DMFI: A Dual-Modality Log Analysis Framework for Insider Threat Detection with LoRA-Tuned Language Models

1. Il Problema: Rilevamento delle Minacce Interne (ITD)

Le minacce interne rappresentano una sfida critica per la cybersecurity a causa della loro natura subdola, a lungo termine e dipendente dal contesto. Gli attaccanti interni possiedono credenziali autorizzate e familiarità operativa, rendendo difficile distinguerli da comportamenti legittimi.
I limiti delle soluzioni attuali includono:

• Modelli Tradizionali: I sistemi basati su regole o modelli statistici (SVM, XGBoost) spesso falliscono nel catturare l'intento semantico e le dinamiche comportamentali complesse, trattando i log come semplici feature numeriche.
• Soluzioni LLM Esistenti:
  • I metodi basati su prompting (senza addestramento) sono sensibili alla progettazione del prompt e mancano di adattabilità comportamentale.
  • I metodi basati sul fine-tuning tendono a ignorare la ricchezza semantica dei log di comunicazione (es. email) o a trattare i dati in modo unimodale, senza integrare contesto e sequenza temporale.
• Squilibrio delle Classi: La scarsità di esempi di attacchi reali rispetto ai dati normali rende difficile l'addestramento di modelli robusti.

2. Metodologia: Il Framework DMFI

Gli autori propongono DMFI (Dual-Modality Fine-tuned Inference), un framework unificato che integra il ragionamento semantico con la profilazione comportamentale utilizzando Large Language Models (LLM) ottimizzati con LoRA (Low-Rank Adaptation).

L'architettura si articola in tre fasi principali:

A. Preprocessing e Visione Dual-Modale

I log grezzi vengono trasformati in due viste complementari:

1. Vista Semantica: Estrae e processa i contenuti ricchi di testo (es. corpi delle email, URL, messaggi HTTP). Questi vengono convertiti in prompt istruiti per rilevare anomalie linguistiche (es. phishing, intenti malevoli).
2. Vista Comportamentale (Astrazione 4W): Per ridurre la ridondanza e catturare i pattern temporali, i log strutturati vengono compressi in riassunti narrativi naturali utilizzando un'astrazione guidata dal framework 4W:
   • When (Quando): Contesto temporale (es. orari di lavoro vs. fuori orario).
   • Where (Dove): Dispositivo o piattaforma.
   • What (Cosa): Tipo di azione eseguita.
   • Which (Quale): Oggetto manipolato (file, URL, ecc.).
   • Nota: L'astrazione "Chi" e "Perché" è esclusa per mantenere la modellazione basata su dati osservabili strutturati.

B. Addestramento con LoRA

Vengono utilizzati due LLM istruiti (uno per ogni modalità) addestrati indipendentemente tramite LoRA, una tecnica di fine-tuning efficiente nei parametri. Il paper esplora due strategie di addestramento:

• DMFI-A (Unificato): Un singolo modello viene addestrato su dati misti (normali e anomali).
• DMFI-B (Dual-Branch Discriminativo): Una strategia innovativa che addestra due modelli separati dallo stesso backbone pre-addestrato: uno solo su dati normali ($M_{norm}$) e uno solo su dati anomali ($M_{abn}$).
  • La probabilità di anomalia finale è calcolata come la differenza marginale tra le risposte dei due modelli: $\alpha = \sigma(M_{abn}(x) - M_{norm}(x))$. Questo approccio migliora la sensibilità alle minacce rare in scenari con forte squilibrio di classe.

C. Fusione delle Decisioni

Durante l'inferenza:

1. I punteggi semantici di tutti gli elementi di contenuto in una sessione vengono aggregati calcolando statistiche descrittive (media, massimo, deviazione standard, minimo) per creare un vettore fisso.
2. Questo vettore viene concatenato con il punteggio di rischio comportamentale.
3. Un modulo decisionale leggero (MLP) fonde queste informazioni per produrre un punteggio finale di anomalia calibrato e un'etichetta binaria, fornendo anche spiegazioni naturali.

3. Contributi Chiave

1. Framework Dual-Modale: Unificazione dell'analisi semantica (contenuto) e della modellazione comportamentale (sequenza temporale) in un'unica architettura coerente.
2. Astrazione 4W: Introduzione di un metodo per comprimere sequenze di log verbose in riassunti narrativi interpretabili, preservando i segnali critici riducendo il numero di token.
3. Strategia DMFI-B: Sviluppo di una strategia di addestramento discriminativo a due rami che separa le rappresentazioni normali e anomale, migliorando drasticamente la capacità di rilevamento in presenza di squilibrio delle classi.
4. Efficienza e Scalabilità: L'uso di LoRA permette un adattamento efficiente dei modelli LLM con risorse computazionali ridotte, rendendo la soluzione praticabile per ambienti reali.

4. Risultati Sperimentali

Il framework è stato valutato sui dataset benchmark CERT r4.2 e r5.2 (milioni di record di attività utente).

• Prestazioni Superiori: DMFI-B ha superato tutti i baselines, inclusi modelli ML tradizionali (SVM, XGBoost), Deep Learning (LSTM, Transformer) e altri approcci basati su LLM (LogGPT, Audit-LLM).
  • Su CERT r4.2: Precisione del 95.3%, Tasso di Rilevamento (DR) del 92.9%, e un tasso di falsi positivi (FPR) estremamente basso dell'0.9%.
  • Su CERT r5.2: Precisione del 94.5%, DR del 93.8%, FPR dell'1.1%.
• Ablation Study:
  • L'uso combinato delle viste semantica e comportamentale ha dimostrato un miglioramento significativo rispetto all'uso di una sola modalità.
  • La strategia DMFI-B ha superato DMFI-A, confermando che la separazione dei modelli per classi normali/anomale è cruciale per la robustezza.
  • L'aggregazione statistica completa (FullStats) dei punteggi semantici ha fornito risultati migliori rispetto a semplici pooling (max o mean).
• Efficienza: L'astrazione 4W ha ridotto il conteggio dei token di input del ~36%, migliorando l'efficienza di inferenza senza perdere informazioni critiche.

5. Significato e Impatto

Il lavoro di DMFI rappresenta un passo avanti significativo nel rilevamento delle minacce interne per diversi motivi:

• Interpretabilità: A differenza delle "scatole nere" dei modelli deep learning tradizionali, DMFI fornisce giustificazioni in linguaggio naturale basate su log semantici e riassunti comportamentali.
• Gestione dello Squilibrio: La strategia discriminativa DMFI-B offre una soluzione pratica al problema cronico della scarsità di dati di attacco, permettendo di rilevare anomalie sottili senza richiedere enormi quantità di esempi etichettati.
• Adattabilità: L'approccio modulare e l'uso di LoRA facilitano l'adattamento a nuovi ambienti e dataset senza la necessità di riaddestrare interi modelli LLM, rendendo la soluzione scalabile per organizzazioni di diverse dimensioni.

In sintesi, DMFI dimostra che combinare la potenza del ragionamento semantico degli LLM con una modellazione comportamentale strutturata e tecniche di addestramento discriminativo porta a un rilevamento delle minacce interne più preciso, robusto e spiegabile.