[論文レビュー] Deep Learning for Insider Threat Detection: Review, Challenges and Opportunities

Shuhan Yuan, Xintao Wu|arXiv (Cornell University)|May 25, 2020

Network Security and Intrusion Detection参考文献 82被引用数 19

ひとこと要約

この論文は、深層学習を用いた内部不正検出の応用をレビューし、RNN、GNN、CNN などのモデルが、複雑な行動パターンをエンドツーエンドで学習することで、従来の機械学習を上回る検出性能を実現することを強調している。性能向上にもかかわらず、データ不足や適応的攻撃の課題が性能を制限しており、解釈可能なAI、強化学習、累積再現率（CR-k）のようなより良い評価指標の導入が求められている。

ABSTRACT

Insider threats, as one type of the most challenging threats in cyberspace, usually cause significant loss to organizations. While the problem of insider threat detection has been studied for a long time in both security and data mining communities, the traditional machine learning based detection approaches, which heavily rely on feature engineering, are hard to accurately capture the behavior difference between insiders and normal users due to various challenges related to the characteristics of underlying data, such as high-dimensionality, complexity, heterogeneity, sparsity, lack of labeled insider threats, and the subtle and adaptive nature of insider threats. Advanced deep learning techniques provide a new paradigm to learn end-to-end models from complex data. In this brief survey, we first introduce one commonly-used dataset for insider threat detection and review the recent literature about deep learning for such research. The existing studies show that compared with traditional machine learning algorithms, deep learning models can improve the performance of insider threat detection. However, applying deep learning to further advance the insider threat detection task still faces several limitations, such as lack of labeled data, adaptive attacks. We then discuss such challenges and suggest future research directions that have the potential to address challenges and further boost the performance of deep learning for insider threat detection.

研究の動機と目的

• 実世界のデータセットと深層アーキテクチャを用いて、深層学習による内部不正検出分野における最近の進展を調査すること。
• データのスパarsity、標本化された脅威の不足、適応的攻撃といった、深層学習を内部不正検出に適用する際の主な課題を特定すること。
• 解釈可能なAI、深層強化学習、改善された評価指標といった今後の研究方向性を提案すること。
• 深層学習を対象とした包括的なレビューが、特に内部不正検出分野において不足しているというギャップを埋めること。
• 内部不正検出の高リスク・低頻度性に適合した、より良いテストベッドと指標の導入を提唱すること。

提案手法

• 監査データを用いて内部不正検出に応用された、特にRNN、CNN、GNN、自己符号化器の深層学習モデルに関する最近の文献を調査すること。
• CERTデータセットを内部不正検出研究の標準ベンチマークとして分析し、その合成的かつ単純化された性質に注目すること。
• 環境との相互作用を通じて最適な検出ポリシーを学習するフレームワークとして、深層強化学習を提案し、報酬関数の推定に逆強化学習（inverse RL）を活用する可能性を示唆すること。
• 解釈可能なAI技術、特に対向説明（counterfactual explanations）を統合し、モデルの解釈性を向上させるとともに、悪意ある行動シーケンスの微細な検出を可能にすること。
• CR-kという、複数の検出予算を統合して性能を要約する再現率ベースの指標を用いて、モデルの評価を行うこと。これは、実世界の運用制約を反映するものである。
• メタラーニングと模倣学習を深層強化学習と統合し、低ショットの内部不正検出シナリオにおけるデータ不足を緩和すること。

実験結果

リサーチクエスチョン

• RQ1 深層学習モデルは、異なるデータモダリティにおいて、従来の機械学習と比較して、内部不正検出においてどのように性能を発揮するか？
• RQ2 特にデータ不足と適応的攻撃行動の観点から、深層学習を内部不正検出に適用する際の主な課題は何か？
• RQ3 深層強化学習は内部不正検出に効果的に応用可能か？また、適切な報酬関数の設計における障壁は何か？
• RQ4 解釈可能なAI技術は、高リスクな内部不正検出における深層学習モデルの信頼性と正確性をどのように向上させられるか？
• RQ5 内部不正検出に最も適した評価指標は何か？また、CR-kのような新規指標は、運用上のパフォーマンスをどのようによりよく反映できるか？

主な発見

• RNN や GNN などの深層学習モデルは、生のまたは最小限に処理されたユーザ行動データから階層的表現を自動で学習することで、従来の機械学習を上回る性能を発揮する。
• 性能向上にもかかわらず、内部不正検出のための深層学習モデルは、特にまれな悪意あるイベントに対してラベル付きデータが限られているため、学習と一般化に支障をきたす。
• 内部不正者が検出を回避するために行動を変更する適応的攻撃は、現在のモデルが進化する脅威パターンに対して一般化できないことから、大きな課題である。
• 累積再現率（CR-k）という指標が、標準的なF1やAUCよりも実用的であると提唱されており、これは検出予算の制約を反映し、再現率を精度よりも優先する点で優れている。
• 特に対向説明を用いた解釈可能なAIは、悪意ある予測を引き起こす特定の行動パターンを同定できる可能性を示しており、微細な脅威分析を可能にする。
• 今後の研究では、低データ環境における依存性の低減と耐性の向上を目的として、メタラーニングと模倣学習を深層強化学習と統合することを重点的に進めるべきである。