Analys av en organisations datornätverk aktivitet är en viktig komponent i tidig upptäckt och begränsning av insiderhot, en växande oro för många organisationer. Råa systemloggar är ett prototypiskt exempel på strömmande data som snabbt kan skala bortom den kognitiva kraften hos en mänsklig analytiker. Som ett prospektivt filter för den mänskliga analytikern presenterar vi en online oövervakad djupinlärningsmetod för att upptäcka onormal nätverksaktivitet från systemloggar i realtid. Våra modeller bryter ner anomalipoäng i bidragen från enskilda användares beteendefunktioner för ökad tolkningsbarhet för att hjälpa analytiker att granska potentiella fall av insiderhot. Med hjälp av Cert Insider Threat Dataset v6.2 och hotdetektionsåterkallelse som vårt prestandamått överträffar våra nya djupa och återkommande neurala nätverksmodeller Principal Component Analysis, Support Vector Machine och Isolation Forest-baserade baslinjer för anomalidetektering. För vår bästa modell, de händelser som betecknas som insiderhot aktivitet i vår datauppsättning hade en genomsnittlig anomali poäng i 95.53 percentilen, visar vår strategis potential att kraftigt minska analytiker arbetsbelastningen.
Upphovsmän i REF använde i realtid oövervakade Deep Neural Networks (DNN) & Recurrent Neural Networks (RNNs) med Tenserflow.
Deep Learning for Unsupervised Insider Threat Detection in Structured Cybersecurity Data Streams
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science', 'Mathematics']}