FedAT：用于分布式内部威胁检测的联邦对抗训练

内部威胁通常发生在工作场所内部，攻击者是与组织密切相关的实体。实体对其拥有访问权限的资源所采取的操作序列使我们能够识别内部人员。近年来，基于机器学习 (ML) 的内部威胁检测 (ITD) 方法引起了关注。然而，大多数技术采用集中式 ML 方法来执行此类 ITD。在多个地点运营的组织无法为集中式模型做出贡献，因为数据是从不同地点生成的。特别是，作为 ITD 主要来源的用户行为数据，由于隐私问题，无法在不同地点之间共享。此外，由于攻击的罕见性，分布在各个地点的数据导致极端的类别不平衡。联邦学习 (FL) 作为一种分布式数据建模范式，近期引起了广泛兴趣。然而，支持 FL 的 ITD 尚未得到探索，仍需研究其在实际环境中实现的重要问题。因此，我们的工作研究了一种支持 FL 的多类 ITD 范式，该范式考虑了非独立同分布 (non-IID) 数据分布，以检测组织不同地点（客户端）的内部威胁。具体而言，我们提出了一种联邦对抗训练 (FedAT) 方法，使用生成模型来缓解客户端之间 non-IID 数据分布引起的极端数据偏斜。此外，我们提议利用基于自归一化神经网络的多层感知器 (SNN-MLP) 模型来改进 ITD。我们进行了全面的实验，并将结果与基准进行了比较，以展示所提出的 FedAT 驱动的 ITD 方案的增强性能。