Deep Learning for Insider Threat Detection: Review, Challenges and Opportunities
Utah State University（犹他州立大学）；University of Arkansas（阿肯色大学）
内部威胁作为网络空间中最具挑战性的威胁之一，通常会给组织造成重大损失。虽然内部威胁检测问题在安全和数据采掘领域已经研究了很长时间，但是传统的基于机器学习的检测方法严重依赖于特征工程，由于与底层数据的特征相关的各种挑战，例如高维性，复杂性，异构性，稀疏性，缺乏标记的内部威胁，以及内部威胁的微妙和适应性。高级深度学习技术提供了一种从复杂数据中学习端到端模型的新范式。在这个简短的调查中，我们首先介绍了一个常用的内部威胁检测数据集，并回顾了最近关于深度学习的文献。已有的研究表明，与传统的机器学习算法相比，深度学习模型可以提高内部威胁检测的性能。然而，应用深度学习进一步推进内部威胁检测任务仍然面临着一些限制，例如缺乏标记数据，自适应攻击。然后，我们讨论了这些挑战，并提出了未来的研究方向，有可能解决挑战，并进一步提高内部威胁检测的深度学习的性能。
2020-05-25 cs.CR cs.LG
The Danger Within: Insider Threat Modeling Using Business Process Models
本文针对现有威胁建模缺乏非技术资产表示的问题，提出基于BPMN业务流程模型的内部威胁建模方法，开发了内部威胁知识库与建模应用，并通过IT提供商和投票过程的真实案例验证了无需标注即可自动识别内部威胁。
2024-09-03 cs.CR
An Insider Threat Mitigation Framework Using Attribute Based Access Control
本文提出一种结合移动目标防御、欺骗和属性访问控制的内部威胁缓解框架，通过引入相关属性生成变异策略，在不影响系统可用性的前提下提高内部人员非授权访问的难度和成本。
2023-05-31 cs.CR
Insider Threats Mitigation: Role of Penetration Testing
本文通过系统性文献综述，利用扎根理论方法全面评估渗透测试在发现、缓解内部威胁及跨行业应用中的作用，旨在帮助企业制定更全面有效的安全策略。
2024-07-24 cs.CR
Insider Threat Detection Based on Stress Recognition Using Keystroke Dynamics
内部威胁是信息安全领域中最紧迫的威胁之一，因为它导致公司遭受巨大的经济损失。大多数用于检测这种威胁的方法都需要昂贵的侵入性设备，这使得它们难以在实践中使用。在本文中，我们提出了一种非侵入性的方法来检测内部威胁的压力识别的基础上，利用神经网络动力学假设入侵者在非法行为，这会影响行为特征的压力。所提出的方法使用监督和无监督机器学习算法。结果表明，压力可以为内部威胁检测提供非常有价值的信息。
2020-05-06 cs.CR cs.LG
Insight into Insiders and IT: A Survey of Insider Threat Taxonomies, Analysis, Modeling, and Countermeasures
内部威胁是当今最具挑战性的网络安全问题之一，常用的安全解决方案无法很好地解决这些问题。尽管在这一领域发表了一些科学著作，我们认为，该领域可以受益于拟议的结构分类和新颖的分类研究，有助于组织和消除歧义的内部威胁事件和防御解决方案。我们分类的目的是系统化内部威胁研究的知识，同时利用现有的扎根理论方法进行严格的文献综述。所提出的分类描述了特定类别之间的工作流，包括：1）事件和数据集，2）攻击者分析，3）模拟和4）防御解决方案。特别注意的是内部威胁的定义和分类，我们提出了一个内部威胁事件的结构分类，这是基于现有的分类和5W1H问题的信息收集问题。我们的调查将加强研究人员在内部威胁领域的努力，因为它提供了：a）一种新的结构分类法，有助于对事件进行正交分类，并定义针对这些事件采用的防御解决方案的范围，b）关于可用于测试针对其他作品的新检测解决方案的公开可用数据集的更新概述，c）参考现有案例研究和框架，对内部人员的行为进行建模，以审查防御解决方案或扩展其覆盖范围，以及d）讨论可用于内部威胁领域推理的现有趋势和进一步研究方向。
2018-11-10 cs.CR cs.CY
Real-Time Detection of Insider Threats Using Behavioral Analytics and Deep Evidential Clustering
针对传统安全机制难检测内部威胁的问题，提出结合行为分析与深度证据聚类的实时检测框架，可动态适应行为变化、降低误报，在基准数据集上取得94.7%准确率，为企业部署相关系统提供参考。
