[论文解读] Robust Keystroke Biometric Anomaly Detection

John V. Monaco|arXiv (Cornell University)|Jun 29, 2016

User Authentication and Security Systems参考文献 17被引用 21

一句话总结

本文提出了一种鲁棒的敲击生物识别异常检测系统，通过敲击对齐和个性化评分归一化，处理现实世界数据中长度可变、不匹配的打字序列。尽管使用的是简单特征，曼哈顿距离在15套系统中实现了最低的等错误率（5.32%），性能提升主要源于预处理和归一化，而非复杂模型。

ABSTRACT

The Keystroke Biometrics Ongoing Competition (KBOC) presented an anomaly detection challenge with a public keystroke dataset containing a large number of subjects and real-world aspects. Over 300 subjects typed case-insensitive repetitions of their first and last name, and as a result, keystroke sequences could vary in length and order depending on the usage of modifier keys. To deal with this, a keystroke alignment preprocessing algorithm was developed to establish a semantic correspondence between keystrokes in mismatched sequences. The method is robust in the sense that query keystroke sequences need only approximately match a target sequence, and alignment is agnostic to the particular anomaly detector used. This paper describes the fifteen best-performing anomaly detection systems submitted to the KBOC, which ranged from auto-encoding neural networks to ensemble methods. Manhattan distance achieved the lowest equal error rate of 5.32%, while all fifteen systems performed better than any other submission. Performance gains are shown to be due in large part not to the particular anomaly detector, but to preprocessing and score normalization techniques.

研究动机与目标

• 为解决现实世界生物识别数据中，因用户输入其唯一名和姓氏而导致的长度可变、不匹配的敲击序列问题。
• 开发一种预处理流程，使标准的固定文本技术能够应用于模板序列与查询序列之间的近似匹配。
• 通过针对个体的特征和评分归一化，提升异常检测性能，该方法对异常值和少量训练样本具有鲁棒性。
• 在缺乏实际负样本训练数据的一类学习设置下，评估从自编码器到曼哈顿距离等多种异常检测器。
• 证明性能提升主要源于对齐和归一化，而非异常检测器的选择。

提出的方法

• 一种敲击对齐算法能够在由修饰键引起的插入、删除、替换和置换影响下，建立查询序列与模板序列之间的语义对应关系。
• 特征提取从对齐序列中提取时间特征（如击键间隔时间），并使用个体特定的最小/最大值或标准差边界进行归一化。
• 异常检测通过多种模型（包括曼哈顿距离、自编码器和集成方法）执行，所有模型均基于有限的模板样本进行训练。
• 使用个体特定的最小/最大值或基于标准差的缩放对评分进行归一化，以稳定评分分布并提升泛化能力。
• 系统流程整合了对齐、特征归一化、异常评分和评分归一化，所有组件均与异常检测器的选择无关。
• 通过保留不匹配序列而非丢弃或截断，最大化可用数据量，降低漏捕获率。

实验结果

研究问题

• RQ1 如何对由于修饰键使用导致长度和顺序可变的敲击序列进行对齐，以实现有效的异常检测？
• RQ2 在低数据量、一类学习设置下，特征和评分归一化技术在多大程度上提升了异常检测性能？
• RQ3 当应用鲁棒预处理时，简单的异常检测器（如曼哈顿距离）是否能优于复杂模型？
• RQ4 异常检测系统在模板和查询数据采集时间间隔较长时，性能如何变化？
• RQ5 对齐和归一化与异常检测器选择相比，对整体系统性能的相对贡献是什么？

主要发现

• 曼哈顿距离在全部15套系统中实现了最低的等错误率（5.32%），优于更复杂的模型（如自编码器和集成方法）。
• 表现最佳的系统（系统6）在时间上表现出极小的性能退化，模板采集后2个月与4个月测试时，等错误率仅增加0.01%。
• 性能提升主要归因于敲击对齐和评分归一化，而非异常检测器的选择，所有模型均表现出一致的性能提升。
• 基于标准差边界的评分归一化比基于最小/最大值的归一化更具鲁棒性，后者对极端值敏感。
• 全部15套顶级系统均实现了低于其他任何提交的等错误率，表明在多样化模型和预处理策略下具有强大的泛化能力。
• 系统在长时间间隔内保持鲁棒，表明敲击特征轮廓能快速稳定，并对时间变化具有抗性。