[논문 리뷰] Multi-Axis Trust Modeling for Interpretable Account Hijacking Detection

Mohammad AL-Smadi|arXiv (Cornell University)|2026. 02. 20.

Software System Performance and Reliability인용 수 0

한 줄 요약

이 논문은 UEBA를 위한 Hadith에서 영감을 받은 다축 신뢰 모델을 소개하고, 다섯 가지 신뢰 축을 26개의 해석 가능한 특징으로 매핑하며, 시계열 동역학으로 보강하여 CLUE-LDS에서 거의 완벽에 가까운 탐지 성능과 CERT r6.2에서 강력한 이득을 달성한다.

ABSTRACT

This paper proposes a Hadith-inspired multi-axis trust modeling framework, motivated by a structurally analogous problem in classical Hadith scholarship: assessing the trustworthiness of information sources using interpretable, multidimensional criteria rather than a single anomaly score. We translate five trust axes - long-term integrity (adalah), behavioral precision (dabt), contextual continuity (isnad), cumulative reputation, and anomaly evidence - into a compact set of 26 semantically meaningful behavioral features for user accounts. In addition, we introduce lightweight temporal features that capture short-horizon changes in these trust signals across consecutive activity windows. We evaluate the framework on the CLUE-LDS cloud activity dataset with injected account hijacking scenarios. On 23,094 sliding windows, a Random Forest trained on the trust features achieves near-perfect detection performance, substantially outperforming models based on raw event counts, minimal statistical baselines, and unsupervised anomaly detection. Temporal features provide modest but consistent gains on CLUE-LDS, confirming their compatibility with the static trust representation. To assess robustness under more challenging conditions, we further evaluate the approach on the CERT Insider Threat Test Dataset r6.2, which exhibits extreme class imbalance and sparse malicious behavior. On a 500-user CERT subset, temporal features improve ROC-AUC from 0.776 to 0.844. On a leakage-controlled 4,000-user configuration, temporal modeling yields a substantial and consistent improvement over static trust features alone (ROC-AUC 0.627 to 0.715; PR-AUC 0.072 to 0.264).

연구 동기 및 목표

• Hadith 학문에서 다축 신뢰 개념을 차용하여 해석 가능한 UEBA를 동기를 부여한다.
• 다섯 가지 신뢰 축을 사용자 계정에 대한 간결하고 의미론적으로 의미 있는 26개 특징 표현으로 변환한다.
• 정적 신뢰 특징을 시계열 동역학으로 확장하여 데이터 세트 전반의 강건성을 높인다.
• CLUE-LDS 및 CERT r6.2에서 원시 개수 기반 및 비지도 기준선보다 우수한 탐지 성능을 시현한다.
• 해석 가능성 분석을 제공하고 코드와 특징을 공개적으로 릴리스한다.

제안 방법

• 계정 해킹을 시간 시계열 로그에 대한 이진 윈도우 기반 분류 태스크로 공식화한다.
• ʿadālah(Integrity), ḍabṭ(Precision), isnād(Context), Reputation, Anomaly Evidence에 걸친 26개 특징의 Hadith-inspired 신뢰 특징 집합을 구축한다.
• 연속 윈도우 간 짧은 시점 변화들을 포착하는 8개 시계열 특징으로 보강한다.
• injected hijacks 및 CERT r6.2 데이터 세트를 사용하여 CLUE-LDS에서 감독(랜덤 포레스트) 및 비감독 기준선을 학습·평가한다.
• 축 기여도 및 해석 가능성을 평가하기 위한 특징 중요도 분석을 수행한다.
• 코드와 추출된 특징을 공개적으로 릴리스한다.

실험 결과

연구 질문

• RQ1 다축의 해석 가능한 신뢰 표현이 전통적인 카운트 기반 특징들보다 UEBA 계정 해킹 탐지를 향상시킬 수 있는가?
• RQ2 Hadith에서 영감을 받은 신뢰 축이 CLUE-LDS와 CERT r6.2처럼 신호 강도가 다른 서로 다른 데이터 세트에 일반화되는가?
• RQ3 시계열 신뢰 다이나믹스가 클래스 불균형하에서 탐지 성능과 강건성에 기여하는 바는 무엇인가?
• RQ4 제어된 해킹 시나리오와 현실적인 내부자 위협 설정에서 어떤 축이 가장 정보를 제공하는가?
• RQ5 보안 분석가를 위한 모델 결정의 해석 가능성은 어느 정도인가?

주요 결과

모델	ROC-AUC	PR-AUC	F1	정밀도/재현율
Original Hadith + RF	0.99997	0.99975	0.9948	0.993 / 0.996
Combined (Hadith+Temporal) + RF	0.99996	0.99963	0.9935	0.991 / 0.996
Temporal Only + RF	0.99989	0.99912	0.9869	0.986 / 0.988
Raw Counts + RF	0.98570	0.91691	0.8580	0.789 / 0.940
Isolation Forest	0.49358	0.10753	0.1996	0.111 / 0.990

• Hadith에서 영감을 받은 신뢰 특징이 CLUE-LDS에서 베이스라인을 크게 능가하며, 정적 특징만으로 ROC-AUC ≈ 1.0 및 PR-AUC ≈ 1.0에 도달한다.
• 시계열 특징은 보완 신호를 제공하고 신호가 약하고 불균형한 CERT r6.2에서 뚜렷한 이득을 낸다.
• CLUE-LDS에서 Isnād(IP-연속성) 특징이 정적 축 중요도에서 우위를 차지하며(~70%), 시계열 특징이 총 중요도의 약 31%를 기여한다.
• CERT r6.2에서 시계열 특징의 중요도 비중이 크며(CERT-500에서 38.1%, CERT-4000에서 43.6%), temp_kl_transition이 최상위에 오르는 경우가 많다.
• Hadith+시계열 모델은 대체로 Hadith 단독 및 원시 개수 기준선보다 모든 데이터 세트에서 우수한 성능을 보인다.
• 이 접근 방식은 도전 조건에서도 견고한 성능 개선을 제공하고 분석가가 해석하기 쉬운 해석 가능성을 제시한다.