MV-Gate: Insider Threat Detection via Multi-View Behavioral Statistics and Semantic Modeling

Riepilogo Tecnico: MV-Gate per il Rilevamento delle Minacce Interne

Enunciato del Problema
Le minacce interne sono caratterizzate da attori malevoli che sono utenti legittimi, rendendo le loro azioni difficili da distinguere dalle operazioni normali. Questi attacchi spesso progrediscono lentamente, generando segnali deboli e temporalmente sparsi. Un'osservazione critica è che le anomalie precoci derivano frequentemente non dalla semantica dei singoli eventi (ad esempio, un comando specifico essere malevolo), ma da interruzioni nelle statistiche comportamentali. Queste includono pattern di ricorrenza alterati (ad esempio, un'azione che riemerge dopo un'inattività) e spostamenti nelle frequenze a breve termine rispetto a quelle a lungo termine.

Gli attuali approcci di deep learning per il Rilevamento delle Minacce Interne (ITD) si sono in gran parte spostati verso la tokenizzazione dei log e il loro elaboramento con encoder sequenziali (LSTM, GRU, Transformer). Sebbene efficaci nel catturare il contesto semantico, questi modelli "solo token" spesso scartano le regolarità statistiche esplicite. Di conseguenza, rimangono insensibili alle deviazioni comportamentali graduali e a bassa visibilità che tipicamente precedono gli incidenti interni.

Metodologia: MV-Gate
Per colmare il divario tra indizi statistici e modellazione sequenziale, gli autori propongono MV-Gate (Multi-View Gated Attention), un framework leggero che integra esplicitamente le regolarità comportamentali statistiche con la semantica delle sequenze. L'architettura opera in tre fasi:

1. Rappresentazione Comportamentale Multi-Vista:
   Il modello costruisce tre sequenze comportamentali sincronizzate dai log di audit grezzi:

   • Vista Token di Attività ($Z$): Token discreti che codificano la semantica dell'evento e il contesto temporale grezzo.
   • Vista Stato ($S$): Un segnale multi-scala che cattura i pattern di ricorrenza. Quantifica quanto un'azione è "rara" o "nuova" verificandone l'assenza attraverso finestre storiche multiple (ad esempio, 1, 3 e 7 passi).
   • Vista Deviazione di Frequenza ($F$): Un segnale che quantifica gli spostamenti di intensità confrontando la frequenza a breve termine con quella a lungo termine (ad esempio, esplosioni o comportamenti soppressi).

   Queste viste sono proiettate in uno spazio di embedding condiviso tramite proiezioni lineari specifiche per vista o tabelle di ricerca.

2. Meccanismo di Gate Consapevole delle Anomalie:
   L'innovazione principale risiede in un meccanismo di gate dinamico che inietta indizi statistici nel calcolo dell'attenzione di un encoder Transformer.

   • Viene calcolato un Gate di Rischio ($g_t$) per ogni passo temporale basato sugli embedding di stato e frequenza. Questo valore scalare rappresenta il livello di anormalità dell'evento.
   • Questo gate modula i vettori Chiave nel meccanismo di auto-attenzione ($K'_t = g_t \cdot K_t$).
   • Scalando le chiavi, il modello adatta dinamicamente i pesi dell'attenzione per enfatizzare gli eventi con alta irregolarità statistica senza alterare la struttura sottostante del Transformer.

3. Rilevamento delle Anomalie:
   Le rappresentazioni dei token gateati vengono fuse con le statistiche aggregate (tramite pooling medio degli embedding di stato e frequenza) e passate attraverso un classificatore Multi-Layer Perceptron (MLP) per produrre un punteggio di anomalia a livello di sequenza.

Contributi Chiave

• Rappresentazione Multi-Vista dell'Attività: Un framework unificato che ottimizza congiuntamente i token semantici con due viste statistiche (stato e frequenza), evitando la dipendenza dall'ingegneria manuale delle caratteristiche pur preservando gli indizi statistici persi nella tokenizzazione.
• Gate Consapevole delle Anomalie: Un meccanismo innovativo che utilizza punteggi di anomalia statistica per modulare dinamicamente i pesi dell'attenzione, consentendo al modello di concentrarsi su eventi statisticamente irregolari che i meccanismi di attenzione tradizionali potrebbero trascurare.
• Framework End-to-End: Una pipeline completa che integra la fusione multi-vista e l'attenzione gateata per la classificazione a livello di sequenza.
• Valutazione Completa: Esperimenti estesi che dimostrano l'efficacia del framework su dataset diversificati.

Risultati Sperimentali
Gli autori hanno valutato MV-Gate su tre dataset pubblici: CERT r4.2, CERT r5.2 e ADFA-LD.

• Prestazioni: MV-Gate ha ottenuto risultati all'avanguardia su tutte le metriche (Recall, Precisione, Accuratezza, F1-score) rispetto alle linee di base classiche di machine learning (LR, RF, XGBoost), ai modelli generici di deep learning (CNN, Transformer) e agli approcci specifici del dominio (ITDBERT, CATE, ITDLM, LogGPT).
• Guadagni Specifici: Sul dataset CERT r5.2, MV-Gate ha raggiunto un F1-score di 0,957, superando il modello specifico del dominio successivo migliore (CATE a 0,926) e superando significativamente i Transformer generici (0,805).
• Studi di Ablazione: La rimozione della vista stato, della vista frequenza o del meccanismo di attenzione gateata ha portato a un degrado delle prestazioni notevole, confermando che sia la rappresentazione multi-vista che il meccanismo di gate sono essenziali per il rilevamento di minacce a segnale debole.
• Efficienza: Lo studio ha rilevato che un encoder Transformer compatto a 2 livelli offre il miglior equilibrio tra prestazioni e utilizzo della memoria, poiché stack più profondi hanno fornito guadagni marginali per le sequenze ITD tipicamente brevi e sparse.

Significato e Affermazioni
Il documento sostiene che un rilevamento robusto delle minacce interne richiede la modellazione congiunta di evidenze statistiche e sequenziali. Sebbene i modelli di deep learning eccellano nel ragionamento semantico, spesso falliscono nel rilevare minacce che si manifestano come anomalie statistiche (ad esempio, un cambiamento improvviso nella frequenza o nella ricorrenza) piuttosto che come spostamenti semantici.

MV-Gate dimostra che integrare esplicitamente prior statistiche — in particolare pattern di ricorrenza e deviazioni di frequenza — nel meccanismo di attenzione permette ai modelli di rilevare minacce a "segnale debole" e progressive che vengono spesso perse dagli approcci basati solo su token. Gli autori concludono che questo approccio fornisce una rappresentazione più affidabile dei pattern di minacce interne, in particolare per attacchi graduali che evolvono nel tempo, senza incorrere negli alti costi computazionali associati ai Large Language Models (LLM). Il lavoro futuro suggerito dagli autori include la fusione di log multimodali (ad esempio, traffico di rete con operazioni sui file) e potenzialmente l'integrazione di LLM per l'interpretazione semantica accanto alle evidenze statistiche di MV-Gate.