2025-05-21 cs.CR
Insider Threat Detection via Hierarchical Neural Temporal Point Processes
内部人员通常会给组织造成重大损失，而且很难被发现。目前，已经提出了各种方法来实现内部威胁检测的基础上分析的审计数据，记录员工的活动类型和时间的信息。然而，现有的方法通常侧重于建模的用户的活动类型，但没有考虑活动的时间信息。在本文中，我们提出了一个分层的神经时间点过程模型相结合的时间点过程和递归神经网络的内部威胁检测。我们的模型是能够捕获一个一般的非线性依赖的历史上的所有活动的两级结构，有效地模型活动时间，活动类型，会话持续时间和会话间隔信息。在两个数据集上的实验结果表明，我们的模型优于只考虑活动类型或时间信息的模型。
2019-10-09 cs.CR
An Ethically Grounded LLM-Based Approach to Insider Threat Synthesis and Detection
Beacom College of Computer \& Cyber Sciences Dakota State University Madison, SD, USA；College of Arts \& Sciences Dakota State University Madison, SD, USA
本文提出基于伦理的LLM方法，利用Claude Sonnet 3.7动态生成syslog消息以检测内部威胁，实验显示其在减少误报和提高检测准确性方面优于GPT-4o。
2025-10-01 cs.AI cs.CL cs.CR
Anomaly Detection for Scenario-based Insider Activities using CGAN Augmented Data
Deakin University（迪肯大学）
内部威胁是来自组织的可信实体内部的网络攻击。缺乏真实世界的数据和数据不平衡的问题离开内部威胁分析研究不足的领域。为了减轻倾斜类分布的影响并证明多项式分类算法在内部威胁检测中的潜力，我们提出了一种将生成模型与监督学习相结合的方法，以使用深度学习来执行多类分类。基于生成对抗网络（GAN）的内幕检测模型引入条件生成对抗网络（CGAN）来丰富少数类样本，为多类异常检测提供数据。在基准数据集上进行的综合实验证明了引入GAN派生合成数据的有效性和在内幕活动分析中的多类异常检测能力。此外，该方法与其他现有的方法对不同的参数和性能指标进行了比较。
2021-07-08 cs.AI cs.CR cs.NE
Insight-LLM: LLM-enhanced Multi-view Fusion in Insider Threat Detection
针对内部威胁检测中单视图建模覆盖有限、多视图直接应用存在可扩展性差等问题，提出首个专用模块化多视图融合框架Insight-LLM，采用冻结预训练大语言模型，实现低开销下的最优检测效果。
2025-09-01 cs.CR
Scalable and Ethical Insider Threat Detection through Data Synthesis and Analysis by LLMs
The Beacom College of Computer and Cyber Sciences（贝科姆计算机与网络科学学院）；Dakota State University（达科他州立大学）
本文研究利用LLM结合合成数据生成与求职评论数据集进行内部威胁情绪检测，通过对比专家评分验证其有效性，并提出一种克服数据获取伦理与后勤障碍的可扩展检测方案。
2025-04-07 cs.AI cs.CL cs.CR
Image-based Insider Threat Detection via Geometric Transformation
几十年来，内部威胁检测一直是一项具有挑战性的任务，现有的方法通常采用传统的生成式无监督学习方法来生成正常的用户行为模型，并将显著的偏差检测为异常。然而，这样的方法在精度和计算复杂性上是不足的。本文提出了一种新的内部威胁检测方法--基于图像的几何变换内部威胁检测器（IGT），该方法将无监督的异常检测转化为有监督的图像分类任务，从而通过计算机视觉技术提高了检测性能。为了说明，我们的IGT使用一种新的基于图像的特征表示的用户行为，通过将审计日志转换为灰度图像。通过对这些行为灰度图像进行多次几何变换，IGT构建了一个自标记的数据集，然后训练一个行为分类器，以自监督的方式检测异常。我们提出的方法背后的动机是，从正常行为数据转换的图像可能包含独特的潜在特征，这些特征在几何变换后保持不变，而恶意的图像则不能。在CERT数据集上的实验结果表明，IGT的性能优于经典的基于自动编码器的无监督内部威胁检测方法，并将基于实例和基于用户的AUROC分别提高了4%和2%。
2021-08-24 cs.CR
