[论文解读] Multi-class Classification Based Anomaly Detection of Insider Activities

R G Gayathri, Atul Sajjanhar+2 more|arXiv (Cornell University)|Feb 15, 2021

Network Security and Intrusion Detection参考文献 15被引用 7

一句话总结

该论文提出了一种结合条件生成对抗网络（CGAN）与监督深度学习的多类别异常检测框架，以解决数据不平衡问题。通过生成少数类样本，该方法提升了在不平衡内部威胁活动数据上的分类性能，在基准数据集上的表现优于现有方法。

ABSTRACT

Insider threats are the cyber attacks from within the trusted entities of an organization. Lack of real-world data and issue of data imbalance leave insider threat analysis an understudied research area. To mitigate the effect of skewed class distribution and prove the potential of multinomial classification algorithms for insider threat detection, we propose an approach that combines generative model with supervised learning to perform multi-class classification using deep learning. The generative adversarial network (GAN) based insider detection model introduces Conditional Generative Adversarial Network (CGAN) to enrich minority class samples to provide data for multi-class anomaly detection. The comprehensive experiments performed on the benchmark dataset demonstrates the effectiveness of introducing GAN derived synthetic data and the capability of multi-class anomaly detection in insider activity analysis. Moreover, the method is compared with other existing methods against different parameters and performance metrics.

研究动机与目标

• 解决由于真实世界标注数据稀缺导致的内部威胁检测中的数据不平衡问题。
• 探索多类别分类相较于二元分类在检测多样化内部攻击模式方面的潜力。
• 开发一种利用生成建模技术扩充少数类内部威胁的深度学习框架。
• 评估CGAN生成的合成数据在提升异常检测性能方面的有效性。
• 通过多种指标和参数对比所提出方法与现有最先进方法的性能。

提出的方法

• 使用条件生成对抗网络（CGAN）为代表性不足的内部威胁类别生成合成样本。
• 利用生成的合成数据训练深度神经网络，实现对内部活动的多类别分类。
• 通过类别标签对生成器进行条件控制，确保合成样本与特定内部威胁类型一致。
• 训练判别器以区分真实与合成的内部活动样本，从而提升数据质量和分布。
• 在增强的数据集上应用监督学习，将内部活动分类为多个威胁类别。
• 在基准数据集上使用标准深度学习损失函数和评估指标优化模型。

实验结果

研究问题

• RQ1 CGAN生成的合成数据能否有效缓解内部威胁检测中的类别不平衡问题？
• RQ2 多类别分类在检测多样化内部威胁方面与二元分类相比表现如何？
• RQ3 生成建模的集成在提升不平衡内部活动数据检测性能方面能达到何种程度？
• RQ4 所提出方法在不同评估指标下相对于现有最先进方法的表现如何？
• RQ5 超参数的调整对模型分类准确率和异常检测能力有何影响？

主要发现

• 通过利用CGAN生成的合成数据，所提出方法显著提升了对少数类内部威胁类别的检测性能。
• 多类别分类在捕捉多样化内部威胁模式方面优于二元分类。
• 与基线模型相比，CGAN生成数据的集成使F1值和AUC值更高。
• 该模型在多种性能指标（包括精确率、召回率和F1值）下均表现出鲁棒性。
• 全面实验验证了该方法在基准内部威胁数据集上的有效性。
• 在不同参数设置下，该方法相对于现有技术表现出持续的性能提升。