WEAPON : uma arquitetura de aprendizado não supervisionado para detecção de anomalias de comportamento de usuários

Abstract

Nos últimos anos, a detecção de anomalias de comportamento do usuário tem conquistado a atenção em segurança cibernética. Um dos desafios cruciais que têm sido pesquisados na literatura é que modelos supervisionados que utilizam grandes quantidades de dados para treinamento não se aplicam a cenários reais de detecção de anomalias. Em contrapartida, modelos não supervisionados tendem a apresentar problemas de escalabilidade com relação ao número de usuários do dataset, uma vez que abordam os aspectos comportamentais de forma individual para cada usuário. Dentro deste contexto, a necessidade de obter datasets rotulados com anomalias de comportamento provou ser um fator limitante para avaliar diferentes modelos, e esta limitação é explorada nesta pesquisa. Este trabalho apresenta uma arquitetura para a detecção de anomalias de comportamento de usuários baseada Wide and Deep Convolutional LSTM Autoencoders – WEAPON. O WEAPON utiliza aprendizado não supervisionado e requer uma pequena quantidade de dados para construir perfis de comportamento considerando a individualidade de cada usuário. Além disso, o WEAPON implementa uma abordagem de supervisão fraca para rotulação de anomalias de comportamento a partir do Snorkel. Quando comparado com outras abordagens, o WEAPON provou ser mais eficiente superando o segundo melhor modelo em mais de 4% na curva ROC. Além disso, WEAPON supera os métodos baseados em regras ao encontrar anomalias que um especialista não anteciparia.