DMFI: A Dual-Modality Log Analysis Framework for Insider Threat Detection with LoRA-Tuned Language Models

Resumo Técnico: DMFI para Detecção de Ameaças Internas

1. O Problema

A detecção de ameaças internas (Insider Threat Detection - ITD) representa um desafio crítico e persistente na cibersegurança. Diferente de atacantes externos, os insiders possuem credenciais autorizadas e familiaridade operacional, permitindo que atuem dentro de limites comportamentais aceitáveis enquanto evitam mecanismos de segurança tradicionais.

As principais limitações das abordagens existentes incluem:

• Modelos Tradicionais: Sistemas baseados em regras e modelos estatísticos (como SVM, XGBoost) frequentemente falham em capturar a intenção semântica e a dinâmica complexa do comportamento humano, tratando ações apenas como características numéricas.
• Soluções Baseadas em LLMs (Grandes Modelos de Linguagem):
  • Métodos baseados em Prompt: São sensíveis ao design do prompt e carecem de adaptação comportamental dinâmica.
  • Métodos de Ajuste Fino (Fine-tuning): Geralmente focam em apenas uma modalidade (ou semântica de texto, ou sequência comportamental), ignorando a riqueza de dados multimodais.
  • Desbalanceamento de Classes: A maioria das abordagens luta para detectar ameaças raras em cenários com forte desbalanceamento entre dados normais e anômalos.

2. Metodologia Proposta: DMFI

O DMFI (Dual-Modality Fine-tuned Inference) é um framework unificado que integra raciocínio semântico e abstração comportamental utilizando LLMs ajustados via LoRA (Low-Rank Adaptation). A arquitetura consiste em três estágios principais:

A. Pré-processamento e Visões Multimodais
Os logs brutos de auditoria são transformados em duas visões complementares:

1. Visão Semântica: Extrai artefatos ricos em conteúdo (ex: corpo de e-mails, URLs HTTP) para análise de intenção e conteúdo.
2. Visão Comportamental (Abstração 4W): Transforma sequências de ações estruturadas em resumos narrativos concisos baseados em quatro dimensões:
   • When (Quando): Contexto temporal.
   • Where (Onde): Dispositivo ou plataforma.
   • What (O quê): Tipo de ação do usuário.
   • Which (Qual): Objeto manipulado (arquivo, URL, etc.).
   • Objetivo: Reduzir redundância e ruído, mantendo os sinais anômalos essenciais em formato de linguagem natural.

B. Ajuste Fino com LoRA (Low-Rank Adaptation)
Dois LLMs especializados são ajustados independentemente para cada modalidade. O artigo explora duas estratégias de ajuste fino:

• DMFI-A (Unificado): Um único modelo é ajustado com dados mistos (normais e anormais).
• DMFI-B (Ramificação Discriminativa): Uma estratégia adaptativa que treina dois modelos separados (um para comportamento normal e outro para anormal) a partir da mesma base pré-treinada.
  • A pontuação final de anomalia é calculada com base na margem (diferença) entre as respostas dos dois modelos: $\alpha = \sigma(M_{abn}(x) - M_{norm}(x))$. Isso melhora a sensibilidade a ameaças raras.

C. Integração de Decisão

• As pontuações semânticas de múltiplas entradas são agregadas usando estatísticas descritivas (média, máximo, desvio padrão, mínimo) para criar um vetor fixo.
• Este vetor é combinado com a pontuação de risco comportamental.
• Um módulo de decisão leve (MLP - Perceptron Multicamada) funde essas características para gerar uma pontuação final de anomalia calibrada e uma explicação interpretável.

3. Contribuições Principais

1. Framework Dual-Modality: Unificação de análise semântica (baseada em prompts) e perfilamento comportamental (ajustado) em uma única arquitetura coesa.
2. Abstração Guiada por 4W: Uma nova técnica para comprimir logs estruturados em narrativas naturais interpretáveis, preservando a semântica temporal e comportamental.
3. Estratégia de Ajuste Fino Discriminativa (DMFI-B): Uso de ramos duplos para separar representações normais e anormais, melhorando a detecção em cenários de desbalanceamento severo de classes.
4. Eficiência e Interpretabilidade: Uso de LoRA para reduzir custos computacionais e geração de justificativas em linguagem natural para analistas.

4. Resultados Experimentais

O framework foi avaliado nos conjuntos de dados CERT r4.2 e r5.2 (padrão da indústria para ameaças internas).

• Desempenho Superior: O DMFI-B superou todos os baselines (incluindo SVM, XGBoost, Transformers e outros métodos baseados em LLM como LogGPT e Audit-LLM).
  • Precisão: ~95.3% (r4.2) e ~94.5% (r5.2).
  • Taxa de Detecção (DR): ~92.9% (r4.2) e ~93.8% (r5.2).
  • Falso Positivo (FPR): Extremamente baixo, ~0.9% (r4.2) e ~1.1% (r5.2), uma redução de mais de 40% em comparação ao segundo melhor método.
• Ablação:
  • A combinação de visões semântica e comportamental foi crucial; remover uma delas causou queda de 2-4% na precisão.
  • A estratégia DMFI-B superou consistentemente a DMFI-A, validando a eficácia da modelagem discriminativa.
  • A agregação estatística completa (FullStats) das pontuações semânticas superou métodos simples de max-pooling ou mean-pooling.
• Eficiência: A compressão 4W reduziu o número de tokens de entrada em ~36%, melhorando a velocidade de inferência sem perder sinais críticos.

5. Significado e Impacto

O trabalho DMFI representa um avanço significativo na detecção de ameaças internas ao:

• Superar a barreira da "caixa preta": Ao converter logs estruturados em narrativas e fornecer explicações, torna a detecção de LLMs mais interpretável para analistas de segurança.
• Resolver o desbalanceamento de classes: A estratégia de ramificação discriminativa oferece uma solução robusta para detectar comportamentos maliciosos raros em meio a volumes massivos de atividades normais.
• Viabilidade de Implantação: O uso de LoRA e a arquitetura modular permitem que o sistema seja escalável e adaptável a ambientes com recursos limitados, oferecendo uma solução prática para organizações reais que precisam monitorar logs complexos e multimodais.

Em suma, o DMFI demonstra que a combinação de raciocínio semântico profundo de LLMs com modelagem comportamental estruturada é a chave para a próxima geração de sistemas de detecção de ameaças internas.