "खामोशी" (कोई गतिविधि नहीं) है, तो वह खामोशी की भविष्यवाणी करने में बहुत कुशल हो जाता है।
समस्या यह है कि जब चोर वास्तव में आता है, तो कंप्यूटर "खामोशी" की सटीक भविष्यवाणी करने में इतना केंद्रित हो जाता है कि वह चोर को अनदेखा कर देता है। यह एक ऐसे शिक्षक की तरह है जो उस छात्र को A+ देता है जो 50 मिनट तक चुपचाप बैठा रहता है, लेकिन कक्षा के बीच में एक बार छींकने वाले छात्र को नोटिस करने में विफल रहता है। कंप्यूटर सोचता है, "खैर, खामोशी एकदम सटीक है, इसलिए सब कुछ ठीक है," और वास्तविक खतरे को मिस कर देता है।
समाधान: दो अलग-अलग कैमरे
लेखकों ने महसूस किया कि उन्हें "खामोशी" और "क्रिया" के साथ एक जैसा व्यवहार करना बंद करने की आवश्यकता है। उन्होंने दो अलग-अलग चैनलों का उपयोग करके डेटा को देखने का एक नया तरीका विकसित किया, जैसे कि दो अलग-अलग कैमरों का होना:
- "क्या कोई वहाँ है?" कैमरा (मास्क): यह कैमरा केवल एक ही सवाल का जवाब देता है: क्या कोई गतिविधि हो रही है? यह इस बात की परवाह नहीं करता कि गतिविधि कितनी तेज या व्यस्त है। यह केवल एक बाइनरी "हाँ" या "नहीं" देखता है।
- "वे कितने व्यस्त हैं?" कैमरा (वैल्यू): यह कैमरा केवल उन क्षणों को देखता है जब पहला कैमरा "हाँ" कहता है। यह गतिविधि की तीव्रता या मात्रा को मापता है।
डेटा को इस तरह विभाजित करके, कंप्यूटर "खामोशी" की भविष्यवाणी करने में अपनी मानसिक शक्ति बर्बाद करना बंद कर देता है। इसके बजाय, यह पूरी तरह से उन क्षणों पर ध्यान केंद्रित करता है जब वास्तव में कुछ होता है।
उन्होंने क्या खोजा: यह चोर की शैली पर निर्भर करता है
शोधकर्ताओं ने कार्यालय कर्मियों और चोरों के एक सिम्युलेटेड डेटासेट का उपयोग करके अपने सिस्टम का परीक्षण किया। उन्होंने पाया कि चोर को पकड़ने का "सबसे अच्छा" तरीका पूरी तरह से इस बात पर निर्भर करता है कि चोर कितनी देर तक रुकता है और कार्यालय कितना शोर वाला है।
- "फ्लैश" चोर (लघु हमले): यदि कोई चोर आता है, जल्दी से कुछ चुराता है, और 10 मिनट में चला जाता है, तो "कितने व्यस्त हैं" वाला कैमरा बेकार है। सिग्नल बहुत छोटा है। सिस्टम उन्हें लगभग पूरी तरह से यह नोटिस करके पकड़ता है कि वहाँ कोई था ही ( "क्या कोई वहाँ है?" कैमरा)।
- "स्लीपर" चोर (लंबे हमले): यदि कोई चोर दिनों तक रहता है, धीरे-धीरे और निरंतर चलता है, तो "कितने व्यस्त हैं" वाला कैमरा बहुत महत्वपूर्ण हो जाता है। अब सिस्टम यह देख सकता है कि वे कैसे व्यवहार कर रहे हैं, न कि केवल यह कि वे वहाँ हैं।
- "शोर वाला" कार्यालय: जब उन्होंने "शोर" जोड़ा (एक व्यस्त कार्यालय का अनुकरण करते हुए जिसमें बहुत सारी सामान्य, असंबंधित गतिविधियाँ थीं), तो "कितने व्यस्त हैं" वाला कैमरा भ्रमित हो गया। सिस्टम समझदारी से वापस "क्या कोई वहाँ है?" कैमरे पर निर्भर रहने लगा क्योंकि वह अराजकता में अधिक विश्वसनीय था।
बड़ी सीख: कंप्यूटर को यह बताने की आवश्यकता नहीं थी कि कौन सा कैमरा उपयोग करना है। सिस्टम ने स्वाभाविक रूप से स्थिति के आधार पर यह पता लगा लिया कि कौन सा कैमरा अधिक महत्वपूर्ण है। यह एक जासूस की तरह है जो सहज रूप से जानता है कि पदचिह्नों (उपस्थिति) को देखना है और कब पदचिह्नों के आकार (परिमाण) को देखना है।
अंतिम चरण: बिंदुओं को जोड़ना
अंत में, पेपर ने देखा कि एक पूरे "अभियान" (एक दीर्घकालिक चोरी अभियान) को कैसे पकड़ा जाए। उन्होंने पाया कि आपको हफ्तों तक चोर की हर हरकत को ट्रैक करने के लिए जटिल AI की आवश्यकता नहीं है।
चूंकि चोर की क्रियाएं आमतौर पर कुछ विशिष्ट क्षणों में केंद्रित होती हैं, इसलिए आप बस एक सप्ताह में 2 या 3 सबसे संदिग्ध क्षणों को देख सकते हैं। यदि वे कुछ क्षण अत्यधिक संदिग्ध हैं, तो आप पूरे सप्ताह को खतरे के रूप में चिह्नित करते हैं। यह कहने जैसा है कि, "हमें यह जानने के लिए पूरी फिल्म देखने की जरूरत नहीं है कि यह एक थ्रिलर है; यदि दो बड़े विस्फोट होते हैं, तो हम कहानी जान जाते हैं।"
सारांश
यह पेपर तर्क देता है कि शोर भरी दुनिया में दुर्लभ खतरों को पकड़ने के लिए, आपको केवल एक "स्मार्टर" या "बड़ा" कंप्यूटर मॉडल बनाने की आवश्यकता नहीं है। इसके बजाय, आपको डेटा को देखने के तरीके को बदलने की आवश्यकता है।
"उपस्थिति" (क्या कुछ हो रहा है?) को "परिमाण" (कितना हो रहा है?) से अलग करके, सिस्टम घास के ढेर में सुई खोजने में बहुत बेहतर हो जाता है। यह स्वचालित रूप से अनुकूलित होता है: यदि खतरा त्वरित है, तो यह उपस्थिति को देखता है; यदि खतरा धीमा है, तो यह विवरणों को देखता है; और यदि दुनिया शोर भरी है, तो यह उसी पर टिक जाता है जो काम करता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।