Signal Decomposition Reveals Structure in Insider Threat Detection under Sparse Temporal Data

Hier volgt een gedetailleerde technische samenvatting van het artikel "Signal Decomposition Reveals Structure in Insider Threat Detection under Sparse Temporal Data."

1. Probleemstelling

Detectie van insider-bedreigingen staat voor een fundamentele uitdaging vanwege de aard van auditdata van ondernemingen:

• Extreme Sparsiteit: De meeste tijdsvensters bevatten weinig tot geen gebruikersactiviteit. Kwaadaardig gedrag is zeldzaam, intermitterend en ingebed in lange periodes van inactiviteit.
• Temporele Heterogeniteit: Aanvallen variëren aanzienlijk in duur, van korte, lokale gebeurtenissen tot aanhoudende campagnes die dagen of weken duren.
• Beperkingen van Standaardmodellen: Traditionele reconstructiegebaseerde modellen (bijvoorbeeld standaard auto-encoders) optimaliseren de reconstructiefout over alle invoeritems. Bij sparsere data wordt de verliesfunctie gedomineerd door inactieve gebieden (nullen). Bijgevolg leren deze modellen "inactiviteit" te reconstrueren in plaats van de structuur van betekenisvolle afwijkingen, wat leidt tot een slechte detectie van zeldzame gebeurtenissen en een groot aantal vals-positieven.

2. Methodologie

De auteurs stellen een Dual-Channel Masked Autoencoder voor die het leerdoel afstemt op de structurele eigenschappen van sparsere temporele data.

A. Data Representatie

• Vensterindeling: Ruwe gebeurtenislogboeken worden geaggregeerd tot vaste tijdsvensters ($W$), onderverdeeld in bakken ($\Delta t$).
• Masker-Waarde Decompositie: In plaats van de invoer als één dichte matrix te behandelen, wordt elk venster ontleed in twee distincte kanalen:
  1. Maskerkanaal ($M$): Een binaire matrix die de aanwezigheid van activiteit aangeeft ($1$ als activiteit bestaat, $0$ anders).
  2. Waardekanaal ($V$): Een matrix die de grootte (aantal/statistiek) van de activiteit vastlegt.
• Invoertensor: Deze worden gestapeld om een 2-kanaals invoertensor te vormen $X^{(2)} = [M, V]$.

B. Modelarchitectuur

• Dual-Channel Convolutional Autoencoder: Het model gebruikt een gedeelde encoder om de 2-kanaals invoer af te beelden op een latente ruimte en een decoder om beide kanalen te reconstrueren.
• Gespecialiseerde Verliesfunctie: Het trainingsdoel is ontworpen om te voorkomen dat het model capaciteit verspillen aan inactieve gebieden:
  • Masker Verlies ($L_{mask}$): Gewogen Binary Cross-Entropy om de aanwezigheid/afwezigheid van activiteit nauwkeurig te reconstrueren.
  • Waarde Verlies ($L_{value}$): Mean Squared Error (MSE) die alleen wordt toegepast waar het masker activiteit aangeeft ($M=1$). Dit zorgt ervoor dat het model zich richt op het modelleren van de intensiteit van gedrag alleen wanneer gedrag bestaat.
  • Temporele Regularisatie ($L_{temp}$): Een optionele term om gladheid af te dwingen in de latente representaties tussen opeenvolgende normale vensters.

C. Anomalie Scoren

• Anomalie-scores worden afgeleid uit de reconstructiefouten van beide kanalen.
• De uiteindelijke score is een gewogen som van de gestandaardiseerde maskerfout en waardenfout ($S = \alpha_{mask} \cdot \hat{L}_{mask} + \alpha_{value} \cdot \hat{L}_{value}$).
• Gewichten ($\alpha$) worden bepaald via grid search om de Precision-Recall Area Under the Curve (PR-AUC) te maximaliseren, waardoor het model adaptief kan vertrouwen op het meest informatieve signaalkanaal.

