MV-Gate: Insider Threat Detection via Multi-View Behavioral Statistics and Semantic Modeling

Technische Samenvatting: MV-Gate voor Detectie van Bedreigingen door Interne Actoren

Probleemstelling
Bedreigingen door interne actoren worden gekenmerkt door kwaadwillende actoren die legitieme gebruikers zijn, waardoor hun acties moeilijk te onderscheiden zijn van normale operaties. Deze aanvallen vorderen vaak langzaam, wat leidt tot zwakke en tijdelijk schaarse signalen. Een cruciale observatie is dat vroege anomalieën vaak niet voortkomen uit de semantiek van individuele gebeurtenissen (bijvoorbeeld een specifiek commando dat kwaadaardig is), maar uit verstoringen in gedragsstatistieken. Deze omvatten veranderde terugkompatronen (bijvoorbeeld een actie die na inactiviteit weer opduikt) en verschuivingen in korte- versus langetermijnfrequenties.

Huidige deep learning-benaderingen voor detectie van bedreigingen door interne actoren (ITD) zijn grotendeels verschoven naar het tokeniseren van logs en het verwerken daarvan met sequentiële encoders (LSTM's, GRU's, Transformers). Hoewel deze effectief zijn in het vastleggen van semantische context, werpen deze "alleen-token" modellen vaak expliciete statistische regelmatigheden weg. Bijgevolg blijven ze ongevoelig voor de geleidelijke, laag-zichtbare gedragsafwijkingen die doorgaans voorafgaan aan incidenten door interne actoren.

Methodologie: MV-Gate
Om de kloof tussen statistische aanwijzingen en sequentiële modellering te overbruggen, stellen de auteurs MV-Gate (Multi-View Gated Attention) voor, een lichtgewicht framework dat expliciete statistische gedragsregelmatigheden integreert met sequentiesemantiek. De architectuur werkt in drie fasen:

1. Multi-View Gedragsrepresentatie:
   Het model construeert drie gesynchroniseerde gedragssequenties uit ruwe auditlogs:

   • Activiteit-Token View ($Z$): Discrete tokens die de semantiek van gebeurtenissen en een grove tijdscontext coderen.
   • Status View ($S$): Een multischaalsignaal dat terugkompatronen vastlegt. Het kwantificeert hoe "zeldzaam" of "nieuw" een actie is door afwezigheid te controleren over meerdere historische vensters (bijvoorbeeld 1, 3 en 7 stappen).
   • Frequentie-Afwijking View ($F$): Een signaal dat intensiteitsverschuivingen kwantificeert door korte-termijnfrequentie te vergelijken met langetermijnfrequentie (bijvoorbeeld uitbarstingen of onderdrukt gedrag).

   Deze views worden geprojecteerd naar een gedeelde embedding-ruimte via view-specifieke lineaire projecties of lookup-tabellen.

2. Anomalie-bewuste Gating-mechanisme:
   De kerninnovatie ligt in een dynamisch gating-mechanisme dat statistische aanwijzingen injecteert in de attentieberekening van een Transformer-encoder.

   • Er wordt voor elke tijdstap een Risico-gate ($g_t$) berekend op basis van de status- en frequentie-embeddings. Deze scalair vertegenwoordigt het abnormaliteitsniveau van de gebeurtenis.
   • Deze gate moduleert de Key-vectoren in het self-attention-mechanisme ($K'_t = g_t \cdot K_t$).
   • Door de keys te schalen, past het model de attentiegewichten dynamisch aan om gebeurtenissen met hoge statistische irregulariteit te benadrukken, zonder de onderliggende Transformer-structuur te wijzigen.

3. Anomaliedetectie:
   De gegateerde token-representaties worden samengevoegd met geaggregeerde statistieken (via mean pooling van status- en frequentie-embeddings) en doorgegeven aan een Multi-Layer Perceptron (MLP)-classificator om een anomaliescore op sequentieniveau te genereren.

Belangrijkste Bijdragen

• Multi-View Activiteitsrepresentatie: Een unificerend framework dat semantische tokens gezamenlijk optimaliseert met twee statistische views (status en frequentie), waardoor afhankelijkheid van handmatige feature-engineering wordt vermeden terwijl statistische aanwijzingen die bij tokenisatie verloren gaan, behouden blijven.
• Anomalie-bewuste Gating: Een nieuw mechanisme dat statistische anomaliescores gebruikt om attentiegewichten dynamisch te moduleren, waardoor het model zich kan richten op statistisch irregulariteit vertonende gebeurtenissen die door traditionele attention-mechanismen mogelijk worden over het hoofd gezien.
• End-to-End Framework: Een complete pijplijn die multi-view fusie en gegateerde attention integreert voor classificatie op sequentieniveau.
• Uitgebreide Evaluatie: Uitgebreide experimenten die de effectiviteit van het framework aantonen over diverse datasets.

Experimentele Resultaten
De auteurs hebben MV-Gate geëvalueerd op drie publieke datasets: CERT r4.2, CERT r5.2 en ADFA-LD.

• Prestaties: MV-Gate behaalde state-of-the-art resultaten op alle metrieken (Recall, Precision, Accuracy, F1-score) in vergelijking met klassieke machine learning-baselines (LR, RF, XGBoost), generieke deep learning-modellen (CNN, Transformer) en domeinspecifieke benaderingen (ITDBERT, CATE, ITDLM, LogGPT).
• Specifieke Winsten: Op de CERT r5.2-dataset behaalde MV-Gate een F1-score van 0,957, wat beter presteerde dan het volgende beste domeinspecifieke model (CATE met 0,926) en generieke Transformers aanzienlijk overtrof (0,805).
• Ablatiestudies: Het verwijderen van de status-view, frequentie-view of het gegateerde attention-mechanisme resulteerde in een opmerkelijke prestatiedegradatie, wat bevestigt dat zowel de multi-view representatie als het gating-mechanisme essentieel zijn voor het detecteren van bedreigingen met zwakke signalen.
• Efficiëntie: De studie vond dat een compacte Transformer-encoder met 2 lagen de beste balans biedt tussen prestaties en geheugengebruik, aangezien diepere stacks marginale winsten opleverden voor de doorgaans korte en schaarse ITD-sequenties.

Betekenis en Beweringen
Het artikel betoogt dat robuuste detectie van bedreigingen door interne actoren vereist de gezamenlijke modellering van statistisch en sequentieel bewijs. Hoewel deep learning-modellen uitstekend zijn in semantisch redeneren, falen ze vaak bij het detecteren van bedreigingen die zich manifesteren als statistische anomalieën (bijvoorbeeld een plotselinge verandering in frequentie of terugkomst) in plaats van semantische verschuivingen.

MV-Gate demonstreert dat het expliciet integreren van statistische priors – specifiek terugkompatronen en frequentie-afwijkingen – in het attention-mechanisme modellen in staat stelt "zwakke-signaal" en progressieve bedreigingen te detecteren die vaak worden gemist door alleen-token benaderingen. De auteurs concluderen dat deze aanpak een betrouwbaardere representatie biedt van patronen van bedreigingen door interne actoren, met name voor geleidelijke aanvallen die zich in de tijd ontwikkelen, zonder de hoge rekenkosten die gepaard gaan met Large Language Models (LLM's). Door de auteurs gesuggereerd toekomstig werk omvat het fuseren van multimodale logs (bijvoorbeeld netwerkverkeer met bestandsoperaties) en het potentieel integreren van LLM's voor semantische interpretatie naast het statistische bewijs van MV-Gate.