ANOMALY DETECTION IN ACTIVE DIRECTORY FOR APT ATTACK DETECTION: METHODS, EFFECTIVENESS, AND LIMITATIONS

Abstract

The article presents an overview, analysis and comparison of machine learning methods for detecting threats in the Active Directory environment. Since modern attack methods are increasingly better at bypassing traditional protection tools and better at mimicking legitimate activity, anomaly detection was chosen as the method for detecting threats. 4 types of algorithms were selected for the study: cluster, classifier, neural network and graph-based algorithms. The experiment was conducted on the example of a virtual environment that simulated Active Directory. The machine learning model was trained on the typical operation of the simulated environment. Attacks, for testing, were simulated in the same environment simultaneously with the reproduction of average statistical activity, to reflect conditions closer to real ones. The study showed that each algorithm has its advantages and disadvantages and that there is no reliable solution capable of fully detecting all threats. Thus, LSTMs were the best at detecting anomalies in user behavior, Autoencoders were the best at detecting anomalies in the command line, and the graph-based algorithm was the best at detecting anomalies in network traffic. At the same time, the results highlight the limitations of classification algorithms in scenarios with high variability of cases, as well as the limitations in the ability to detect unknown and legitimate activity-mimicking threats for classification algorithms. The results of the study confirm the need to build comprehensive information protection systems based on the principles of defense-in-depth, combining all the strengths of different methods for effective threat detection. In addition, it emphasizes that the practical value of these models is maximized when they are used to improve the capabilities of existing security platforms.

У статті представлено огляд, аналіз та порівняння методів машинного навчання для виявлення загроз в середовищі Active Directory. Оскільки сучасні методи атак все краще обходять традиційні інструменти захисту і все краще мімікрують під легітимну активність, способом виявлення загроз було обрано виявлення аномалій. Для дослідження було обрано 4 типу алгоритмів: кластерні, класифікатори, нейронні мережі та алгоритми на основі графів. Експеримент проводився на прикладі віртуального середовища яке симулювало Active Directory. Модель машинного навчання навчались на типовій роботі симульованого середовища. Атаки, для тестування, симулювались в тому ж середовищі одночасно з відтворенням середньостатистичної активності, для відображення умов ближчих до реальних.

Дослідження показало, що кожен алгоритм має свої переваги та недоліки і що не існує надійного ріщення, здатного повноцінно здатного виявляти усі загрози. Так LSTM виявились найкращими в виявлення аномалій в поведінці користувачів, Autoencoders показали себе найкраще у виявленні аномалій в командному рядку, а алгоритм на основі графів  був найкращим в виявленні аномалій а мережевому трафіку. Одночасно з цим результати висвітлюють обмеження класнерних алгоритмів в сценаріях з високою варіантивністю випадків, а також обмеження в можливості виявлення невідомих та мімікруючих під легітимну активність загроз для алгоритмів класифікації.