RAD: Rule-Augmented Relational Anomaly Detection
Het artikel stelt RAD voor, een met regels uitgebreid relationeel anomaliedetectiekframework dat heterogene graafrepresentatieleer combineert met verfijnde symbolische regels afgeleid van random-forest-paden om effectief anomalieën in multi-tabel databases te identificeren, terwijl de relationele structuur behouden blijft en gedragsevidentie wordt geïncorporeerd, waarbij superieure prestaties worden aangetoond ten opzichte van bestaande baselines op een nieuwe benchmark die cybersecurity- en e-commerce-datasets beslaat.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de uitgestrekte, zoemende servers van moderne organisaties ligt data niet in nette, enkelvoudige kolommen. Het leeft in een complex web van verbindingen, waar een gebruiker, een machine, een transactie en een inlogpoging allemaal met elkaar verbonden zijn als knooppunten in een uitgestrekt netwerk. Decennialang hebben informatici geprobeerd de naald in deze hooiberg te vinden: het zeldzame, verdachte evenement dat wijst op een beveiligingslek, een fraudepoging of een klant die op het punt staat te vertrekken. De traditionele manier om naar deze naalden te zoeken was het platmaken van het hele web tot een enkele, lange lijst met getallen, waarbij de verbindingen werden weggehaald om de data gemakkelijker verwerkbaar te maken. Maar deze aanpak gooit vaak precies de aanwijzingen weg die een evenement verdacht maken. Een login kan op zichzelf volkomen normaal lijken, maar wordt zeer gevaarlijk wanneer deze wordt bekeken in de context van de specifieke machine waarvan deze afkomstig is, de tijd van de dag en de recente geschiedenis van de gebruiker. Het vinden van deze verborgen patronen vereist een methode die de structuur van de data respecteert, terwijl het ook de specifieke, op regels gebaseerde gedragingen begrijpt die gevaar definiëren.
Een team onderzoekers aan de Vanderbilt University heeft een nieuw systeem ontwikkeld genaamd RAD, ontworpen om precies dit probleem op te lossen. In plaats van de data plat te slaan en de vorm te verliezen, behandelt RAD de database als een levende kaart van relaties, vergelijkbaar met een stadsplattegrond waar elk gebouw een persoon is en elke weg een verbinding tussen hen. De innovatie van het systeem ligt in de manier waarop het twee verschillende manieren van denken combineert: het vermogen van kunstmatige intelligentie om te leren van patronen in een netwerk, en de helderheid van door mensen gedefieerde regels die specifieke slechte gedragingen beschrijven. De onderzoekers ontdekten dat door deze duidelijke, logische regels direct in het leerproces van de AI te voeden voordat deze de analyse van het netwerk start, het systeem aanzienlijk beter wordt in het opsporen van de zeldzame, gevaarlijke gebeurtenissen die andere methoden missen.
Om te begrijpen waarom dit ertoe doet, overweeg de uitdaging van het opsporen van een cyberaanval. In een typische database is een enkele loginpoging slechts een rij met data. Maar in werkelijkheid is die login onderdeel van een verhaal. Als een gebruiker inlogt op een computer die hij nog nooit eerder heeft gebruikt, op een tijdstip waarop hij gewoonlijk nooit werkt, vanaf een locatie die niet overeenkomt met zijn geschiedenis, dan wordt die enkele rij data een waarschuwingssignaal. Traditionele tools missen dit vaak omdat ze naar de rij in isolatie kijken. De onderzoekers testten hun nieuwe systeem op drie zeer verschillende soorten data: een enorme cybersecurity-log van een grote organisatie, een database van klantbeoordelingen van een online retailer, en een database van winkeltransacties van een groot kledingmerk. In elk geval was het doel hetzelfde: de meest verdachte gebeurtenissen helemaal bovenaan een lijst te plaatsen, zodat menselijke analisten ze snel kunnen vinden.