A Graph Based Framework for Malicious Insider Threat Detection
虽然大多数安全项目都专注于抵御来自组织边界之外的攻击，但真正的威胁来自这些外围保护内的人员。内部威胁已经通过对国家安全、金融稳定和成千上万人的隐私造成巨大影响来显示其威力。新闻中的内容只是冰山一角，还有更多的事情在雷达下进行，一些威胁从未被发现。我们提出了一种基于图形分析和异常检测方法的混合框架，以应对这种严重的网络安全威胁。我们的框架分析异构数据，隔离可能的恶意用户隐藏在别人背后。实证结果表明，该框架是有效的区分大多数用户表现出典型的行为，从少数用户表现出可疑的行为。
2018-09-01 cs.CR
Insider threats in Cyber Security: The enemy within the gates
内部威胁已经成为特斯拉等民用公司的现实，特斯拉经历了破坏和知识产权盗窃，而Capital One遭受了欺诈。美国国防部的数据泄露事件造成了更大的社会影响，这是由著名的攻击者切尔西·曼宁和爱德华·斯诺登造成的，他们的间谍活动和黑客活动广为人知。近年来此类事件的急剧增加以及内部人员造成的不可估量的损害必须成为网络安全界所有成员的警告。继续低估内部威胁的问题是不可接受的。企业、组织、机构和政府需要在其安全态势中引领和接受文化变革。通过采用内部威胁计划，让所有战略分支机构（包括人力资源、法律、信息保障、网络安全和情报）参与，由首席信息安全官协调，并由C级高管提供支持，可以实施一个框架，以防止、检测和响应不忠诚和/或无意的内部威胁。因此，保护企业免受内部威胁是信息安全最佳实践的重要组成部分。至关重要的是，您的公司非常有价值的机密数据和资产受到保护，免受其最大的威胁：大门内的敌人。
2019-11-21 cs.CR cs.CY
A Framework for Data-Driven Physical Security and Insider Threat Detection
本文介绍了PS0，本体框架和方法，提高物理安全和内部威胁检测。PS0可以通过利用基于规则的异常检测来促进取证数据分析并主动减轻内部威胁。在太多的情况下，基于规则的异常检测可以检测员工对组织安全策略的偏离。此外，PS0可以被认为是一种安全起源解决方案，因为它能够完全重建攻击模式。可以进一步分析出处图，以识别欺骗性行为，并克服可能导致错误决策的分析错误，例如错误归因。此外，这些信息还可以用来丰富可用的情报（关于入侵尝试），这些情报可以形成用例来检测和修复系统中的限制，例如松散耦合的起源图，在许多情况下，它表明物理安全架构中的弱点。最后，通过用例验证该框架展示并证明了PS0可以在物理安全和内部威胁检测方面改善组织的安全状况。
2018-09-25 cs.CR
Chimera: Harnessing Multi-Agent LLMs for Automatic Insider Threat Simulation
Singapore Management University（新加坡管理大学）；Tianjin University（天津大学）；Zhejiang University（浙江大学）
Chimera通过多智能体大语言模型生成真实企业环境中的内部威胁数据集，提升内部威胁检测的挑战性和实用性。
2026-01-03 cs.AI cs.CR cs.SE
Insider threat modeling: An adversarial risk analysis approach
内部威胁在地缘政治、网络风险管理和商业组织中带来重大安全问题。到目前为止提出的博弈论模型没有考虑到一些重要的因素，如组织文化和攻击者是否被检测到。他们也没有对组织已经建立的防御机制进行建模，以减轻内部攻击。我们提出了两个新的模型，其中包括这些设置，因此更现实。该领域的大多数早期工作都集中在标准的博弈论方法来找到解决方案。我们使用对抗性风险分析（ARA）方法来找到模型的解决方案。ARA不假设常识，而是从一个参与者的角度来解决问题，考虑到他们的知识和关于他们、他们的对手、可能的结果、他们的效用和他们的对手的效用的不确定性。我们的模型和ARA解决方案是通用的，可以应用于大多数内部威胁场景。一个数据安全的例子说明了讨论。
2019-11-22 cs.CR
Audit-LLM: Multi-Agent Collaboration for Log-based Insider Threat Detection
State Key Laboratory of Mathematical Engineering and Advanced Computing（数学工程与先进计算国家重点实验室）；National University of Defense Technology（国防科技大学）
针对大语言模型在日志型内部威胁检测中面临的长上下文、幻觉等问题，提出含三类智能体的Audit-LLM框架及成对证据多智能体辩论机制，在三个公开数据集上性能优于基线且提升了解释忠实性。
