概要
悪意あるユーザー行動とPEファイルを優先的に隔離するためのディープラーニング異常検知システムを開発しています。現在は学習・検証段階であり、実運用の攻撃データが限られることを考慮して正常データ中心の検知方式を採用しています。
アプローチ
- CERTユーザー行動データ: LSTMのlikelihoodベースのスコア（NLL）で行動パターンの異常度を測定
- BODMAS PEファイルデータ: VAEのreconstruction errorとuncertainty quantificationを組み合わせて異常度を測定
- 評価構成: 学習・検証は正常データのみを使用し、テストでは正常・悪意あるデータを併用してAUCと運用点候補を検討
運用上の考え方
このモデルは最終判定ではなく、一次隔離のためのモデルです。正常データを過度に検知すると人手レビューが急増するため、FPRと運用コストのtrade-offを優先して考慮しています。後段の精密モデルと各組織のリスク許容度に合わせてthresholdを調整できるように設計しています。
技術スタック
- Models: LSTM, VAE
- Methods: Likelihood, Reconstruction Error, Uncertainty Quantification, ROC-AUC
- Data: CERT insider-threat behavior data, BODMAS PE-file data