两步内部用户威胁活动识别和分析策略.pdfVIP

小型微型计算机系统２０２３年６月第６期

ＤＯＩ：１０．２０００９／ｊ．ｃｎｋｉ．２１１１０６／ＴＰ．２０２１０７８９

ＪｏｕｒｎａｌｏｆＣｈｉｎｅｓｅＣｏｍｐｕｔｅｒＳｙｓｔｅｍｓＶｏｌ．４４Ｎｏ．６２０２３

两步内部用户威胁活动识别和分析策略

范艺璇，阚秀，曹乐，王夏霖

（上海工程技术大学电子电气工程学院，上海２０１６２０）

Ｅｍａｉｌ：ｘｉｕ．ｋａｎ＠ｓｕｅｓ．ｅｄｕ．ｃｎ

摘要：由于内部人员具有访问组织内部资源的权限，其行为出现漏洞或故意威胁所产生的影响对组织而言可能是巨大的损

失．因此，内部人员威胁行为研究对保障系统安全具有重要价值．针对大量内部威胁行为的具体识别，本文提出了一种两步用户

威胁行为活动分析识别策略．首先，利用粒子群优化（ＰａｒｔｉｃｌｅＳｗａｒｍＯｐｔｉｍｉｚａｔｉｏｎ，ＰＳＯ）算法优化具有噪声的基于密度的聚类方

法（ＤｅｎｓｉｔｙＢａｓｅｄＳｐａｔｉａｌＣｌｕｓｔｅｒｉｎｇｏｆＡｐｐｌｉｃａｔｉｏｎｓｗｉｔｈＮｏｉｓｅ，ＤＢＳＣＡＮ）来实现对偏离正常模式的离群点的精准查找．第２步，

建立多特征权重联合评估策略，基于上一步的离群点分析结果，采用多指标评价方法实现对用户威胁行为的识别．实验结果表

明，所提ＰＳＯＤＢＳＣＡＮ算法能更好地缩减初步离群点，并在特征约简后行为活动识别准确率最高达到９９．５８％，对威胁活动的

识别具有有效性．

关键词：内部威胁；离群点检测；粒子群算法；特征权重

中图分类号：ＴＰ３９３文献标识码：Ａ文章编号：１０００１２２０（２０２３）０６１２６６０８

ＴｗｏｓｔｅｐＩｎｓｉｄｅｒＵｓｅｒＴｈｒｅａｔＡｃｔｉｖｉｔｙＩｄｅｎｔｉｆｉｃａｔｉｏｎａｎｄＡｎａｌｙｓｉｓＳｔｒａｔｅｇｙ

ＦＡＮＹｉｘｕａｎ，ＫＡＮＸｉｕ，ＣＡＯＬｅ，ＷＡＮＧＸｉａｌｉｎ

（ＳｃｈｏｏｌｏｆＥｌｅｃｔｒｏｎｉｃａｎｄＥｌｅｃｔｒｉｃａｌＥｎｇｉｎｅｅｒｉｎｇ，ＳｈａｎｇｈａｉＵｎｉｖｅｒｓｉｔｙｏｆＥｎｇｉｎｅｅｒｉｎｇＳｃｉｅｎｃｅ，Ｓｈａｎｇｈａｉ２０１６２０，Ｃｈｉｎａ）

Ａｂｓｔｒａｃｔ：Ａｓｉｎｓｉｄｅｒｓｈａｖｅａｃｃｅｓｓｔｏｔｈｅｉｎｔｅｒｎａｌｒｅｓｏｕｒｃｅｓｏｆｔｈｅｏｒｇａｎｉｚａｔｉｏｎ，ｔｈｅｉｍｐａｃｔｏｆｌｏｏｐｈｏｌｅｓｏｒｉｎｔｅｎｔｉｏｎａｌｔｈｒｅａｔｓｉｎｔｈｅｉｒｂｅ

