Den risk som insiderhot innebär har vanligen närmat sig genom att analysera beteendet hos användare enbart i cyberdomänen. I den här artikeln visar vi livskraften av att använda fysiska rörelseloggar, samlas in via ett system för byggnadsåtkomst, tillsammans med en förståelse av utformningen av byggnaden bostäder systemets tillgångar, för att upptäcka skadliga insiderbeteende som manifesterar sig i den fysiska domänen. I synnerhet föreslår vi en systematisk ram som använder kontextuell kunskap om systemet och dess användare, inlärd från historiska data som samlats in från ett byggnadsåtkomstkontrollsystem, för att välja lämpliga modeller för att representera rörelsebeteende. Vi föreslår två olika modeller av rörelsebeteende i denna artikel och utvärdera deras förmåga att representera normal användarrörelse. Därefter utforskar vi onlineanvändningen av de lärda modellerna, tillsammans med kunskap om byggnadens layout som övervakas, för att upptäcka skadliga insiderbeteenden. Slutligen visar vi hur effektivt det utvecklade ramverket är med hjälp av verkliga dataspår från användarrörelser på järnvägsstationer. Tillstånd att göra digitala eller papperskopior av hela eller delar av detta arbete för personligt bruk eller klassrum beviljas utan avgift, förutsatt att kopiorna inte görs eller distribueras för vinst eller kommersiella fördelar och att kopiorna är försedda med detta meddelande och den fullständiga hänvisningen på första sidan. Upphovsrätt till delar av detta verk som ägs av andra än ACM måste hedras. Abstraktering med kredit är tillåten. För att kopiera på annat sätt, eller återpublicera, för att posta på servrar eller för att omfördela till listor, krävs tidigare specifik behörighet och/eller avgift. Begär tillstånd från authoritys@acm.org.  Insiderhot är ett stort problem för alla organisationer, eftersom de är vanliga och kan få allvarliga konsekvenser. Insiderhot är dock svåra att upptäcka, eftersom motståndaren redan har fysisk och it-tillgång till organisationens tillgångar. Många toppmoderna forskningsinsatser [Salem et al. 2008 ] och state-of-the-practice verktyg [Alien Vault 2016; Tripwire 2016] fokuserar på it-aspekten av insiderattacker genom att analysera användarens it-avtryck (t.ex., inloggningar och filåtkomst). Styrkan i en organisations försvarsmekanismer är dock bara lika stark som dess svagaste länk. Genom att inte överväga den fysiska aspekten av användarnas beteende, lämnar en organisation inte bara sig själv oförmögen att upptäcka prekursor fysiskt beteende som kan underlätta framtida cyberattacker men också öppnar sig för mindre tech-savvy attacker, såsom vandalism och stöld [CERT Insider Threat Center 2011]. Fysisk säkerhet spelar således en avgörande roll i en organisations övergripande försvarsställning. Detta gäller särskilt för kritiska infrastruktursystem som kraftnät och transportsystem där en fysisk överträdelse kan få stora effekter i verkligheten. Bygga åtkomstkontroller [Luallen 2011] används ofta för att begränsa de områden som användarna kan komma åt baserat på sin roll i organisationen; de brukar göra det genom en relativt statisk tilldelning av en uppsättning platser till användarens spårningsenhet (t.ex. RFID-tag eller passerkort). När en användare rör sig mellan mellanslag (t.ex. sveper ett kort vid en dörr) loggas information om denna rörelse. Även om kontrollen av byggnadens tillträde begränsar de utrymmen som en användare kan komma åt, är det bara det första steget mot fysisk säkerhet. Liksom andra lösningar för tillträdeskontroll står den inför problemet att vara alltför släpphänt [Bauer et al. År 2009 ]. Att neka tillträde till sällan tillgängliga rum är emellertid en kostsam lösning, eftersom det lägger bördan på administratörerna att bevilja varje begäran om tillträde, vilket kan leda till allvarliga konsekvenser, särskilt i tidskritiska situationer (t.ex. underhåll). Även med en begränsad uppsättning beviljade tillstånd tar de befintliga tillträdeskontrolllösningarna inte hänsyn till en användares tillträde. Således fokuserar vi på att utveckla en mer avancerad beteende-övervakning förmåga som upptäcker avvikelser i en användares rörelse inom en organisations byggnader. I avsnitt 3.5 undersöker vi effekten av att lägga till sådana försvar på en organisations övergripande säkerhetsställning. Resultaten av analysen i det avsnittet indikerar att denna typ av försvar förmåga kommer att öka styrkan i organisationens säkerhet. Som sådan är det en viktig försvarsmekanism som förtjänar mer uppmärksamhet från forskare och säkerhetsutövare. I den här artikeln undersöker vi hur fysiska åtkomstloggar som samlats in från ett järnvägstransiteringssystem kan användas för att utveckla en mer avancerad beteendeövervakningskapacitet för att upptäcka avvikelser i en användares rörelse. I synnerhet syftar vi till att (1) fastställa genomförbarheten av att karakterisera användarnas rörelsebeteende i ett komplext system i verkligheten, (2) att utveckla tekniker som kan tillämpas på detta detektionsproblem, och (3) att identifiera sätt att integrera realtidsdetektering i fysisk säkerhet. Vi tillhandahåller en systematisk strategi för att ta itu med dessa frågor på ett sätt som kan generaliseras till en rad olika system. Vi observerar att eftersom en organisation består av användare som har en rad olika roller, kan rörelsemönster för användare i olika roller variera kraftigt på grund av deras jobbbehov. Istället för att föreslå en enda teknik för att modellera alla användare, konstruerar vi ett metodiskt tillvägagångssätt som väljer lämplig modell baserad på kontexten av den organisatoriska rollen och lär sig den modellen från historiska data. Mer specifikt föreslår vi mätvärden för att avgöra genomförbarheten av att modellera beteendet hos vissa användare i ett system. Vi konstruerar sedan modeller som i kontextuell information om plats, och visar att modellen kan användas på ett online sätt. Vi föreslår två olika modeller och utvärderar deras förmåga att representera normal användarrörelsebeteende genom att jämföra detekteringsfrekvensen i ramverket när det använder dessa modeller. Detta
I efterföljande avsnitt definierar vi formellt denna förbättrade Markov-modell och utvärderar dess förmåga att representera normal användarrörelsebeteende, i jämförelse med Markov-modellen i REF.
Data-driven Model-based Detection of Malicious Insiders via Physical Access Logs
{'venue': 'TOMC', 'journal': None, 'mag_field_of_study': ['Computer Science']}