2024-08-12 cs.AI cs.CR
Insider Detection using Deep Autoencoder and Variational Autoencoder Neural Networks
内部攻击是公司、企业和关键基础设施面临的最具挑战性的网络安全问题之一。尽管实施了周边防御，但这种攻击的风险仍然很高。事实上，内部攻击的检测是一项非常复杂的安全任务，对研究界提出了严峻的挑战。在本文中，我们的目标是通过使用深度学习算法Autoencoder和变分自编码器deep来解决这个问题。我们将特别研究应用这些算法自动防御潜在内部威胁的有用性，而无需人工干预。在公共数据集CERT数据集（CERT r4.2）上评估了这两个模型的有效性。此版本的CERT Insider Threat Test数据集包括从1000个模拟用户生成的良性和恶意活动。与其他模型的比较结果表明，变分自编码器神经网络具有更高的检测精度和合理的误报率，提供了最好的整体性能
2021-09-06 cs.AI cs.CR
Insider Threats in Emerging Mobility-as-a-Service Scenarios
移动即服务（MaaS）将云计算的一切即服务模式应用于交通运输：MaaS提供商向其用户提供不同旅行社解决方案的动态组合，并将其整合到一个统一的界面中。传统上，交通和移动数据属于分散的运营商。因此，我们认为，MaaS的经济模型是供应商联盟，每个供应商都交易其资源，以协调多模式的移动解决方案。这种灵活性带来了许多安全和隐私问题，其中内部威胁是最突出的问题之一。在本文中，我们遵循分层结构-从单个运营商到联合MaaS提供商的市场-对每一层的潜在威胁进行分类，并提出相应的对策，以减轻问题。
2016-09-21 cs.CR
DeepTaskAPT: Insider APT detection using Task-tree based Deep Learning
Digital Technology National Research Council Canada（加拿大国家研究委员会数字技术研究所）
APT被称为高级持续性威胁，是网络防御的一个严峻挑战。这些威胁使许多传统防御措施失效，因为这些威胁利用的漏洞是可以访问网络并处于网络内部的内部人员。本文提出了DeepTaskAPT，这是一种基于异构任务树的深度学习方法，用于使用长短期记忆（LSTM）神经网络构建基于任务序列的基线模型，该模型可应用于不同用户以识别异常行为。DeepTaskAPT不是像大多数当前方法那样直接将模型应用于顺序日志条目，而是应用基于进程树的任务生成方法来为深度学习模型生成顺序日志条目。为了评估DeepTaskAPT的性能，我们使用了最近发布的合成数据集，DARPA操作透明计算（OpTC）数据集和现实数据集，洛斯阿拉莫斯国家实验室（LANL）数据集。它们都是由从传感器收集的基于主机的数据组成。我们的研究结果表明，DeepTaskAPT优于类似的方法，例如DeepLog和DeepTaskAPT基线模型展示了其在各种攻击场景中检测恶意跟踪的能力，同时具有高准确性和低误报率。据了解，这是首次尝试使用最近推出的OpTC数据集进行网络威胁检测。
2021-08-31 cs.AI cs.CR
Detecting the Insider Threat with Long Short Term Memory (LSTM) Neural Networks
McMaster University（麦克马斯特大学）；East Carolina University（东卡罗来纳大学）
信息系统使许多组织过程在每个行业。信息技术使用的效率和有效性产生了一个意想不到的副产品：现有用户或冒充他们的人滥用-内部威胁。如果对电子日志进行彻底分析，捕获用户行为，则可以检测内部威胁。然而，日志通常非常大且非结构化，给组织带来了重大挑战。在这项研究中，我们使用深度学习，特别是长短期记忆（LSTM）循环网络来实现检测。我们通过一个非常大的匿名数据集演示了LSTM如何使用数据的序列性质来减少搜索空间，并使安全分析师的工作更有效。
2020-07-20 cs.CR cs.LG
Federated Graph AGI for Cross-Border Insider Threat Intelligence in Government Financial Schemes
Incedo Inc.（Incedo公司）；Indian Institute of Technology（印度理工学院）；University of Kent（肯特大学）
FedGraph-AGI通过整合AGI推理与联邦图学习，实现了隐私保护下的跨境内部威胁检测，准确率高达92.3%。
2026-02-18 cs.AI cs.CE cs.CR
Facade: High-Precision Insider Threat Detection Using Deep Contextual Anomaly Detection
