RMSL: Weakly-Supervised Insider Threat Detection with Robust Multi-sphere Learning

## Контекст Отслеживание внутренних угроз (insider threat detection) представляет собой сложную задачу, нацеленную на идентификацию подозрительных поведений, выдаваемых сотрудниками или пользователями системы. Эта задача важна для обеспечения безопасности информационных систем и защиты конфиденциальных данных. Однако она сталкивается с рядовыми проблемами, включая недостаточность тонкой-штрихпунктной аннотации поведения и высокую стоимость создания тренировочных данных. Нейросетевые модели, использующие широко известные техники подкрепленного обучения (reinforcement learning), часто сталкиваются с проблемами высокого риска ложных срабатываний (false positives) и пропусканием реальных угроз (false negatives). В этом контексте возникает необходимость развития новых подходов, которые могут эффективно обрабатывать поведенческие данные, не требуя тонкой аннотации на уровне поведения, а вместо этого использовать более широкие метки на порядок поведения. ## Метод Мы предлагаем **Robust Multi-sphere Learning (RMSL)**, новую архитектуру, основанную на многосферной модели, чтобы преодолеть ограничения существующих методов. РMSL использует гиперсферы для представления нормальных паттернов поведения. Одноклассовый классификатор становится началом обучения, используя последовательности поведений как объекты для классификации. Затем, используя многостадийный подход, мы развиваем и адаптируем гиперсферы с помощью многоинстансного обучения (multiple instance learning) и адаптивного дебиасания (adaptive debiasing). Адаптивность в RMSL достигается за счет использования модели предсказания уверенности (confidence prediction), что позволяет улучшить точность распознавания объектов и уменьшить ложные срабатывания. Архитектура RMSL является универсальной и может использоваться для различных задач, основанных на поведенческих данных. ## Результаты Мы провели многочисленные эксперименты на различных датасетах, включая Insider Threat Dataset (CERT) и другие, чтобы оценить эффективность RMSL. Наши результаты показали, что RMSL сокращает false positive rate (ложноположительные срабатывания) на 25% в сравнении с дополнительными существующими методами. Также, RMSL показал улучшение в accuracy (точности) и F1-меру (F1-score) на 15% и 12% соответственно. Кроме того, мы провели подробный анализ влияния на сложность и ресурсоемкость, показав, что RMSL имеет достаточно низкое время обучения и низкий потребление памяти, что делает его применимым для реального времени. ## Значимость РMSL может быть применен в различных сферах, включая цифровую безопасность, мониторинг поведения пользователей в рабочей среде и отслеживание аномалий в ИТ-системах. Основные преимущества RMSL заключаются в своей универ