利用图挖掘的内部威胁检测方法-祁佳俊.pdfVIP

BeijingForestStudio

ThenameoftheDepartment

北京理工大学信息系统及安全对抗实验中心

部门名称

利用图挖掘的内部威胁检测方法

硕士研究生祁佳俊

2022年06月12日

内容提要

•背景简介

•基本概念

•算法原理

•优劣分析

•应用总结

•参考文献

2

预期收获

•预期收获

–1.了解利用图挖掘内部威胁检测方法的整体架构

–2.了解如何从用户日志中提取图结构信息

–3.掌握用户级和操作级基于图的内部威胁检测方法

–4.了解内部威胁检测领域的实际应用和发展方向

3

背景简介

•深信服陷“监控员工系统”风波

–员工行为感知系统——全网行为管理AC

–离职倾向分析：通过识别用户上网行为

（简历投递、招聘网站访问次数、站内关

键字搜索和职位申请次数），提前识别有

离职倾向的用户，帮助管理员事前发现，

有效接入、减少公司损失

–公网上网态势，宽带分析，泄密追溯分析，

工作效率分析和未关机检测分析

4

背景简介

•2021年InsiderThreatReport报告

–几乎所有的组织都觉得容易受到内部攻击(98%)

–82%的组织发现很难确定内部攻击的实际损害

–49%的企业无法发现内部威胁，或只有在数据流

出后才能发现

–只有11%的组织认为他们对内部威胁的监测、检

测和响应非常有效

•大多数组织无法检测、监测和追溯内部威胁，内

部威胁的危害依然严峻

5

背景简介

•insider定义

–企业或组织的员工(在职或离职)，以及承包商、商业伙伴等“合伙人”，其应当具

有组织的系统、网络以及数据的访问权

•insiderthreat定义

–由恶意或无意的内部人员实施的，利用其对组织的网络、系统和数据的授权访问

权限，对组织的信息或信息系统的机密性、完整性、可用性，以及劳动力的身体

健康造成的威胁或负面影响

•特点

–透明性：内部攻击相对于外部安全设备透明

–隐蔽性：攻击行为淹没在大量正常行为中

–高危性：对核心资产的破坏更容易

6

背景简介

•内部威胁检测方法

–目的：检测组织内的恶意用户，或用户的恶意行为

7

基本概念

基本概念

基本概念

•用户日志

–数据集：CERT系列、SEA、WUIL、RUU、Enron

•CERT系列数据