Signal Decomposition Reveals Structure in Insider Threat Detection under Sparse Temporal Data

"Signal Decomposition Reveals Structure in Insider Threat Detection under Sparse Temporal Data" 논문의 상세한 기술적 요약은 다음과 같습니다.

1. 문제 제기

내부자 위협 탐지는 기업 감사 데이터의 본질로 인해 근본적인 도전에 직면해 있습니다:

• 극심한 희소성: 대부분의 시간 창에는 사용자 활동이 거의 없거나 전혀 없습니다. 악의적인 행동은 드물고 간헐적이며, 장기간의 비활동 기간 내에 내재되어 있습니다.
• 시간적 이질성: 공격은 지속 시간에 따라 크게 달라지며, 짧은 국소적 사건부터 수일 또는 수주 동안 지속되는 캠페인에 이르기까지 다양합니다.
• 표준 모델의 한계: 기존 재구성 기반 모델 (예: 표준 오토인코더) 은 모든 입력 항목에 대한 재구성 오차를 최적화합니다. 희소 데이터에서는 손실이 비활동 영역 (영) 에 의해 지배됩니다. 결과적으로 이러한 모델은 의미 있는 편차의 구조가 아닌 '비활동'을 재구성하도록 학습하여 드문 사건 탐지 성능이 저하되고 오탐지가大量 발생합니다.

2. 방법론

저자들은 희소 시간 데이터의 구조적 특성과 학습 목표를 정렬하는 이중 채널 마스크 오토인코더를 제안합니다.

A. 데이터 표현

• 윈도화: 원시 이벤트 로그는 고정된 길이의 시간 창 ($W$) 으로 집계되며, 이는 배럴 ($\Delta t$) 로 세분화됩니다.
• 마스크 - 값 분해: 입력을 단일 밀집 행렬로 취급하는 대신, 각 창은 두 개의 고유한 채널로 분해됩니다:
  1. 마스크 채널 ($M$): 활동의 유무를 나타내는 이진 행렬 (활동이 존재하면 1, 그렇지 않으면 0).
  2. 값 채널 ($V$): 활동의 크기 (카운트/통계) 를 포착하는 행렬.
• 입력 텐서: 이들을 적층하여 2 채널 입력 텐서 $X^{(2)} = [M, V]$를 형성합니다.

B. 모델 아키텍처

• 이중 채널 합성곱 오토인코더: 이 모델은 이중 채널 입력을 잠재 공간에 매핑하는 공유 인코더와 두 채널 모두를 재구성하는 디코더를 사용합니다.
• 전문 손실 함수: 모델이 비활동 영역에 용량을 낭비하지 않도록 훈련 목표가 설계되었습니다:
  • 마스크 손실 ($L_{mask}$): 활동의 유무를 정확하게 재구성하기 위한 가중 이진 교차 엔트로피.
  • 값 손실 ($L_{value}$): 마스크가 활동을 나타내는 곳 ($M=1$) 에만 적용되는 평균 제곱 오차 (MSE). 이를 통해 모델은 행동이 존재할 때만 행동의 강도를 모델링하도록 집중합니다.
  • 시간적 정규화 ($L_{temp}$): 연속된 정상 창 간의 잠재 표현에 부드러움을 강제하는 선택적 항.

C. 이상 점수 산출

• 이상 점수는 두 채널의 재구성 오차에서 도출됩니다.
• 최종 점수는 표준화된 마스크 오차와 값 오차의 가중 합입니다 ($S = \alpha_{mask} \cdot \hat{L}_{mask} + \alpha_{value} \cdot \hat{L}_{value}$).
• 가중치 ($\alpha$) 는 정밀도 - 재현율 곡선 아래 면적 (PR-AUC) 을 최대화하도록 그리드 검색을 통해 결정되어, 모델이 가장 정보성이 높은 신호 구성 요소에 적응적으로 의존할 수 있게 합니다.