Het RAD-systeem werkt volgens een zorgvuldig georkestreerde sequentie. Eerst neemt het de complexe, multi-table database en bouwt het een gedetailleerde kaart van hoe alles met elkaar verbonden is, waarbij de unieke identiteit van elke gebruiker, machine en gebeurtenis behouden blijft. Vervolgens creëert het een vereenvoudigd, tijdelijk overzicht van de data om specifieke regels te zoeken. Met behulp van een standaard machine learning-techniek scant het de data om logische condities te vinden die vaak voorafgaan aan een probleem, zoals "een gebruiker die in tien minuten tijd op meer dan vier machines heeft ingelogd" of "een klant die gestopt is met het beoordelen van producten na een lange geschiedenis van activiteit". Dit zijn geen vage gissingen; het zijn concrete, interpreteerbare regels die rechtstreeks uit de data zelf zijn afgeleid.
Hier wijkt het systeem af van oudere methoden. In plaats van deze regels alleen te gebruiken om de uiteindelijke resultaten te controleren, injecteert RAD ze direct in het hart van de netwerkkaart voordat de AI begint aan zijn diepe analyse. Stel je de netwerkkaart voor als een groep mensen die briefjes naar elkaar doorgeven om hun situatie te begrijpen. In eerdere systemen waren de regels als een laatste briefje dat werd doorgegeven nadat de groep al een beslissing had genomen. In RAD worden de regels aan het begin aan de mensen gegeven, wat bepaalt hoe zij naar elkaar luisteren en hoe zij hun eigen positie begrijpen. Dit stelt het systeem in staat om een representatie van de data te leren die zich al bewust is van de specifieke gedragingen die problemen signaleren.
De resultaten van deze aanpak waren opmerkelijk. Wanneer getest tegen bestaande methoden, presteerde RAD consequent beter dan systemen die alleen vertrouwden op platgeslagen data of systemen die netwerkkaarten gebruikten zonder het voordeel van deze specifieke regels. De verbetering was het meest dramatisch in de cybersecurity-omgeving, waar het systeem verdachte login-gebeurtenissen met veel grotere nauwkeurigheid dan voorheen kon identificeren. In de retail-omgevingen slaagde het erin klanten te markeren die waarschijnlijk onverwachts zouden stoppen met het gebruiken van de dienst, een moeilijke taak omdat hun gedrag vaak normaal leek tot het allerlaatste moment. De onderzoekers ontdekten dat het vermogen van het systeem om de meest gevaarlijke gebeurtenissen bovenaan de lijst te plaatsen aanzienlijk verbeterde, wat cruciaal is omdat analisten in de echte wereld van beveiliging en zaken niet elk enkel alert kunnen beoordelen; ze hebben alleen de tijd om naar de eerste paar te kijken.
De studie onthulde ook enkele belangrijke nuances over hoe deze systemen werken. De onderzoekers testten of het reconstrueren van de volledige netwerkkaart—in feite de AI vragen welke verbindingen zouden moeten bestaan—hielp om anomalieën te vinden. Ze kwamen tot de conclusie dat dit niet altijd nuttig was; in sommige gevallen maakte het proberen te herbouwen van de kaart het systeem juist afgeleid van zijn hoofdtaken: het vinden van de slechte actoren. Evenzo testten ze of het gebruik van geavanceerde taalmodellen om de regels te verfijnen een verschil maakte. Ze ontdekten dat hoewel deze modellen hielpen om de regels op te schonen en te organiseren, de kernkracht voortkwam uit de initiële ontdekking van de regels zelf, en niet uit de verfijningsstap. Dit suggerealt dat de meest effectieve strategie is om duidelijke, eenvoudige gedragspatronen te vinden en deze direct in de netwerkanalyse te voeden, in plaats van te vertrouwen op complexe, achteraf toegepaste aanpassingen.
Uiteindelijk toont het werk aan dat de beste manier om anomalieën in complexe data te vinden, is door de structuur van de data te respecteren en het systeem expliciet te leren waar het naar moet kijken. Door de diepe leervermogens van netwerkanalyse te combineren met de precisie van symbolische regels, biedt RAD een nieuwe manier om de verborgen gevaren in ons digitale leven te zien. Het laat zien dat wanneer we stoppen met het behandelen van data als een platte lijst met getallen en beginnen met het behandelen van data als een verbonden verhaal, we de dreigingen kunnen vinden die er altijd al waren, wachtend om begrepen te worden. De onderzoekers hebben hun code en data beschikbaar gesteld voor anderen om te gebruiken, in de hoop dat deze aanpak organisaties overal zal helpen om het onverwachte beter te spotten voordat het een crisis wordt.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.