[论文解读] Diversifying Database Activity Monitoring with Bandits

Hagit Grushka-Cohen, Ofer Biller+3 more|arXiv (Cornell University)|Oct 23, 2019

Data Stream Mining Techniques参考文献 22被引用 4

一句话总结

本文提出一种基于Bandit的采样策略C–ε–Greedy，通过平衡低风险用户的探索与高风险用户的利用，实现数据库活动监控（DAM）的多样化。通过将采样建模为预算约束动态多臂老虎机（BCD-MAB）问题，该方法在提升覆盖率和异常检测召回率方面优于专家知识和基线策略。

ABSTRACT

Database activity monitoring (DAM) systems are commonly used by organizations to protect the organizational data, knowledge and intellectual properties. In order to protect organizations database DAM systems have two main roles, monitoring (documenting activity) and alerting to anomalous activity. Due to high-velocity streams and operating costs, such systems are restricted to examining only a sample of the activity. Current solutions use policies, manually crafted by experts, to decide which transactions to monitor and log. This limits the diversity of the data collected. Bandit algorithms, which use reward functions as the basis for optimization while adding diversity to the recommended set, have gained increased attention in recommendation systems for improving diversity. In this work, we redefine the data sampling problem as a special case of the multi-armed bandit (MAB) problem and present a novel algorithm, which combines expert knowledge with random exploration. We analyze the effect of diversity on coverage and downstream event detection tasks using a simulated dataset. In doing so, we find that adding diversity to the sampling using the bandit-based approach works well for this task and maximizing population coverage without decreasing the quality in terms of issuing alerts about events.

研究动机与目标

• 解决静态专家手工制定策略在数据库活动监控（DAM）中的局限性，此类策略限制了多样性与风险覆盖范围。
• 缓解DAM系统中的‘过滤气泡’效应，即仅监控高风险或熟悉用户，导致未能察觉概念漂移。
• 通过战略性采样多样性，确保更广泛的用户覆盖，从而提升下游异常检测性能。
• 在低风险用户探索与高风险用户利用之间实现平衡，避免审计日志中的偏差。
• 提出一种新颖且可实现的算法，将专家知识与随机探索整合于动态风险环境中。

提出的方法

• 将数据库活动采样重新建模为预算约束动态多臂老虎机（BCD-MAB）问题，其中每个用户被视为一个具有时变风险收益的臂。
• 提出C–ε–Greedy，一种ε–Greedy的变体，将采样容量在每个时间帧划分为探索（ε）与利用（1–ε）。
• 使用风险评分作为奖励函数，随用户行为因角色变更或系统被攻破而动态更新。
• 将该算法应用于模拟数据库活动数据流，采样容量在每个时间帧受限于固定用户数量。
• 采用基于真实世界用户行为模式的模拟数据集，评估覆盖率与异常检测性能。
• 通过初始化时引入SO知识，整合人类专家经验，避免冷启动问题，同时实现动态适应。

实验结果

研究问题

• RQ1 基于Bandit的方法是否能在不牺牲高风险事件检测的前提下，提升数据库活动监控的多样性？
• RQ2 探索与利用之间的平衡如何影响用户群体覆盖率及下游异常检测性能？
• RQ3 能否在动态风险环境适应用户风险特征变化的动态采样策略，优于静态专家策略？
• RQ4 在奖励与召回方面，探索（多样性）与利用（风险检测）之间的最优权衡是什么？
• RQ5 结合专家知识与随机探索的方法，是否能优于完全随机或基于Oracle的策略？

主要发现

• C–ε–Greedy在20%探索率（ε = 0.8）下，相比50%探索率的Oracle知识策略，收集高风险活动的奖励提高了20%。
• 随机采样实现了最高的异常召回率（88%），但奖励最低，表明无方向探索的代价高昂。
• SO知识策略仅检测到8.5%的异常，因其仅监控10%的用户，凸显静态策略的危险性。
• 按风险比例采样（Gibbs-by-risk）的异常召回率为56%，显著低于C–ε–Greedy的67–83%，表明风险比例采样存在局限性。
• 在20%探索率下，C–ε–Greedy在250个时间帧内实现全用户覆盖（每位用户采样两次），优于纯随机与Gibbs方法。
• 该算法对初始化质量不敏感，能够检测在初始监控后变为高风险的用户，而静态策略则无法做到。