Det hot som skadliga insiders utgör mot organisationer är ett betydande problem. I detta dokument undersöker vi uppgiften att upptäcka sådana insiders genom en ny metod för att modellera en användares normala beteende för att upptäcka avvikelser i det beteende som kan tyda på en attack. Vi använder oss särskilt av dolda Markov-modeller för att lära oss vad som utgör normalt beteende och sedan använda dem för att upptäcka betydande avvikelser från det beteendet. Våra resultat visar att detta tillvägagångssätt verkligen är framgångsrikt när det gäller att upptäcka insiderhot, och att det i synnerhet är möjligt att exakt lära sig en användares beteende. Dessa inledande tester förbättrar befintlig forskning och kan ge ett användbart tillvägagångssätt för att ta itu med denna del av den insiderhotsutmaningen. Insiderhot; Anomaly detektion system; Maskininlärning Organisationella datorsystem hotas alltmer av insiders. Breach Level Index, som spårar offentligt offentliggjorda överträdelser, visar att nästan 40 % av dataintrång tillskrivs skadliga insiders eller oavsiktlig förlust på grund av insiders [6]. Det är uppenbart att insiderhot nu utgör en betydande del av de cyberattacker en organisation utsätts för, även om vi inte tar hänsyn till de orapporterade incidenterna. Dessutom är de ofta den dyraste typen av angrepp [14] på grund av den höga grad av förtroende och tillgång som en insider ges. I takt med att insiderhoten har blivit allt vanligare har det gjorts många framsteg inom både industrin och forskningen för att förebygga och upptäcka angrepp. På programnivå upprätthåller CERT-divisionen vid CMU ett omfattande forskningsdirektiv om insiderhot och betraktas som pionjärer inom området [2]. Ett av de viktigaste verktygen som används för att utforska insiderhot av CERT är System Dynamics diagram, som hjälper till att definiera relationer mellan olika prekursorer och faktorer som tyder på en attack. Istället för sepaFörpliktelse att göra digitala eller hårda kopior av hela eller delar av detta verk för personligt bruk eller klassrum beviljas utan avgift under förutsättning att kopior inte görs eller distribueras för vinst eller kommersiell fördel och att kopior är försedda med detta meddelande och den fullständiga hänvisningen på första sidan. Upphovsrätt till delar av detta verk som ägs av andra än ACM måste hedras. Abstraktering med kredit är tillåten. För att kopiera på annat sätt, eller återpublicera, för att posta på servrar eller för att omfördela till listor, krävs tidigare specifik behörighet och/eller avgift. Begär tillstånd från authoritys@acm.org. Gradvis modellering av olika typer av insiderangrepp som görs i CERT-modellerna, en enhetlig ram för att karakterisera insiderattacker har presenterats i [11]. Ramen är särskilt kraftfull för att analysera fall, för att förstå beteenden som kan leda till en attack, orsakerna till en attack, de typer av attacker som kan inledas, och viktigast av allt, för att jämföra dessa uppgifter mellan andra fall. USA:s Department of Homeland Security publicerade en rapport 2014: "Combating the Insider Threat" [4]. Rapporten handlar främst om beteendeaspekterna av insiderhotet och hur vissa egenskaper kan tyda på en ökad sannolikhet för ett hot. Författarna föreslår att en av de bästa förebyggande åtgärderna är att utbilda individer att rapportera vissa beteenden som de observerar hos sina kamrater. Dessa "Karakteristik av Insiders som riskerar att bli ett hot" är vaga (Etisk flexibilitet, Introversion, etc.) och kan ofta vara svårt att kvantifiera. I rapporten ger de också en kort lista över beteendeindikatorer som kan signalera ett insiderhot, t.ex. "Remotely accesss the network under semestern, sjuk eller vid udda tider", som är lättare att observera. Understryka alla dessa råd är begreppet en baslinje för normalt beteende, vilket är en förutsättning för att försöka observera signifikanta avvikelser av ett visst beteende. Maskininlärningsbaserade metoder har varit centrala för arbetet med att upptäcka insiderhot. Åtgärder som en anställd tar över en tidsperiod på ett system (t.ex. inloggning/avgång, filåtkomst etc.) kan modelleras som en sekvens. De sekvenser som ses ofta eller på en vanlig basis, kan då betraktas som användarens normala beteende. Observerade åtgärder som inte liknar dessa normala sekvenser kan betraktas som avvikande beteende, som då kan tyda på ett potentiellt insiderhot eller åtminstone en händelse som ska undersökas. Detta är det tillvägagångssätt som föreslogs av Parveen och Thuraisingham [13]. De utvidgar detta resonemang och inför "koncept-drift", vilket är den gradvisa förändringen av en användares handlingar över tiden. De postulerar att detta mer exakt detekterar avvikande beteende, eftersom en användares handlingar ofta förändras över tiden (på grund av ökande skicklighet eller ansvar), och dessa förändringar skulle betraktas som onormala i en modell som inte förklarar avdriften. Detta är ett förnuftigt antagande att göra eftersom det strikt generaliserar det statiska beteendet och även introducerar den flexibilitet och anpassningsförmåga som förväntas av maskininlärning. Förutom att använda data som samlats in om en användares åtgärder tyder litteraturen om hur insiderhotet karakteriseras på att beteende- och personlighetsegenskaper är lika viktiga (om inte fler). Brdiczka m.fl. [1], kombinera strukturella 47
Arbetet med REF tillämpar en annan välkänd maskininlärningsteknik, dolda Markov-modeller, för att upptäcka insiderhot.
A New Take on Detecting Insider Threats: Exploring the Use of Hidden Markov Models
{'venue': "MIST '16", 'journal': None, 'mag_field_of_study': ['Computer Science']}