ｈａｖｉｏｒｍａｙｂｅａｈｕｇｅｌｏｓｓｔｏｔｈｅｏｒｇａｎｉｚａｔｉｏｎ．Ｔｈｅｒｅｆｏｒｅ，ｔｈｅｒｅｓｅａｒｃｈｏｎｉｎｓｉｄｅｒｔｈｒｅａｔｂｅｈａｖｉｏｒｉｓｏｆｇｒｅａｔｖａｌｕｅｔｏｅｎｓｕｒｅｓｙｓｔｅｍｓｅｃｕ

ｒｉｔｙ．Ｆｏｒｔｈｅｓｐｅｃｉｆｉｃｉｄｅｎｔｉｆｉｃａｔｉｏｎｏｆａｌａｒｇｅｎｕｍｂｅｒｏｆｉｎｓｉｄｅｒｔｈｒｅａｔｂｅｈａｖｉｏｒｓ，ｔｈｉｓｐａｐｅｒｐｒｏｐｏｓｅｓａｔｗｏｓｔｅｐｕｓｅｒｔｈｒｅａｔｂｅｈａｖｉｏｒａｃ

ｔｉｖｉｔｙａｎａｌｙｓｉｓａｎｄｉｄｅｎｔｉｆｉｃａｔｉｏｎｓｔｒａｔｅｇｙ．Ｆｉｒｓｔｌｙ，ＰａｒｔｉｃｌｅＳｗａｒｍＯｐｔｉｍｉｚａｔｉｏｎ（ＰＳＯ）ａｌｇｏｒｉｔｈｍｉｓｕｓｅｄｔｏｏｐｔｉｍｉｚｅｔｈｅＤｅｎｓｉｔｙＢａｓｅｄ

ＳｐａｔｉａｌＣｌｕｓｔｅｒｉｎｇｏｆＡｐｐｌｉｃａｔｉｏｎｓｗｉｔｈＮｏｉｓｅ（ＤＢＳＣＡＮ）ｔｏａｃｃｕｒａｔｅｌｙｆｉｎｄｏｕｔｌｉｅｒｓｔｈａｔｄｅｖｉａｔｅｆｒｏｍｔｈｅｎｏｒｍａｌｍｏｄｅ．Ｔｈｅｓｅｃｏｎｄ

ｓｔｅｐｉｓｔｏｅｓｔａｂｌｉｓｈａｍｕｌｔｉｆｅａｔｕｒｅｗｅｉｇｈｔｊｏｉｎｔｅｖａｌｕａｔｉｏｎｓｔｒａｔｅｇｙ．Ｂａｓｅｄｏｎｔｈｅｏｕｔｌｉｅｒａｎａｌｙｓｉｓｒｅｓｕｌｔｓｉｎｔｈｅｐｒｅｖｉｏｕｓｓｔｅｐ，ｔｈｅｍｕｌｔｉ

ｉｎｄｉｃａｔｏｒｅｖａｌｕａｔｉｏｎｍｅｔｈｏｄｉｓｕｔｉｌｉｚｅｄｔｏｉｄｅｎｔｉｆｙｔｈｅｕｓｅｒｔｈｒｅａｔｂｅｈａｖｉｏｒ．ＥｘｐｅｒｉｍｅｎｔａｌｒｅｓｕｌｔｓｓｈｏｗｔｈａｔｔｈｅｐｒｏｐｏｓｅｄＰＳＯＤＢＳＣＡＮ

ａｌｇｏｒｉｔｈｍｃａｎｂｅｔｔｅｒｒｅｄｕｃｅｔｈｅｉｎｉｔｉａｌｏｕｔｌｉｅｒｓ，ａｎｄｔｈｅｈｉｇｈｅｓｔａｃｃｕｒａｃｙｏｆｂｅｈａｖｉｏｒａｃｔｉｖｉｔｙｒｅｃｏｇｎｉｔｉｏｎａｆｔｅｒｆ