Google（谷歌）；Palace Cybersecurity（Palace网络安全）
研究内部人员特权访问带来的威胁，提出Facade系统，通过考虑事件上下文、基于多模态模型及对比学习策略检测可疑事件，能高精度检测内部威胁且误报率极低，可用于大型企业环境。
2026-07-24 cs.CR
Log2Sig: Frequency-Aware Insider Threat Detection via Multivariate Behavioral Signal Decomposition
College of Cyber Security, Jinan University, Guangzhou, China（广州暨南大学网络安全学院）；School of Advanced Technology, Xi’an Jiaotong-Liverpool University, Suzhou, China（西安交通大学利物浦大学先进技术学院）
Log2Sig通过将用户日志转化为多变量行为频率信号，并利用MVMD分解和Mamba编码器融合双视图表示，实现了高精度的内部威胁异常检测，在CERT数据集上优于现有基线。
2025-08-06 cs.AI cs.CR
Assessment of POS Owners Awareness of Cybersecurity and Insider Threats in POS Kiosks Related Financial Crimes
本文评估了POS机主对POS亭相关金融犯罪中网络安全和内部威胁的认知水平，指出尼日利亚POS运营模式导致用户卡片易被克隆这一非IT类主要威胁。
2023-08-01 cs.CR
A Proactive Insider Threat Management Framework Using Explainable Machine Learning
提出IT-XML框架，结合CRISP-DM与隐马尔可夫模型，通过问卷数据和可解释机器学习对组织安全成熟度分类，准确率91.7%，实现主动内部威胁管理。
2025-10-22 cs.CR cs.CY
Insider Threat Detection Through Attributed Graph Clustering
虽然大多数组织继续投资于传统的网络防御，但在其自身范围内，一个巨大的安全挑战正在酝酿之中。拥有特权访问权限的恶意内部人员伪装成可信来源，进行了许多攻击，对公共和私营部门组织的金融稳定，国家安全和品牌声誉造成了深远的损害。举报人群体的曝光度和影响力不断增加，以及随着组织动态的变化对工作保障的担忧进一步加剧了这种情况。恶意攻击者的不可预测性以及恶意行为的复杂性，需要仔细分析与内部威胁问题相关的网络，系统和用户参数。因此，它创建了一个高维的，异构的数据分析问题，隔离可疑用户。本文提出了一个内部威胁检测框架，该框架利用了属性图聚类技术和离群值排序机制。实证结果也证实了该方法的有效性，达到最佳的曲线下面积值为0.7648的受试者工作特征曲线。
2018-09-01 cs.CR cs.SI
Predicting Malicious Insider Threat Scenarios Using Organizational Data and a Heterogeneous Stack-Classifier
内部威胁仍然是信息安全社区面临的主要挑战。尽管在这一领域不断进行研究，但在这一群体的要求与目前可用的解决方案之间仍然存在很大差距。本文使用CERT数据集r4.2以及一系列机器学习分类器来预测特定恶意内部威胁场景的发生-在离开组织之前将敏感信息上传到wiki泄漏。这些算法被聚合成一个元分类器，它具有比其组成模型更强的预测性能。它还定义了一种方法，用于对组织日志数据进行预处理，将其转换为日常用户摘要进行分类，并用于训练多个分类器。提升也被应用于优化分类器的准确性。总体上，通过分析其相关的混淆矩阵和受试者工作特征（ROC）曲线来评估模型，并将性能最好的分类器聚合到集成分类器中。该元分类器的准确度为\textbf{96.2\%}，ROC曲线下面积为\textbf{0.988}。
2019-07-24 cs.CR
FedAT: Federated Adversarial Training for Distributed Insider Threat Detection
School of Information Technology Deakin University（迪肯大学信息技术学院）
本文针对分布式内部威胁检测中数据隐私与极端类别不平衡问题，提出联邦对抗训练FedAT方法结合生成模型与SNN-MLP模型，在non-IID数据分布下显著提升了多类内部威胁检测性能。
2024-09-19 cs.AI cs.CR cs.DC
What Do We Know About the Psychology of Insider Threats?