D. 실험 설정

• 데이터셋: CERT r5.2 내부자 위협 데이터셋 (인공적이지만 행동적으로 구조화됨).
• 변수: 연구에서는 창 지속 시간 ($\Delta w$), 배럴 해상도 ($\Delta b$) 를 변화시키고 실제 조건을 시뮬레이션하기 위해 노이즈 (우호적 사용자 데이터 추가) 를 도입했습니다.
• 지표: 주요 지표는 극심한 클래스 불균형으로 인해 PR-AUC이며, ROC-AUC 가 보조 지표로 사용됩니다.

3. 주요 기여

1. 구조적 분해: 희소 재구성 기반 이상 탐지에서의 '영 지배' 문제를 해결하는 유무 - 크기 분해를 도입했습니다.
2. 신호 특성화: '유무' 대 '크기'의 상대적 중요성이 고정된 하이퍼파라미터가 아니라 데이터 구조에서 도출된다는 것을 입증했습니다:
   • 단기 공격: 주로 유무 (마스크) 채널을 통해 탐지됩니다.
   • 장기 공격: 지속된 활동이 중복 신호를 제공하므로 크기 (값) 채널의 혜택을 받습니다.
   • 고노이즈: 크기가 신뢰할 수 없게 되어 모델이 유무 중심 탐지로 전환됩니다.
3. 캠페인 수준 집계: 복잡한 시퀀스 모델링이 캠페인 탐지에 불필요함을 보여주었습니다. 단순한 집계 전략 (특히 가장 높은 점수의 창을 선택하는 Top-k) 만으로 희소한 창 수준 신호에서 확장된 공격 캠페인을 복원할 수 있습니다.

4. 주요 결과

• 적응형 신호 의존: 단기 시나리오 (예: 시나리오 3) 에서 값 채널의 최적 가중치 ($\alpha_{value}$) 는 0 에 수렴하여 크기가 노이즈로 작용함을 확인했습니다. 장기 시나리오에서는 $\alpha_{value}$가 증가하여 크기가 판별력을 추가함을 보여줍니다.
• 노이즈에 대한 강건성:
  • 단기 공격은 노이즈에 매우 민감하며, 노이즈 추가는 성능을 크게 저하시킵니다.
  • 장기 공격은 창 간 신호 중복으로 인해 더 강건합니다.
  • 노이즈 하에서 모델은 일관되게 마스크 채널으로 가중치를 이동시킵니다.
• 시간 해상도: 성능은 창 크기 ($\Delta w$) 를 공격 지속 시간에 맞추는지에 크게 의존합니다. 불일치하는 창 (예: 24 시간 공격에 대한 96 시간 창) 은 신호를 희석시킵니다.
• 캠페인 탐지: 6 일 시퀀스에 Top-2 창 집계 전략을 적용한 결과, 가장 높은 PR-AUC(0.8357) 와 ROC-AUC(0.9388) 를 달성하여 균일 평균화를 능가했습니다. 이는 내부자 위협이 소수의 매우 이상한 창에 집중되어 있음을 확인시켜 줍니다.

5. 중요성 및 결론

• 패러다임 전환: 이 논문은 효과적인 내부자 위협 탐지가 모델 복잡성 증가 (예: RNN/Transformer 추가) 에 의존하기보다는 데이터의 고유한 희소성과 시간적 구조에 표현과 목표를 정렬하는 데 더 의존한다고 주장합니다.
• 운영적 통찰: 연구 결과는 다음과 같은 2 단계 운영 접근법을 시사합니다:
  1. 창 수준: 특정 시간 체제 (단기 대 장기) 에 기반하여 이중 채널 모델을 사용하여 고신뢰도 이상 창을 식별합니다.
  2. 캠페인 수준: 이러한 희소하고 고신뢰도 신호를 복잡한 시간 시퀀스 모델링 없이 간단한 'Top-k' 논리를 사용하여 집계하여 확장된 캠페인을 식별합니다.
• 일반화 가능성: 인공 CERT 데이터로 테스트되었지만, 희소성, 시간적 이질성, 국소적 이상 신호의 원칙은 실제 기업 텔레메트리에 적용 가능하며, 비지도 탐지 시스템을 위한 확장 가능한 기반을 제공합니다.