Samarbetande informationssystem (CIS) gör det möjligt för användare att effektivt samordna gemensamma uppgifter i komplexa distribuerade miljöer. För flexibilitet ger de användarna breda tillträdesprivilegier som, som en bieffekt, gör sådana system sårbara för olika attacker. Vissa av de mer skadliga skadliga aktiviteter härrör från internt missbruk, där användare har tillstånd att få tillgång till systemresurser. En lovande klass av insider hot detektion modeller för CIS fokuserar på gruvaccess mönster från revision loggar, dock, nuvarande modeller är begränsade i att de antar organisationer har betydande resurser för att generera etikett fall för utbildning klassificerare eller anta att användaren har begått ett stort antal åtgärder som avviker från "normala" beteende. I stället för de tidigare antagandena introducerar vi ett tillvägagångssätt som upptäcker när specifika åtgärder av en insider avviker från förväntningarna i samband med samverkan beteende. I det här dokumentet introducerar vi en specialiserad modell för upptäckt av anomalier i nätverket, eller SNAD, för att upptäcka sådana händelser. I detta tillvägagångssätt bedöms i vilken utsträckning en användare påverkar likheten mellan den grupp användare som har tillgång till ett visst register i OSS. Ur ett teoretiskt perspektiv visar vi att den föreslagna modellen är lämplig för att upptäcka insideråtgärder i dynamiska samarbetssystem. Ur ett empiriskt perspektiv gör vi en omfattande utvärdering av SNAD med åtkomstloggar från två olika miljöer: patientjournalåtkomst loggar ett stort elektroniskt patientjournalsystem (6 015 användare, 130 457 patienter och 1 327 500 åtkomster) och redigeringsloggar från Wikipedia (2 394 385 revisorer, 55 200 artiklar och 6482 780 revideringar). Vi jämför vår modell med flera konkurrerande metoder och visar att SNAD är betydligt effektivare: i genomsnitt uppnår den 20-30% större yta under en ROC-kurva.
Den modell för identifiering av specifika nätverksanomalier (SNAD) som föreslås av REF är en grafbaserad metod som används för att upptäcka insideråtgärder i samverkande informationssystem.
Specializing network analysis to detect anomalous insider actions
{'venue': 'Security Informatics', 'journal': 'Security Informatics', 'mag_field_of_study': ['Medicine', 'Computer Science']}