비지도 학습 기반 오토인코더를 사용한 내부자 이상 행위 탐지 방법 = Insider Anomaly Behavior Detection Method Using an Unsupervised Learning-Based Autoencoder

다국어 초록 (Multilingual Abstract)

Herein, we study an insider anomaly behavior detection method using time-series-based log data that records insider behavior. We developed a long-short-term-memory-based denoised autoencoder model and extracted latent vectors containing useful sequence information from the autoencoder. The performance of the insider anomaly detection method was further evaluated by inputting the extracted latent vectors to anomaly detection algorithms—Local Outlier Factor and Isolation Forest. By verifying the effectiveness of the model using various performance evaluation indicators, via the coding vector (dimension: 5), it was confirmed that the shorter the sequence length, the higher the recall, and using the coding vector (dimension: 7), the higher the recall regardless of the sequence length. Furthermore, while keeping the number of abnormal behavior samples constant, it was confirmed that the precision decreased as the number of normal behavior samples increased.

국문 초록 (Abstract)

본 논문에서는 내부자의 행위를 기록한 시계열 기반 로그 데이터를 사용하여 내부자 이상 행위 탐지 방법을 연구한다. LSTM 기반 잡음 제거 오토인코더(LSTM-DAE) 모델을 개발하고, 이를 활용하여 유용한 시퀀스 정보를 담고 있는 잠재 벡터를 추출하였다. 그리고 추출한 잠재 벡터를 이상 탐지 알고리즘인 LOF와 IF에 입력하여 내부자 이상 행위 탐지 방법의 성능을 평가하였다. 여러 가지 성능 평가 지표를 사용하여 모델의 실효성을 검증한 결과, 5차원인 잠재 벡터를 사용하면 시퀀스 길이가 짧을수록 재현율이 높게 나온 것을 확인할 수 있었고, 7차원인 잠재 벡터를 사용하면 시퀀스 길이에 상관없이 재현율이 높게 나온 것을 확인할 수 있었다. 또한 비정상 행위 샘플 수를 일정하게 유지하면서 정상 행위 샘플 수가 증가할수록 정밀도가 하락하는 것을 확인할 수 있었다.