MV-Gate: Insider Threat Detection via Multi-View Behavioral Statistics and Semantic Modeling

Resumo Técnico: MV-Gate para Detecção de Ameaças Internas

Declaração do Problema
As ameaças internas são caracterizadas por atores maliciosos que são usuários legítimos, tornando suas ações difíceis de distinguir das operações normais. Esses ataques frequentemente progridem lentamente, gerando sinais fracos e temporalmente esparsos. Uma observação crítica é que anomalias iniciais frequentemente derivam não da semântica de eventos individuais (por exemplo, um comando específico sendo malicioso), mas de rupturas nas estatísticas comportamentais. Estas incluem padrões de recorrência alterados (por exemplo, uma ação ressurgindo após inatividade) e deslocamentos nas frequências de curto versus longo prazo.

As abordagens atuais de aprendizado profundo para Detecção de Ameaças Internas (ITD) mudaram em grande parte para a tokenização de logs e seu processamento com codificadores sequenciais (LSTMs, GRUs, Transformers). Embora eficazes na captura de contexto semântico, esses modelos "apenas token" frequentemente descartam regularidades estatísticas explícitas. Consequentemente, eles permanecem insensíveis às desvios comportamentais graduais e de baixa visibilidade que tipicamente precedem incidentes internos.

Metodologia: MV-Gate
Para preencher a lacuna entre pistas estatísticas e modelagem sequencial, os autores propõem o MV-Gate (Atenção Porteira Multivista), um framework leve que integra explicitamente regularidades comportamentais estatísticas com semântica de sequência. A arquitetura opera em três etapas:

1. Representação Comportamental Multivista:
   O modelo constrói três sequências comportamentais sincronizadas a partir de logs de auditoria brutos:

   • Vista de Token de Atividade ($Z$): Tokens discretos que codificam a semântica do evento e o contexto temporal grosseiro.
   • Vista de Status ($S$): Um sinal multiescala que captura padrões de recorrência. Ele quantifica o quão "raro" ou "novo" é uma ação verificando sua ausência em múltiplas janelas históricas (por exemplo, 1, 3 e 7 passos).
   • Vista de Desvio de Frequência ($F$): Um sinal que quantifica deslocamentos de intensidade comparando a frequência de curto prazo contra a frequência de longo prazo (por exemplo, explosões ou comportamentos suprimidos).

   Essas vistas são projetadas em um espaço de incorporação compartilhado por meio de projeções lineares específicas da vista ou tabelas de consulta.

2. Mecanismo de Porteira Consciente de Anomalia:
   A inovação central reside em um mecanismo de porteira dinâmico que injeta pistas estatísticas no cálculo de atenção de um codificador Transformer.

   • Uma Porteira de Risco ($g_t$) é calculada para cada passo de tempo com base nas incorporações de status e frequência. Este valor escalar representa o nível de anormalidade do evento.
   • Essa porta modula os vetores Chave no mecanismo de autoatenção ($K'_t = g_t \cdot K_t$).
   • Ao escalar as chaves, o modelo ajusta dinamicamente os pesos de atenção para enfatizar eventos com alta irregularidade estatística, sem alterar a estrutura subjacente do Transformer.

3. Detecção de Anomalia:
   As representações de token porteadas são fundidas com estatísticas agregadas (por meio de pooling médio das incorporações de status e frequência) e passadas por um classificador de Perceptron Multicamada (MLP) para gerar uma pontuação de anomalia em nível de sequência.

Principais Contribuições

• Representação de Atividade Multivista: Um framework unificado que otimiza conjuntamente tokens semânticos com duas vistas estatísticas (status e frequência), evitando a dependência de engenharia de recursos manual enquanto preserva pistas estatísticas perdidas na tokenização.
• Porteira Consciente de Anomalia: Um mecanismo inovador que usa pontuações de anomalia estatística para modular dinamicamente os pesos de atenção, permitindo que o modelo se concentre em eventos estatisticamente irregulares que mecanismos de atenção tradicionais poderiam ignorar.
• Framework de Ponta a Ponta: Um pipeline completo que integra fusão multivista e atenção porteira para classificação em nível de sequência.
• Avaliação Abrangente: Experimentos extensivos demonstrando a eficácia do framework em diversos conjuntos de dados.

Resultados Experimentais
Os autores avaliaram o MV-Gate em três conjuntos de dados públicos: CERT r4.2, CERT r5.2 e ADFA-LD.

• Desempenho: O MV-Gate alcançou resultados de última geração em todas as métricas (Recall, Precisão, Acurácia, F1-score) em comparação com bases de aprendizado de máquina clássicas (LR, RF, XGBoost), modelos genéricos de aprendizado profundo (CNN, Transformer) e abordagens específicas de domínio (ITDBERT, CATE, ITDLM, LogGPT).
• Ganhos Específicos: No conjunto de dados CERT r5.2, o MV-Gate alcançou um F1-score de 0,957, superando o próximo melhor modelo específico de domínio (CATE com 0,926) e superando significativamente Transformers genéricos (0,805).
• Estudos de Ablação: A remoção da vista de status, da vista de frequência ou do mecanismo de atenção porteira resultou em degradação notável do desempenho, confirmando que tanto a representação multivista quanto o mecanismo de porteira são essenciais para detectar ameaças de sinal fraco.
• Eficiência: O estudo constatou que um codificador Transformer compacto de 2 camadas oferece o melhor equilíbrio entre desempenho e uso de memória, pois pilhas mais profundas forneceram ganhos marginais para as sequências típicas de ITD, que são curtas e esparsas.

Significado e Alegações
O artigo argumenta que a detecção robusta de ameaças internas requer a modelagem conjunta de evidências estatísticas e sequenciais. Embora modelos de aprendizado profundo se destaquem no raciocínio semântico, eles frequentemente falham em detectar ameaças que se manifestam como anomalias estatísticas (por exemplo, uma mudança súbita na frequência ou recorrência) em vez de deslocamentos semânticos.

O MV-Gate demonstra que a integração explícita de priores estatísticos — especificamente padrões de recorrência e desvios de frequência — no mecanismo de atenção permite que os modelos detectem ameaças de "sinal fraco" e progressivas que são frequentemente perdidas por abordagens baseadas apenas em tokens. Os autores concluem que essa abordagem fornece uma representação mais confiável de padrões de ameaça interna, particularmente para ataques graduais que evoluem ao longo do tempo, sem incorrer nos altos custos computacionais associados a Modelos de Linguagem de Grande Escala (LLMs). Trabalhos futuros sugeridos pelos autores incluem a fusão de logs multimodais (por exemplo, tráfego de rede com operações de arquivo) e a possível integração de LLMs para interpretação semântica ao lado das evidências estatísticas do MV-Gate.