Signal Decomposition Reveals Structure in Insider Threat Detection under Sparse Temporal Data

1. Enunciato del Problema

La rilevazione delle minacce interne affronta una sfida fondamentale dovuta alla natura dei dati di audit aziendali:

• Estrema Sparsità: La maggior parte delle finestre temporali contiene poca o nessuna attività utente. I comportamenti malevoli sono rari, intermittenti e incorporati all'interno di lunghi periodi di inattività.
• Eterogeneità Temporale: Gli attacchi variano significativamente nella durata, spaziando da eventi brevi e localizzati a campagne sostenute che durano giorni o settimane.
• Limitazioni dei Modelli Standard: I modelli tradizionali basati sulla ricostruzione (ad esempio, autoencoder standard) ottimizzano l'errore di ricostruzione su tutte le voci di input. Nei dati sparsi, la perdita è dominata dalle regioni inattive (zeri). Di conseguenza, questi modelli imparano a ricostruire l'"inattività" piuttosto che la struttura delle deviazioni significative, portando a una scarsa rilevazione di eventi rari e a un alto volume di falsi positivi.

2. Metodologia

Gli autori propongono un Autoencoder Mascherato a Doppio Canale che allinea l'obiettivo di apprendimento alle proprietà strutturali dei dati temporali sparsi.

A. Rappresentazione dei Dati

• Finestraggio: I log degli eventi grezzi sono aggregati in finestre temporali di lunghezza fissa ($W$), suddivise in bucket ($\Delta t$).
• Decomposizione Maschera-Valore: Invece di trattare l'input come una singola matrice densa, ogni finestra è decomposta in due canali distinti:
  1. Canale Maschera ($M$): Una matrice binaria che indica la presenza di attività ($1$ se l'attività esiste, $0$ altrimenti).
  2. Canale Valore ($V$): Una matrice che cattura la magnitudine (conteggio/statistica) dell'attività.
• Tensore di Input: Questi vengono impilati per formare un tensore di input a 2 canali $X^{(2)} = [M, V]$.

B. Architettura del Modello

• Autoencoder Convoluzionale a Doppio Canale: Il modello utilizza un encoder condiviso per mappare l'input a doppio canale in uno spazio latente e un decoder per ricostruire entrambi i canali.
• Funzione di Perdita Specializzata: L'obiettivo di addestramento è progettato per impedire al modello di sprecare capacità sulle regioni inattive:
  • Perdita Maschera ($L_{mask}$): Cross-Entropy Binaria pesata per ricostruire accuratamente la presenza/assenza di attività.
  • Perdita Valore ($L_{value}$): Errore Quadratico Medio (MSE) applicato solo dove la maschera indica attività ($M=1$). Ciò garantisce che il modello si concentri sulla modellazione dell'intensità del comportamento solo quando il comportamento esiste.
  • Regolarizzazione Temporale ($L_{temp}$): Un termine opzionale per imporre la regolarità nelle rappresentazioni latenti tra finestre normali consecutive.

C. Punteggio delle Anomalie

• I punteggi delle anomalie sono derivati dagli errori di ricostruzione di entrambi i canali.
• Il punteggio finale è una somma pesata dell'errore standardizzato della maschera e dell'errore del valore ($S = \alpha_{mask} \cdot \hat{L}_{mask} + \alpha_{value} \cdot \hat{L}_{value}$).
• I pesi ($\alpha$) sono determinati tramite ricerca a griglia per massimizzare l'Area Sotto la Curva Precisione-Recall (PR-AUC), permettendo al modello di affidarsi in modo adattivo al componente del segnale più informativo.

D. Configurazione Sperimentale

• Dataset: Dataset CERT r5.2 per minacce interne (sintetico ma strutturalmente comportamentale).
• Variabili: Lo studio varia la durata della finestra ($\Delta w$), la risoluzione del bucket ($\Delta b$) e introduce rumore (aggiungendo dati di utenti benigni) per simulare condizioni reali.
• Metriche: La metrica primaria è PR-AUC (a causa dello squilibrio estremo delle classi), integrata da ROC-AUC.

