时间窗群体关联特征对比个体特征：异常用户检测
机器学习
2020-12-29 v1 密码学与安全
摘要
基于自编码器的异常检测方法已用于从大规模企业日志中识别异常用户，其假设对抗活动不遵循过往习惯模式。多数现有方法通常通过对单日与个体用户行为重建来建模。然而，若未捕获长期信号与群体关联信号，模型无法识别低信号却持久存在的威胁，并在繁忙日将许多正常用户误报为异常，进而导致高误报率。本文中，我们提出ACOBE，一种基于复合行为（COmpound BEhavior）的异常检测方法，其考虑了长期模式与群体行为。ACOBE利用一种新颖行为表示及深度自编码器集成，产生有序调查列表。我们的评估表明，ACOBE在精确率与召回率上大幅优于已有工作，且案例研究证明ACOBE可实际应用于网络攻击检测。
引用
@article{arxiv.2012.13971,
title = {Time-Window Group-Correlation Support vs. Individual Features: A Detection of Abnormal Users},
author = {Lun-Pin Yuan and Euijin Choo and Ting Yu and Issa Khalil and Sencun Zhu},
journal= {arXiv preprint arXiv:2012.13971},
year = {2020}
}