Εντοπισμός κακόβουλης συμπεριφοράς χρηστών εντός και μεταξύ των εφαρμογών

Ιστορικά, οι επιχειρηματικοί οργανισμοί δεν έχουν παρακολουθήσει επαρκώς τις δραστηριότητες των εργαζομένων τους εντός των εσωτερικών επιχειρηματικών εφαρμογών. Στην ουσία (και στα τυφλά) εμπιστεύονταν τους υπαλλήλους τους. Αυτή η εμπιστοσύνη έχει δυστυχώς προκαλέσει σοβαρή επιχειρηματική ζημιά λόγω των ενεργειών ορισμένων κακόβουλων μυστικών.

Η παρακολούθηση είναι δύσκολη όταν οι υπάρχουσες λύσεις για τον εντοπισμό κακόβουλων δραστηριοτήτων σε επιχειρηματικές εφαρμογές βασίζονται κυρίως σε κανόνες που πρέπει να γράφονται και να διατηρούνται ξεχωριστά για κάθε εφαρμογή. Αυτό συμβαίνει επειδή κάθε εφαρμογή έχει ένα προσαρμοσμένο σύνολο δραστηριοτήτων και μορφών αρχείων καταγραφής. Οι λύσεις ανίχνευσης που βασίζονται σε κανόνες παράγουν επίσης πολλά ψευδώς θετικά (δηλαδή, ψευδείς ειδοποιήσεις) και ψευδώς αρνητικά (δηλαδή, οι κακόβουλες δραστηριότητες δεν εντοπίζονται).

Η ανίχνευση πρέπει να είναι αγνωστική ως προς το νόημα των δραστηριοτήτων μιας εφαρμογής, ώστε να μπορεί να εφαρμοστεί σε οποιαδήποτε επιχειρηματική εφαρμογή.

Η λύση σε αυτή την πρόκληση βρίσκεται στην ανάλυση αλληλουχιών δραστηριοτήτων αντί να αναλύουμε κάθε δραστηριότητα μόνη της. Αυτό σημαίνει ότι θα πρέπει να αναλύουμε τις διαδρομές των χρηστών (δηλαδή, τις περιόδους σύνδεσης) για να παρακολουθούμε τους πιστοποιημένους χρήστες σε επιχειρηματικές εφαρμογές. ΕΝΑ μηχανή ανίχνευσης μαθαίνει όλα τα τυπικά ταξίδια για κάθε χρήστη ή κοόρτη και τα χρησιμοποιεί για να εντοπίσει ένα ταξίδι που αποκλίνει από τα τυπικά ταξίδια.

Οι δύο κύριες προκλήσεις που πρέπει να αντιμετωπίσει ένας κινητήρας ανίχνευσης είναι:

1. Κάθε εφαρμογή έχει διαφορετικό σύνολο δραστηριοτήτων και μορφή αρχείου καταγραφής.
2. Πρέπει να μάθουμε με ακρίβεια τις τυπικές διαδρομές των χρηστών σε κάθε εφαρμογή και σε όλες τις εφαρμογές.

Τυποποίηση του Μοντέλου Ανίχνευσης

Για να εφαρμόσουμε ένα μοντέλο ανίχνευσης σε οποιοδήποτε αρχείο καταγραφής επιπέδου εφαρμογής, μπορούμε να εξαγάγουμε από κάθε διαδρομή τα ακόλουθα τρία χαρακτηριστικά που βασίζονται σε ακολουθία (δηλαδή, χαρακτηριστικά):

1. Το σύνολο των δραστηριοτήτων, καθεμία από τις οποίες σημειώνεται με αριθμητικούς κωδικούς.
2. Η σειρά με την οποία πραγματοποιήθηκαν οι δραστηριότητες στη συνεδρία.
3. Χρονικά διαστήματα μεταξύ των δραστηριοτήτων κατά τη διάρκεια της συνεδρίας.

Αυτά τα τρία χαρακτηριστικά μπορούν να εφαρμοστούν σε κάθε συνεδρία εφαρμογής, ακόμη και σε περιόδους σύνδεσης σε όλες τις εφαρμογές.

Το παρακάτω σχήμα απεικονίζει τα τρία χαρακτηριστικά μιας διαδρομής χρήστη που βασίζεται σε πέντε δραστηριότητες, καθεμία από τις οποίες συμβολίζεται με έναν αριθμό, καθώς η δραστηριότητα είναι ένας αριθμητικός κώδικας από την οπτική γωνία του μοντέλου.

Εκμάθηση τυπικών ταξιδιών χρηστών σε εφαρμογές

Όπως εξηγήθηκε παραπάνω, η ανίχνευση μη φυσιολογικών ταξιδιών βασίζεται στη μάθηση όλοι τυπικά ταξίδια χρηστών. Η τεχνολογία ομαδοποίησης ομαδοποιεί παρόμοια σημεία δεδομένων για να μάθει αυτές τις διαδρομές χρήστη και να δημιουργήσει μια τυπική διαδρομή χρήστη για κάθε ομάδα παρόμοιων διαδρομών. Αυτή η διαδικασία εκτελείται συνεχώς καθώς γίνονται διαθέσιμα νέα δεδομένα καταγραφής.

Μόλις το σύστημα μάθει τις τυπικές διαδρομές για τον χρήστη, η λύση ανίχνευσης μπορεί να ελέγχει κάθε νέο ταξίδι για να δει αν είναι παρόμοιο με ένα ταξίδι που έχει μάθει προηγουμένως. Εάν η τρέχουσα διαδρομή δεν μοιάζει με προηγούμενες περιόδους σύνδεσης, η λύση την επισημαίνει ως ανωμαλία. Είναι επίσης δυνατό να συγκρίνετε το τρέχον ταξίδι με ταξίδια που σχετίζονται με το κοόρτη στην οποία ανήκει ο χρήστης.

Μια λύση ανίχνευσης πρέπει να βασίζεται σε μια εξαιρετικά ακριβή μηχανή ομαδοποίησης προσαρμοσμένης για ομαδοποίηση ακολουθιών, ενώ εξακολουθεί να παραμένει σχεδόν γραμμική ως προς τον αριθμό των ταξιδιών που συγκεντρώνει και να μην απαιτεί προηγούμενη γνώση για το πόσες συστάδες θα δημιουργηθούν. Επιπλέον, πρέπει να ανιχνεύει ακραίες τιμές, να τις αφαιρεί από το σύνολο δεδομένων για να βελτιώσει την ακρίβεια της ομαδοποίησης και να αναγνωρίζει αυτές τις ακραίες τιμές ως ανωμαλίες. Αυτός είναι ο τρόπος με τον οποίο η μηχανή ομαδοποίησης που δημιουργεί ομάδες παρόμοιων διαδρομών χρηστών μπορεί επίσης να ανιχνεύσει μη φυσιολογικές διαδρομές χρήστη σε δεδομένα ιστορικού και να τις αναφέρει ως ανωμαλίες.