本文通过系统性文献综述，梳理内部威胁心理学研究现状，指出理论化不足，并探讨研究空白，为后续心理学研究奠定基础。
2025-05-24 cs.CR cs.CY
RMSL: Weakly-Supervised Insider Threat Detection with Robust Multi-sphere Learning
Nankai University（南开大学）
针对内部威胁检测中行为级标注缺失的问题，本文提出RMSL框架，通过多超球体建模正常行为模式，并结合多实例学习与自适应自训练去偏利用弱序列级标签，显著提升行为级异常检测性能。
2025-08-15 cs.AI cs.CR cs.LG
Deep Learning for Unsupervised Insider Threat Detection in Structured Cybersecurity Data Streams
Western Washington University（西华盛顿大学）；Pacific Northwest National Laboratory（太平洋西北国家实验室）
对组织的计算机网络活动的分析是早期检测和减轻内部威胁的关键组成部分，这是许多组织日益关注的问题。原始系统日志是流数据的典型示例，可以快速扩展到超出人类分析师的认知能力。作为人类分析师的前瞻性过滤器，我们提出了一种在线无监督深度学习方法，用于实时的从系统日志中检测异常网络活动。我们的模型将异常分数分解为单个用户行为特征的贡献，以提高可解释性，从而帮助分析师审查潜在的内部威胁案例。使用CERT Insider Threat Dataset v6.2和威胁检测召回作为我们的性能指标，我们的新型深度和循环神经网络模型优于主成分分析，支持向量机和基于隔离森林的异常检测基线。对于我们的最佳模型，在我们的数据集中标记为内部威胁活动的事件的平均异常得分为95.53百分位，这表明我们的方法有可能大大减少分析人员的工作量。
2017-12-15 cs.CR cs.LG cs.NE
DMFI: A Dual-Modality Log Analysis Framework for Insider Threat Detection with LoRA-Tuned Language Models
College of Cyber Security, Jinan University, Guangzhou, China（广州大学网络安全学院）；School of Advanced Technology, Xi’an Jiaotong-Liverpool University, Suzhou, China（西安交通大学利物浦大学先进技术学院）
DMFI通过双模态框架整合语义推理与行为感知微调，利用LoRA增强的语言模型提升日志分析精度，实验表明其在检测准确率上优于现有方法。
2026-03-21 cs.AI cs.CL cs.CR
Image-Based Feature Representation for Insider Threat Classification
Deakin University（迪肯大学）
内部人员是组织中受信任的实体，但对访问敏感信息网络和资源构成威胁。内部威胁检测是安全分析中一个研究得很好的问题。从数据源中识别特征并将其与正确的数据分析算法一起使用，使各种威胁分析成为可能。内部威胁分析主要使用从数据源提供的原始数据中提取的基于频率的属性来完成。在本文中，我们提出了一个基于图像的特征表示的日常资源使用模式的用户在组织中。从组织的审计文件中提取的特征表示为灰度图像。因此，这些图像用于表示资源访问模式，从而表示用户的行为。分类模型被应用到代表性的图像，以检测内部人员的异常行为。图像被分类为恶意和非恶意。使用CMU CERT数据V4.2和最先进的图像分类模型（如Mobilenet，VGG和ResNet）评估所提出的表示的有效性。实验结果表明，提高了准确性。与现有作品的比较表明，在高召回率和精度值方面的性能提高。
2019-11-13 cs.CR cs.CV cs.LG
A Hybrid Insider Threat Detection Framework Combining Multi-Agent Simulation, Layered SIEM Correlation, and Theory-of-Mind Reasoning
Department of Computer Science（计算机科学系）
本文提出融合多智能体仿真、行为取证和基于信任的机器学习的自适应内部威胁检测框架，通过不同系统变体验证了认知上下文、证据门控验证和预训练通信校准对提升检测精度和降低误报的作用。
2026-09-02 cs.AI cs.CR
AnyThreat: An Opportunistic Knowledge Discovery Approach to Insider Threat Detection
