Signal Decomposition Reveals Structure in Insider Threat Detection under Sparse Temporal Data

1. Declaração do Problema

A detecção de ameaças internas enfrenta um desafio fundamental devido à natureza dos dados de auditoria empresariais:

• Esparsidade Extrema: A maioria das janelas de tempo contém pouca ou nenhuma atividade do usuário. Comportamentos maliciosos são raros, intermitentes e embutidos em longos períodos de inatividade.
• Heterogeneidade Temporal: Os ataques variam significativamente em duração, indo desde eventos breves e localizados até campanhas sustentadas que duram dias ou semanas.
• Limitações dos Modelos Padrão: Modelos tradicionais baseados em reconstrução (por exemplo, autoencoders padrão) otimizam o erro de reconstrução sobre todas as entradas de entrada. Em dados esparsos, a perda é dominada por regiões inativas (zeros). Consequentemente, esses modelos aprendem a reconstruir "inatividade" em vez da estrutura de desvios significativos, levando a uma detecção pobre de eventos raros e a um alto volume de falsos positivos.

2. Metodologia

Os autores propõem um Autoencoder Mascarado de Duplo Canal que alinha o objetivo de aprendizado com as propriedades estruturais dos dados temporais esparsos.

A. Representação de Dados

• Janelamento: Logs de eventos brutos são agregados em janelas de tempo de comprimento fixo ($W$), subdivididas em buckets ($\Delta t$).
• Decomposição Máscara-Valor: Em vez de tratar a entrada como uma única matriz densa, cada janela é decomposta em dois canais distintos:
  1. Canal Máscara ($M$): Uma matriz binária indicando a presença de atividade ($1$ se a atividade existe, $0$ caso contrário).
  2. Canal Valor ($V$): Uma matriz capturando a magnitude (contagem/estatística) da atividade.
• Tensor de Entrada: Estes são empilhados para formar um tensor de entrada de 2 canais $X^{(2)} = [M, V]$.

B. Arquitetura do Modelo

• Autoencoder Convolucional de Duplo Canal: O modelo utiliza um codificador compartilhado para mapear a entrada de duplo canal para um espaço latente e um decodificador para reconstruir ambos os canais.
• Função de Perda Especializada: O objetivo de treinamento é projetado para impedir que o modelo desperdice capacidade em regiões inativas:
  • Perda de Máscara ($L_{mask}$): Entropia Cruzada Binária ponderada para reconstruir com precisão a presença/ausência de atividade.
  • Perda de Valor ($L_{value}$): Erro Quadrático Médio (MSE) aplicado apenas onde a máscara indica atividade ($M=1$). Isso garante que o modelo foque em modelar a intensidade do comportamento apenas quando o comportamento existe.
  • Regularização Temporal ($L_{temp}$): Um termo opcional para impor suavidade nas representações latentes entre janelas normais consecutivas.

C. Pontuação de Anomalia

• As pontuações de anomalia são derivadas dos erros de reconstrução de ambos os canais.
• A pontuação final é uma soma ponderada do erro de máscara padronizado e do erro de valor ($S = \alpha_{mask} \cdot \hat{L}_{mask} + \alpha_{value} \cdot \hat{L}_{value}$).
• Os pesos ($\alpha$) são determinados por busca em grade para maximizar a Área sob a Curva Precisão-Recall (PR-AUC), permitindo que o modelo dependa adaptativamente do componente de sinal mais informativo.

D. Configuração Experimental

• Conjunto de Dados: Conjunto de dados de ameaça interna CERT r5.2 (sintético, mas estruturado comportamentalmente).
• Variáveis: O estudo varia a duração da janela ($\Delta w$), a resolução do bucket ($\Delta b$) e introduz ruído (adicionando dados de usuários benignos) para simular condições do mundo real.
• Métricas: A métrica principal é PR-AUC (devido ao desequilíbrio extremo de classes), suplementada por ROC-AUC.

3. Contribuições Principais

1. Decomposição Estrutural: Introduziu uma decomposição presença-magnitude que aborda o problema da "dominância de zero" na detecção de anomalias baseada em reconstrução esparsa.
2. Caracterização de Sinal: Demonstrou que a importância relativa de "presença" versus "magnitude" não é um hiperparâmetro fixo, mas emerge da estrutura dos dados:
   • Ataques de curta duração: Detectados principalmente através do canal de presença (máscara).
   • Ataques de longa duração: Beneficiam-se do canal de magnitude (valor), pois a atividade sustentada fornece sinal redundante.
   • Alto Ruído: A magnitude torna-se pouco confiável, forçando o modelo a retornar à detecção dominada por presença.
3. Agregação em Nível de Campanha: Mostrou que a modelagem complexa de sequências é desnecessária para a detecção de campanhas. Estratégias simples de agregação (especificamente a seleção Top-k das janelas com maior pontuação) são suficientes para recuperar campanhas de ataque estendidas a partir de sinais esparsos em nível de janela.

4. Resultados Principais

• Dependência Adaptativa de Sinal: Em cenários de curta duração (por exemplo, Cenário 3), o peso ótimo para o canal de valor ($\alpha_{value}$) aproxima-se de zero, confirmando que a magnitude atua como ruído. Em cenários de longa duração, $\alpha_{value}$ aumenta, mostrando que a magnitude adiciona poder discriminativo.
• Robustez ao Ruído:
  • Ataques de curta duração são altamente sensíveis ao ruído; adicionar ruído degrada significativamente o desempenho.
  • Ataques de longa duração são mais robustos devido à redundância de sinal entre janelas.
  • Sob ruído, o modelo consistentemente desloca o peso em direção ao canal de máscara.
• Resolução Temporal: O desempenho depende altamente de ajustar o tamanho da janela ($\Delta w$) à duração do ataque. Janelas incompatíveis (por exemplo, uma janela de 96 horas para um ataque de 24 horas) diluem o sinal.
• Detecção de Campanha: O uso de uma estratégia de agregação Top-2 de janelas em sequências de 6 dias resultou na maior PR-AUC (0,8357) e ROC-AUC (0,9388), superando a média uniforme. Isso confirma que as ameaças internas estão concentradas em um pequeno número de janelas altamente anômalas.

5. Significado e Conclusão

• Mudança de Paradigma: O artigo argumenta que a detecção eficaz de ameaças internas depende menos do aumento da complexidade do modelo (por exemplo, adicionar RNNs/Transformers) e mais de alinhar a representação e os objetivos com a esparsidade inerente e a estrutura temporal dos dados.
• Insight Operacional: As descobertas sugerem uma abordagem operacional em duas etapas:
  1. Nível de Janela: Usar o modelo de duplo canal para identificar janelas anômalas de alta confiança com base no regime temporal específico (curto vs. longo).
  2. Nível de Campanha: Agregar esses sinais esparsos e de alta confiança usando lógica simples "Top-k" para identificar campanhas estendidas, evitando a necessidade de modelagem complexa de sequências temporais.
• Generalizabilidade: Embora testado em dados sintéticos CERT, os princípios de esparsidade, heterogeneidade temporal e sinais de anomalia localizados aplicam-se à telemetria empresarial do mundo real, oferecendo uma base escalável para sistemas de detecção não supervisionada.