[论文解读] A systematic literature review on insider threats

Angad Singh, Ankit Sharma|arXiv (Cornell University)|Dec 10, 2022

Information and Cyber Security被引用 6

一句话总结

本篇系统性文献回顾提出了一套全面的内部威胁分类体系，通过按类型、访问级别、动机和攻击方式对内部人员进行分类，同时评估了包括机器学习和行为分析在内的检测技术。该研究识别出检测中的关键挑战，强调了真实世界中的事件案例，并提出了可操作的防御策略，为未来研究和网络安全领域内部威胁的缓解提供了结构化框架。

ABSTRACT

Insider threats is the most concerned cybersecurity problem which is poorly addressed by widely used security solutions. Despite the fact that there have been several scientific publications in this area, but from our innovative study classification and structural taxonomy proposals, we argue to provide the more information about insider threats and defense measures used to counter them. While adopting the current grounded theory method for a thorough literature evaluation, our categorization's goal is to organize knowledge in insider threat research. Along with an analysis of major recent studies on detecting insider threats, the major goal of the study is to develop a classification of current types of insiders, levels of access, motivations behind it, insider profiling, security properties, and methods they use to attack. This includes use of machine learning algorithm, behavior analysis, methods of detection and evaluation. Moreover, actual incidents related to insider attacks have also been analyzed.

研究动机与目标

• 为应对日益严重的内部威胁问题，此类威胁因特权访问和对系统的熟悉程度，比外部威胁更具破坏性且更难检测。
• 系统性分析现有关于内部威胁检测、分类与防御机制的研究，以识别研究空白与机遇。
• 基于类型、动机、访问级别与攻击技术，构建内部威胁的结构化分类体系，以增进理解并提升缓解能力。
• 评估检测方法，包括机器学习与行为分析，并利用真实世界事件数据评估其有效性。
• 为组织提升内部威胁检测与预防能力，提供可操作的建议与未来研究方向。

提出的方法

• 采用扎根理论方法，对截至2020年发表的50项关于内部威胁的主要研究进行系统性文献回顾（SLR）。
• 根据类型（如在职员工、前员工、供应商）、访问级别和动机（如经济利益、报复、疏忽）对内部人员进行分类。
• 评估检测技术，包括机器学习算法、行为建模及基于系统日志与用户活动数据的异常检测。
• 分析真实世界内部攻击事件（如巴克莱银行数据泄露事件），以提取模式并验证检测方法的有效性。
• 评估内部威胁研究中使用的评估指标与数据集，识别其在可复现性与可扩展性方面的局限性。
• 提出一种整合策略执行、多因素认证与持续监控的内部威胁检测结构化框架。

实验结果

研究问题

• RQ1 内部威胁对企业的规模与全球影响如何，特别是在频率上升与财务后果方面？
• RQ2 内部人员常采用哪些技术绕过检测控制措施？这些方法与外部攻击有何不同？
• RQ3 在真实组织环境中，哪些检测与缓解技术最有效于识别和预防内部威胁？
• RQ4 动机与内部人员画像如何影响内部攻击的性质与严重程度？
• RQ5 在开发可靠且误报率低的检测系统方面，面临哪些关键挑战？

主要发现

• 内部威胁显著增加，近年来占数据泄露事件的比例从30%上升至51%，其中前员工与不满员工是主要肇事者。
• 巴克莱银行事件（涉及举报人）导致770万英镑罚款，最高可能需支付5900万英镑赔偿，凸显了内部泄露造成的严重财务与声誉影响。
• 机器学习与行为分析被广泛用于检测，但受限于标注数据不足与高误报率，仍面临挑战。
• 常见缓解策略包括多因素认证、员工背景审查、日志记录监控与政策修订，但许多组织仍忽视主动威胁检测。
• 内部威胁研究中严重缺乏标准化数据集与评估指标，阻碍了检测系统的可复现性与基准测试。
• 未来研究应聚焦于行为建模、理解内部人员动机，并应对数据传输量上升背景下数字边界的防护挑战。