由于越来越多的恶意内部事件，内部威胁检测越来越受到学术界、工业界和政府的关注。现有的方法提出的检测内部威胁仍然有一个共同的缺点，这是大量的误报（误报）。这些方法面临的挑战是，必须检测属于特定威胁的所有异常行为。为了解决这个缺点，我们提出了一个机会主义的知识发现系统，即AnyThreat，目的是检测所有恶意内部威胁中的任何异常行为。我们设计的AnyThreat系统有四个组件。(1)一个功能工程组件，它从具有相同角色的一组用户的活动日志中构造社区数据集。(2)在过采样部分，我们提出了一种新的过采样技术，称为人工少数过采样和捕获器REMOVAL（AMOTRE）。AMOTRE首先去除与正常（多数）实例相似度高的少数（异常）实例，以减少虚警数量，然后通过屏蔽多数类的边界对少数类进行综合过采样。(3)引入类分解组件，将多数类的实例聚类为子类，在不损失信息的情况下削弱多数类的影响。(4)分类组件，它对子类应用分类方法，以实现多数类和少数类之间更好的分离。AnyThreat基于卡内基梅隆大学生成的合成数据集进行评估。它检测到大约87.5%的恶意内部威胁，并实现最低误报率= 3.36%。
2018-12-01 cs.CR cs.LG stat.ML
Insider Threat Detection Using GCN and Bi-LSTM with Explicit and Implicit Graph Representations
School of Computer Science, Northumbria University（北约翰·纽卡斯尔大学计算机科学学院）；School of Computing, Engineering & Digital Technologies, Teesside University（泰赛德大学计算、工程与数字技术学院）；Mukesh Patel School of Technology, Management, and Engineering, NMIMS University（NMIMS大学穆凯什·帕特尔技术、管理与工程学院）
本文提出结合显式和隐式图表示与Bi-LSTM的时间建模方法，用于提高内部威胁检测的准确性和鲁棒性。
2025-12-20 cs.AI cs.CR
Unsupervised User-Based Insider Threat Detection Using Bayesian Gaussian Mixture Models
Laval University（拉瓦尔大学）
内部威胁是组织越来越关注的问题，因为他们的成员可以通过结合他们的特权访问和领域知识造成大量的损害。然而，检测此类威胁具有挑战性，这正是因为授权人员能够轻易地进行恶意行动，也因为各组织产生的审计数据规模巨大且多样性很大，其中隐藏了很少的恶意足迹。在本文中，我们提出了一个无监督的内部威胁检测系统的审计数据的基础上，使用贝叶斯高斯混合模型。该方法利用基于用户的模型来优化特定的行为建模和基于Word2Vec的自动特征提取系统，以便于在现实生活中的场景中使用。该解决方案的区别在于不需要数据平衡，也不需要仅在正常实例上进行训练，并且实现所需的领域知识很少。尽管如此，结果表明，该方法与国家的最先进的方法竞争，提出了一个良好的召回率为88%，准确率和真阴性率为93%，假阳性率为6.9%。在我们的实验中，我们使用了基准数据集CERT版本4.2。
2022-11-23 cs.CR cs.LG
TabSec: A Collaborative Framework for Novel Insider Threat Detection
针对企业数据面临的内外威胁边界模糊、稀有攻击难检测的问题，提出融合IDS与UEBA的协作检测框架TabITD，结合TabNet稀疏注意力特征选择机制，提升检测性能，两数据集上平均准确率超96%。
2024-11-04 cs.CR
MambaITD: An Efficient Cross-Modal Mamba Network for Insider Threat Detection
College of Cyber Security（网络安全学院）；Jinan University（济南大学）；Department of Electrical and Electronic Engineering（电子与电气工程系）；Xi’an Jiaotong-Liverpool University（西安交通大学利物浦大学）
针对现有内部威胁检测在时序建模、效率及跨模态融合上的不足，本文提出MambaITD框架，利用Mamba状态空间模型和门控融合，结合自适应阈值优化，高效检测异常并优于Transformer方法。
2025-08-06 cs.CR cs.LG
Classifier Suites for Insider Threat Detection
PeopleTec, Inc.（PeopleTec公司）
