基于LSTM回归模型的内部威胁检测方法

doi:10.3969/j.issn.1671-1122.2020.09.004

信息网络安全 ›› 2020, Vol. 20 ›› Issue (9): 17-21.doi: 10.3969/j.issn.1671-1122.2020.09.004

基于LSTM回归模型的内部威胁检测方法

黄娜¹^,²(), 何泾沙², 吴亚飚¹, 李建国¹

1. 北京天融信科技有限公司,北京 100085
2. 北京工业大学,北京 100124

收稿日期:2020-07-16 出版日期:2020-09-10 发布日期:2020-10-15
通讯作者: 黄娜 E-mail:huang_na@topsec.com.cn
作者简介:黄娜（1990—）,女,山东,工程师,博士,主要研究方向为机器学习、信息与网络安全|何泾沙（1961—）,男,陕西,教授,博士,主要研究方向为计算机与网络安全、无线传感器网络、数字取证|吴亚飚（1971—）,男,福建,高级工程师,本科,主要研究方向为网络安全|李建国（1964—）,男,山东,高级工程师,硕士,主要研究方向为物联网安全、应用密码学、机器学习与网络安全

Method of Insider Threat Detection Based on LSTM Regression Model

HUANG Na¹^,²(), HE Jingsha², WU Yabiao¹, LI Jianguo¹

1. Beijing TopSec Science & Technology Inc., Beijing 100085, China
2. Beijing University of Technology, Beijing 100124, China

Received:2020-07-16 Online:2020-09-10 Published:2020-10-15
Contact: Na HUANG E-mail:huang_na@topsec.com.cn

摘要/Abstract

摘要：

内部人员发起的恶意行为会对企业造成安全威胁,这一威胁存在界限模糊、样本数据较少等检测难点。文章提出一种 LSTM（Long Short Term Memory）回归模型,通过对时间序列的回归分析,输出对用户行为序列的预测。考虑到不同用户间的差异性,根据用户ID区别学习每个用户的行为模式,使用更新的实时数据持续训练模型,在测试时将预测值与实际值的差异作为异常分数。该方法不仅能够实现对用户行为的预测,还能够依据学习到的正常行为模式检测异常行为,解决内部威胁正例样本不足的问题。

关键词: 内部威胁检测, 用户行为预测, 异常检测

Abstract:

The malicious behavior initiated by internal personnel will cause security threat to the enterprise, and there are difficulties in detection, such as fuzzy boundary, less sample data. This paper proposes an LSTM regression model, which outputs the prediction results of behavior sequence through regression analysis. Considering the otherness of variety users, the model learns the behavior mode of each user according to identify the user ID, and it is trained with updating sequence periodically, and then the difference between the predicted value and the actual value was taken as the abnormal score during test. This method can not only predict the users' behavior in next period, but also detect the abnormal behavior according to the normal behavior pattern learned, solving the problem of insufficient positive samples.

Key words: insider threat, user-behavior prediction, anomaly detection

中图分类号:

TP309

黄娜, 何泾沙, 吴亚飚, 李建国. 基于LSTM回归模型的内部威胁检测方法[J]. 信息网络安全, 2020, 20(9): 17-21.

HUANG Na, HE Jingsha, WU Yabiao, LI Jianguo. Method of Insider Threat Detection Based on LSTM Regression Model[J]. Netinfo Security, 2020, 20(9): 17-21.