3. Contributi Chiave

1. Decomposizione Strutturale: Introduzione di una decomposizione presenza-magnitudine che affronta il problema della "dominanza degli zeri" nella rilevazione delle anomalie basata sulla ricostruzione sparsa.
2. Caratterizzazione del Segnale: Dimostrazione che l'importanza relativa di "presenza" rispetto a "magnitudine" non è un iperparametro fisso ma emerge dalla struttura dei dati:
   • Attacchi a breve durata: Rilevati principalmente tramite il canale di presenza (maschera).
   • Attacchi a lunga durata: Beneficiano del canale di magnitudine (valore) poiché l'attività sostenuta fornisce un segnale ridondante.
   • Alto Rumore: La magnitudine diventa inaffidabile, costringendo il modello a tornare a una rilevazione dominata dalla presenza.
3. Aggregazione a Livello di Campagna: Dimostrazione che la modellazione complessa delle sequenze non è necessaria per il rilevamento delle campagne. Strategie di aggregazione semplici (in particolare la selezione Top-k delle finestre con punteggio più alto) sono sufficienti per recuperare campagne di attacco estese da segnali sparsi a livello di finestra.

4. Risultati Chiave

• Affidamento Adattivo al Segnale: Negli scenari a breve durata (ad esempio, Scenario 3), il peso ottimale per il canale di valore ($\alpha_{value}$) si avvicina a zero, confermando che la magnitudine agisce come rumore. Negli scenari a lunga durata, $\alpha_{value}$ aumenta, mostrando che la magnitudine aggiunge potere discriminatorio.
• Robustezza al Rumore:
  • Gli attacchi a breve durata sono altamente sensibili al rumore; l'aggiunta di rumore degrada significativamente le prestazioni.
  • Gli attacchi a lunga durata sono più robusti grazie alla ridondanza del segnale attraverso le finestre.
  • Sotto rumore, il modello sposta costantemente il peso verso il canale della maschera.
• Risoluzione Temporale: Le prestazioni dipendono fortemente dalla corrispondenza tra la dimensione della finestra ($\Delta w$) e la durata dell'attacco. Finestre non corrispondenti (ad esempio, una finestra di 96 ore per un attacco di 24 ore) diluiscono il segnale.
• Rilevamento delle Campagne: L'uso di una strategia di aggregazione Top-2 finestre su sequenze di 6 giorni ha prodotto il PR-AUC più alto (0,8357) e ROC-AUC (0,9388), superando la media uniforme. Ciò conferma che le minacce interne sono concentrate in un piccolo numero di finestre altamente anomale.

5. Significato e Conclusione

• Cambiamento di Paradigma: Il paper sostiene che una rilevazione efficace delle minacce interne dipende meno dall'aumento della complessità del modello (ad esempio, aggiungendo RNN/Transformer) e più dall'allineamento della rappresentazione e degli obiettivi con la sparsità intrinseca e la struttura temporale dei dati.
• Insight Operativo: I risultati suggeriscono un approccio operativo a due stadi:
  1. Livello Finestra: Utilizzare il modello a doppio canale per identificare finestre anomale ad alta confidenza basandosi sul regime temporale specifico (breve vs. lungo).
  2. Livello Campagna: Aggregare questi segnali sparsi e ad alta confidenza utilizzando una logica semplice "Top-k" per identificare campagne estese, evitando la necessità di una complessa modellazione delle sequenze temporali.
• Generalizzabilità: Sebbene testato su dati CERT sintetici, i principi di sparsità, eterogeneità temporale e segnali di anomalia localizzati si applicano alla telemetria aziendale reale, offrendo una base scalabile per sistemi di rilevamento non supervisionati.