D. Experimentele Opstelling

• Dataset: CERT r5.2 insider threat dataset (synthetisch maar gedragsmatig gestructureerd).
• Variabelen: De studie varieert vensterduur ($\Delta w$), bakresolutie ($\Delta b$) en introduceert ruis (door het toevoegen van onschuldig gebruikersdata) om real-world condities te simuleren.
• Metrieken: De primaire metriek is PR-AUC (vanwege extreme class imbalance), aangevuld met ROC-AUC.

3. Belangrijkste Bijdragen

1. Structurele Decompositie: Introductie van een aanwezigheid-grootte decompositie die het "zero-dominance" probleem aanpakt in sparsere reconstructiegebaseerde anomaliedetectie.
2. Signaalkarakterisering: Aangetoond dat de relatieve belangrijkheid van "aanwezigheid" versus "grootte" geen vast hyperparameter is, maar voortkomt uit de datastructuur:
   • Kortdurende aanvallen: Voornamelijk gedetecteerd via het aanwezigheids (masker) kanaal.
   • Langdurende aanvallen: Profiteren van het grootte (waarde) kanaal, aangezien aanhoudende activiteit redundant signaal biedt.
   • Hoge Ruis: Grootte wordt onbetrouwbaar, waardoor het model terugkeert naar aanwezigheids-gedomineerde detectie.
3. Campagne-niveau Aggregatie: Aangetoond dat complexe sequentiemodellering onnodig is voor campagnedetectie. Eenvoudige aggregatiestrategieën (specifiek Top-k selectie van de hoogst scorende vensters) zijn voldoende om uitgebreide aanvalscampagnes te herstellen uit sparsere vensterniveau signalen.

4. Belangrijkste Resultaten

• Adaptieve Signaalafhankelijkheid: In kortdurende scenario's (bijvoorbeeld Scenario 3) nadert de optimale gewicht voor het waardekanaal ($\alpha_{value}$) nul, wat bevestigt dat grootte fungeert als ruis. In langdurende scenario's neemt $\alpha_{value}$ toe, wat aantoont dat grootte discriminerende kracht toevoegt.
• Robuustheid tegen Ruis:
  • Kortdurende aanvallen zijn zeer gevoelig voor ruis; het toevoegen van ruis degradeert de prestaties aanzienlijk.
  • Langdurende aanvallen zijn robuuster vanwege signaalredundantie over vensters.
  • Onder ruis verschuift het model consequent het gewicht naar het masker kanaal.
• Temporele Resolutie: De prestaties zijn sterk afhankelijk van het afstemmen van de venstergrootte ($\Delta w$) op de aanvalsduur. Niet-geschikte vensters (bijvoorbeeld een 96-uurs venster voor een 24-uurs aanval) verdunnen het signaal.
• Campagnedetectie: Het gebruik van een Top-2 venster aggregatie strategie op 6-daagse sequenties leverde de hoogste PR-AUC (0,8357) en ROC-AUC (0,9388) op, beter dan uniforme middeling. Dit bevestigt dat insider-bedreigingen geconcentreerd zijn in een klein aantal sterk anomalie vensters.

5. Betekenis en Conclusie

• Paradigmaverschuiving: Het artikel betoogt dat effectieve detectie van insider-bedreigingen minder afhankelijk is van het vergroten van modelcomplexiteit (bijvoorbeeld het toevoegen van RNN's/Transformers) en meer van het afstemmen van representatie en doelen op de inherente sparsiteit en temporele structuur van de data.
• Operationeel Inzicht: De bevindingen suggereren een tweestaps operationele aanpak:
  1. Vensterniveau: Gebruik het dual-channel model om hoog-vertrouwens anomalie vensters te identificeren op basis van het specifieke temporele regime (kort versus lang).
  2. Campagneniveau: Aggregeer deze sparsere, hoog-vertrouwens signalen met eenvoudige "Top-k" logica om uitgebreide campagnes te identificeren, waardoor complexe temporele sequentiemodellering overbodig wordt.
• Generaliseerbaarheid: Hoewel getest op synthetische CERT-data, zijn de principes van sparsiteit, temporele heterogeniteit en gelokaliseerde anomalie signalen van toepassing op real-world enterprise telemetrie, en bieden een schaalbare basis voor onbewaakte detectiesystemen.