图/表 4

参考文献 9

[1]	WANG Zhenhui, WANG Zhenduo, YAO Quanzhu. Insider Threat Detection Technology of Information System[J]. Computer System Applications, 2019,28(12):219-225.
	王振辉, 王振铎, 姚全珠. 信息系统内部威胁检测技术研究[J]. 计算机系统应用, 2019,28(12):219-225.
[2]	WANG Xuebin, TAN Qingfeng, SHI Jinqiao, et al. Insider Threat Detection Using Characterizing User Behavior[C]// IEEE. IEEE Third International Conference on Data Science in Cyberspace (DSC). July 1-21, 2018, Guangzhou China. New York: IEEE, 2018: 476-482.
[3]	GAVAI G, SRICHARM K, GUNNING D, et al. Supervised and Unsupervised Methods to Detect Insider Threat from Enterprise Social and Online Activity Data[J]. Journal of Wireless Mobile Netwroks, Ubiquitous Computing, and Dependable Applications. 2015,6(4):47-63.
[4]	GUO Yuanbo, LIU Chunhui, KONG Jing, et al. Study on User Behavior Profiling in Insider Threat Detection[J]. Journal of Communications, 2018,39(12):141-150.
	郭渊博, 刘春辉, 孔菁, 等. 内部威胁检测中用户行为模式画像方法研究[J]. 通信学报, 2018,39(12):141-150.
[5]	WANG Yifeng, GUO Yuanbo, LI Tao, et al. Method for Insider Threat Detection with Small Samples[J]. Journal of Chinese Computer System, 2019,40(11):2330-2336.
	王一丰, 郭渊博, 李涛, 等. 一种小样本下的内部威胁检测方法研究[J]. 小型微型计算机系统, 2019,40(11):2330-2336.
[6]	LI Haibin, LI Qi, TANG Ruming, et al. User Behavior Anomaly Detection for Database Based on Unsupervised Learning[J]. Journal of Chinese Computer System, 2018,39(11):2464-2472.
	李海斌, 李琦, 汤汝鸣, 等. 一种无监督的数据库用户行为异常检测方法[J]. 小型微型计算机系统, 2018,39(11):2464-2472.
[7]	LIU Yu, LUO Senlin, QU Lewei, et al. Full-features Information Equalization Modeling for insider Threat Detection[J]. Journal of Zhejiang University(Engineering Science), 2019,53(4):777-784.
	刘宇, 罗森林, 曲乐炜, 等. 全特征信息均衡建模的内部威胁人物检测[J]. 浙江大学学报(工学版), 2019,53(4):777-784.
[8]	TUOR A, BAERWOLF R, KNOWLES Nicolas, et al. Recurrent Neural Network Language Models for Open Vocabulary Event-Level Cyber Anomaly Detection[EB/OL]. http://arxiv.org/pdf/1712.00557, 2017:285-293, 2020-5-15.
[9]	MCMAHAN H.Brendan, HOLT Gary, SCULLEY David, et al. Ad Click Prediction: A View From the Trenches[C]// ACM. ACM SIGKDD International Conference on Knowledge Discovery and Data Mining, August 8-10, 2013, Chicago, USA. New York: ACM, 2013: 1222-1230.

[1]	陆佳丽. 基于改进时间序列模型的日志异常检测方法[J]. 信息网络安全, 2020, 20(9): 1-5.
[2]	顾兆军, 任怡彤, 刘春波, 王志. 基于一致性预测算法的内网日志检测模型[J]. 信息网络安全, 2020, 20(3): 45-50.
[3]	王伟, 沈旭东. 基于实例的迁移时间序列异常检测算法研究[J]. 信息网络安全, 2019, 19(3): 11-18.
[4]	杨威超, 郭渊博, 钟雅, 甄帅辉. 基于设备型号分类和BP神经网络的物联网流量异常检测[J]. 信息网络安全, 2019, 19(12): 53-63.
[5]	朱海麒, 姜峰. 人工智能时代面向运维数据的异常检测技术研究与分析[J]. 信息网络安全, 2019, 19(11): 24-35.
[6]	邓海莲, 刘宇靖, 葛一漩, 苏金树. 域间路由异常检测技术研究[J]. 信息网络安全, 2019, 19(11): 63-70.
[7]	李巍, 狄晓晓, 王迪, 李云春. 基于子图的服务器网络行为建模及异常检测方法研究[J]. 信息网络安全, 2018, 18(2): 1-9.
[8]	何利, 姚元辉. 基于上下文聚类的云虚拟机异常检测与识别策略[J]. 信息网络安全, 2018, 18(12): 54-65.
[9]	赵刚, 姚兴仁. 基于用户画像的异常行为检测模型[J]. 信息网络安全, 2017, 17(7): 18-24.
[10]	吴鑫, 严岳松, 刘晓然. 基于改进HMM的程序行为异常检测方法[J]. 信息网络安全, 2016, 16(9): 108-112.
[11]	杨连群, 温晋英, 刘树发, 王峰. 一种改进的图分割算法在用户行为异常检测中的应用[J]. 信息网络安全, 2016, 16(6): 35-40.
[12]	何明亮, 陈泽茂, 左进. 基于多窗口机制的聚类异常检测算法[J]. 信息网络安全, 2016, 16(11): 33-39.
[13]	刘汝隽, 辛阳. 网络安全数据可视分析系统的设计与实现[J]. 信息网络安全, 2016, 16(11): 40-44.
[14]	汤健, 孙春来, 毛克峰, 贾美英. 基于主元分析和互信息维数约简策略的网络入侵异常检测[J]. 信息网络安全, 2015, 15(9): 78-83.
[15]	李凌云, 敖吉, 乔治, 李剑. 基于微博的安全事件实时监测框架研究[J]. 信息网络安全, 2015, 15(1): 16-23.

基于LSTM回归模型的内部威胁检测方法

Method of Insider Threat Detection Based on LSTM Regression Model

RichHTML

PDF (PC)

可视化

摘要/Abstract

引用本文

使用本文

图/表 4

参考文献 9

相关文章 15

编辑推荐

Metrics

本文评价