Ученые Междисциплинарной научно-образовательной школы МГУ «Мозг, когнитивные системы, искусственный интеллект» разработали метод обнаружения аномального поведения пользователей для выявления внутренних угроз в информационных системах. Работа направлена на повышение безопасности корпоративных данных за счёт анализа действий сотрудников.
С ростом цифровизации и увеличением объёмов данных особую значимость приобретает защита от внутренних угроз — ситуаций, когда риски связаны с действиями самих пользователей системы. Для этого применяются методы анализа поведения пользователей, позволяющие выявлять отклонения от нормальной активности.
В работе рассматривается задача обработки разнородных данных, включая как структурированную информацию о действиях пользователей, так и текстовые материалы. Особую сложность представляет высокая размерность данных и их временная зависимость, поскольку поведение пользователя формируется как последовательность действий.
Для решения этой задачи предложен подход, сочетающий несколько методов обработки данных. На этапе подготовки используются статистические характеристики, тематическое моделирование (LDA) и нейросетевая модель для анализа текстов (BERT). Это позволяет сформировать более полное представление о поведении пользователя.
Для выявления аномалий применяется модель на основе двунаправленной рекуррентной нейронной сети с автокодировщиком (BiLSTM). Она учитывает последовательность действий и выявляет отклонения от типичного поведения сотрудников.
«Предложенный метод позволяет учитывать разные типы данных и выявлять отклонения в поведении пользователей с высокой точностью, что важно для своевременного обнаружения внутренних угроз», — отметила доцент кафедры интеллектуальных информационных технологий факультета ВМК МГУ Мария Казачук.
Разработанный метод был протестирован на открытых наборах данных, моделирующих реальные сценарии внутренних угроз. По результатам экспериментов достигнуто значение метрики ROC AUC 0,92 и F1-мера 0,90, что превышает показатели существующих решений и подтверждает применимость подхода на практике.
Работа была представлена на научной конференции «Ломоносовские чтения» на факультете вычислительной математики и кибернетики МГУ.