Detecção de comportamentos maliciosos de usuários internos em redes utilizando análise de fluxos de dados

Abstract

Uma ameaça interna é qualquer pessoa que tenha acesso legítimo à rede interna de uma determinada organização e utiliza esse acesso para executar ações danosas a essa organização. As ameaças internas podem agir com ou sem intenção, quando agem intencionalmente, geralmente também possuem alguma motivação específica. Essa motivação pode variar entre descontentamento pessoal, questões financeiras, coerção e outros. A dificuldade em enfrentar ameaças internas com soluções de segurança tradicionais reside na limitação dessas soluções ao paradigma de detecção baseada em assinatura. Para superar essa restrição, pesquisadores da área têm proposto o uso do aprendizado de máquina, com a intenção de abordar o problema das ameaças internas de maneira mais abrangente. Alguns deles utilizando a abordagem de aprendizado em lote e outros utilizando o aprendizado em fluxo. Abordagens em lote são mais simples de implementar, porém o problema é como aplicá-las no mundo real. Isso ocorre porque os cenários reais de ameaças internas têm características peculiares que não se adaptam bem ao aprendizado em lote. Como por exemplo, temos a impossibilidade de se obter um conjunto de dados finito pois os logs sobre as atividades de usuários internos não cessam. Embora mais complexas, as abordagens de fluxo são mais abrangentes e viáveis de implementar. Os estudos também se dividem no uso de técnicas de Machine Learning não supervisionadas e supervisionadas, entretanto a dificuldade de obtenção de amostras rotuladas em tempo de execução, prejudica a implementação de soluções totalmente supervisionadas. Este estudo propõe uma estrutura que combina diferentes técnicas de ciência de dados para abordar a detecção de ameaças internas. Entre elas estão o uso de aprendizado de máquina não supervisionado e supervisionado, análise de fluxo de dados e procedimentos periódicos de retreinamento do modelo. Os algoritmos utilizados na implementação foram Isolation Forest, Elliptic Envelop, Local Outlier Factor e Random Forest. Este estudo avaliou os resultados de acordo com os valores obtidos pelas métricas de precisão, revocação, F1-Score e kappa. Os melhores resultados foram obtidos pelo algoritmo Isolation Forest, com 0,78 para a revocação da classe positiva (maligna) e 0,80 para a revocação da classe negativa (benigna).