BERT 마스크 언어 모델을 활용한 내부자 위협행위 탐지
BERT Masked Language Model for Insider Threat Detection
0
조회
0
다운로드
2
인용
0
참고문헌
키워드
초록
팬더믹으로 인한 재택근무의 증가로 내부자 위협에 대한 우려가 증가하고 있다. 기업은 내부자 위협을 감소시키기 위해 다양한 보안솔루션을 구비하지만, 사람의 행동양식을 모두 잡아내기엔 한계가 있다. 이를 해결하고자 딥러닝을 이용한 내부자 위협행위 탐지에 대한 연구가 활발히 이뤄지고 있다. 그러나 내부자 위협행위의 특성상 공격데이터가 매우 희소한 점과, 시간과 행동을 동시에 학습시켜야 하는 점등은 여전히 과제로 남아있다. 본 연구에서는 위 두 가지 한계점을 극복하기 위해 트랜스포머의 양방향 인코더 표현(BERT)의 사전학습 방식인 마스크 언어 모델을 이용한 내부자 위협행위 탐지 모델을 제안한다. 학습에는 CERT 데이터 세트를 사용했으며 커스텀 토크나이저를 사용하여 데이터를 30분 간격으로 행동과 시간을 매핑했다. 이후 마스크 언어 모델에 정상 데이터만 입력하여 특징을 학습시킨 뒤 정상 데이터로부터 도출되는 손실 값의 합을 위협점수로 산정하고 그중 최댓값을 사용자별 탐지기준으로 설정한다. 이후 새로운 데이터를 모델에 넣었을 때 발생하는 위협점수가 탐지기준을 넘을 경우 비정상 행위로 탐지한다. 실험 결과 기존 딥러닝 모델들과 비교했을 때 평소에 발생하지 않던 시간에 행동이 발생한 경우 모델이 민감하게 반응했으며 위협행위의 준비 및 착수가 분리돼있는 시나리오의 경우 시나리오 특성을 고려한 적절한 탐지성능을 보였다. 이로써 기존의 내부자 위협행위 탐지의 한계점이었던 불균형한 데이터세트는 오히려 정상 데이터의 양이 많은 점을 장점으로 활용할 수 있었고 커스텀 토크나이저를 이용하면 기존 LSTM 파생 모델과는 달리 충분히 세밀한 시간데이터도 행동과 매핑하여 학습에 활용할 수 있음을 확인했다.
Abstract
The risk of insider threat is increasing due to the increase in telecommuting because of pandemics. Companies have various security solutions to reduce insider threats, but there is a limit to capturing all human behavior. To solve this problem, studies on the detection of insider threat behavior using deep learning are being actively conducted. However, two problems that attack data is very scarce due to the nature of insider threat behavior, and time and action data must be learned at the same time remain challenges. In this paper, we propose an insider threat behavior detection model using the mask language model, which is a pre-learning method of Bi-directional Encoder Representation of Transformer(BERT). We used a CERT dataset for learning and used a custom tokenizer to map the data to actions and times at 30-minute intervals. The characteristics were learned by inputting only normal data into the mask language model, and the sum of the loss values derived from normal data was calculated as a threat score, and the maximum value was set as a detection boundary for each user. After that, if the threat score that occurs when new data is put into the model exceeds the detection boundary, it was detected as an abnormal behavior. The experimental results showed that compared to existing deep learning models, the model reacted sensitively when the behavior occurred at an unusual time, and in the case of scenarios where preparation and initiation of threat behavior were separated, appropriate detection performance was considered. As a result, the unbalanced dataset which was a challenge of detecting insider threat behavior could use the large amount of normal data as an advantage. And unlike the existing LSTM derivatives, sufficiently detailed time data can be mapped to behavior and used for learning.
참고문헌 (21)
- 2022 Cost of Insider Threats Global Report, "Ponemon Institute", proofpoint, ~ (2022)
- BOK Issue Note Vol, 2022-4 The Spread of Telecommuting after the Pandemic and the Impact of the Economic Buffer, "S. I. Oh", Bank of Korea, ~ (2022)
- Y. S. Lee, "Trends in cyber threat and response technology according to COVID-19 (focusing on security control and infringement response services)", Journal of the Korea Institute of Information Security and Cryptology, 31(5), pp.5~12 (2021)
- I. Garitano, "A review of SCADA anomaly detection systems, In Soft computing models in industrial and environmental applications", 6th international conference SOCO 2011, pp.357~366 (2011)
- 김현주, "BERT 기반 리뷰의 감성정보를 활용한 제품정보 시각화 시스템의 구현", 한국지식정보기술학회 논문지, 17(1), pp.1~10 (2022), 한국지식정보기술학회[DOI]
- 박수연, "앙상블 학습의 부스팅 방법을 이용한 악의적인 내부자 탐지 기법", 정보보호학회논문지, 32(2), pp.267~277 (2022), 한국정보보호학회[DOI]
- P. M. Nasr, "Alarm based anomaly detection of insider attacks in SCADA system", 2014 Smart Grid Conference, pp.1~6 (2014)
- P. Parveen, "Supervised learning for insider threat detection using stream mining", 2011 IEEE 23rd international conference on tools with artificial intelligence, pp.1032~1039 (2011)
- L. Lin, "Insider threat detection based on deep belief network feature representation", 2017International Conference on Green Informatics, pp.54~59 (2017)
- E. J. Candès, "Robust principal component analysis?", Journal of the ACM, 58(3) (2011)
- B. Schölkopf, "Kernel principal component analysis", International conference on artificial neural networks, pp.583~588 (1997)
- M. Dahmane, "Combating insider threats by user profiling from activity logging data", 2018 1st International Conference on Data Intelligence and Security, pp.194~199 (2018)
- Distance measurement methods for improved insider threat detection, "O. Lo", Security and Communication Networks, ~ (2018)
- T. Rashid, "A new take on detecting insider threats:exploring the use of hidden markov models", Proceedings of the 8th ACM CCS International workshop on managing insider security threats, pp.47~56 (2016)
- A. Zimek, "A survey on unsupervised outlier detection in high‐dimensional numerical data", Statistical Analysis and Data Mining: The ASA Data Science Journal, 5(5), pp.363~387 (2012)
- 송한진, "AI의 LSTM기법을 이용한 금융시계열 데이터 변동성 예측방법 연구", 한국지식정보기술학회 논문지, 14(6), pp.665~673 (2019), 한국지식정보기술학회[DOI]
- J. Lu, "Insider threat detection with long short-term memory", Proceedings of the Australasian Computer Science Week Multiconference, pp.1~10 (2019)
- A study on a machine learning model for detecting insider anomaly behaviour, "D. W. Ha", Graduate School of Myongji University, ~ (2018)
- S. Yuan, "Few-shot insider threat detection", Proceedings of the 29th ACM International Conference on Information & Knowledge Management, pp.2289~2292 (2020)
- J. Glasser, "Bridging the gap: a pragmatic approach to generating insider threat data", 2013 IEEE Security and Privacy Workshops, pp.98~104 (2013)