МЕТОД ПІДВИЩЕННЯ ЕФЕКТИВНОСТІ ДЕТЕКТУВАННЯ ІНСАЙДЕРСЬКИХ ЗАГРОЗ ІЗ ЗАСТОСУВАННЯМ GAN-АУГМЕНТАЦІЇ

Анотація

У сучасних корпоративних інформаційних системах значну частку інцидентів інформаційної безпеки становлять інсайдерські загрози, що породжує нові вимоги до систем моніторингу та аналізу подій безпеки. На відміну від зовнішніх атак, інсайдерська активність маскується під звичайну роботу легітимних користувачів, а тому важко описується за допомогою класичних сигнатурних або периметрових механізмів захисту. Додатковою складністю є крайній дисбаланс класів у журналах подій. Кількість записів про типову щоденну  активність у тисячі разів перевищує число зафіксованих інцидентів, що призводить до деградації якості роботи стандартних алгоритмів машинного навчання. У статті розроблений підхід до підвищення ефективності детектування інсайдерських загроз шляхом аугментації даних із використанням генеративно-змагальних мереж, зокрема архітектури Conditional Tabular GAN (CTGAN).

Запропоновано процес підготовки поведінкових логів, який передбачає агрегацію багатоканальних подій до рівня "користувач–день", побудову вектору динамічних поведінкових ознак та статичного контексту, логарифмічну нормалізацію ознак із "важкими хвостами" та масштабування до діапазону [–1; 1], що забезпечує стабільне навчання генеративної моделі. CTGAN налаштовується на моделювання умовного розподілу табличних даних міноритарного класу (інсайдерських атак) з урахуванням контексту ролі користувача та підрозділу. Для кожної неперервної ознаки застосовується спеціалізована нормалізація, яка дозволяє коректно відтворювати мультимодальні розподіли, а для дискретних змінних – техніка Gumbel-Softmax, що робить можливим навчання за методом зворотного поширення похибки. Запропонований метод є перспективним для інтеграції до систем класу SIEM/UEBA та подальшого поєднання з методами пояснюваного штучного інтелекту.