检测内部威胁的更好方法需要新的预期分析，以便在丢失数据之前捕获风险行为。为了寻找最好的整体分类器，这项工作经验评分88机器学习算法在16个主要家庭。我们从大型CERT数据集中提取风险特征，该数据集将真实的网络行为与个人威胁叙述相结合。我们发现测量员工情绪的预测重要性。在CERT上测试的主要分类器家族中，随机森林算法提供了最佳选择，不同的实现得分超过98%准确。与更模糊或黑盒的替代方案相比，随机森林是许多决策树的集合，因此提供了一组深度但人类可读的检测规则（>2000条规则）。我们通过使用交叉验证惩罚长执行时间对较高的中位数精度来解决性能排名。我们将威胁的相对罕见性作为低信噪比（< 0.02%恶意活动到良性活动）的情况来解决，然后对统计平衡的欠采样和过采样数据进行训练，以识别恶意行为者。
2019-01-30 cs.CR cs.LG stat.ML
ADSAGE: Anomaly Detection in Sequences of Attributed Graph Edges applied to insider threat detection at fine-grained level
Atos Information Technology（Atos信息技术公司）；University of Passau（帕绍大学）
以前的作品在CERT内部威胁检测的情况下，忽略了图形和文本功能，尽管它们的相关性来描述用户的行为。此外，现有系统严重依赖于特征工程和审计数据聚合来检测恶意活动。这是耗时的，需要专业知识，并防止追溯警报到精确的用户操作。为了解决这些问题，我们引入ADSAGE来检测异常的审计日志事件建模为图形边缘。我们的一般方法是第一个在边缘级别进行异常检测，同时支持边缘序列和属性，可以是数字，分类，甚至文本。我们描述了ADSAGE如何在CERT用例的不同审计日志中用于细粒度的事件级内部威胁检测。值得注意的是，没有标准的CERT问题的基准，我们使用以前提出的评估设置的基础上现实的召回为基础的指标。我们评估ADSAGE的身份验证，电子邮件流量和来自CERT内部威胁数据集的Web浏览日志，以及真实世界的身份验证事件。ADSAGE可以有效地检测身份验证中的异常，建模为用户与计算机的交互，以及电子邮件通信。简单的基线也会产生令人惊讶的强大结果。我们还报告了CERT数据集中存在的恶意场景的性能分裂：有趣的是，几个检测器是互补的，可以结合起来提高检测。总的来说，我们的研究结果表明，图特征是翔实的恶意内部活动的特征，并在细粒度级别的检测是可能的。
2020-07-14 cs.CR cs.LG stat.ML
Duplicity Games for Deception Design with an Application to Insider Threat Mitigation
最近发生的Colonial Pipeline勒索软件攻击和SolarWinds黑客攻击等事件表明，传统的防御技术已不足以阻止日益复杂的对手。主动防御和欺骗性防御是一种新兴的方法，用于防御零日攻击和高级攻击。这项工作开发了一个新的博弈论框架称为双重游戏设计欺骗机制，包括一个发电机，一个激励调制器，和一个信任操纵器，称为GMM机制。我们制定了一个数学规划问题来计算最佳的GMM机制，量化可执行的安全策略的上限，并表征条件对用户的可识别性和可识别性的网络属性和用户管理。我们开发了一个分离的原则，从GMM机制和等效原理，把发生器和机械手的联合设计到机械手的单一设计的调制器的设计。一个案例研究的动态蜜罐配置，以减轻内部威胁。数值实验证实了最优GMM机制可以从自私和敌对的内部人员中引发期望的行为，从而提高内部网络的安全态势。特别是，适当的调制器可以减少球员之间的\textcolor{black}{incentive misalignment}，实现自私的内线和防守者的双赢局面。同时，我们观察到，防御者总是受益于伪造的百分比时，最佳发电机。
2021-10-14 cs.CR cs.GT
LAN: Learning Adaptive Neighbors for Real-Time Insider Threat Detection
College of Cyber Science, Nankai University（南开大学网络空间安全学院）；College of Computer Science, Nankai University（南开大学计算机学院）
本文提出LAN框架，首次实现活动级实时内部威胁检测，通过图结构学习同时建模时间依赖和跨序列关系，并设计混合损失缓解数据不平衡，在CERT数据集上显著优于现有基线。
2024-03-17 cs.AI cs.CR cs.LG
Behavioral Analytics for Continuous Insider Threat Detection in Zero-Trust Architectures
本文提出基于AdaBoost的持续内部威胁检测方法，利用行为分析和机器学习技术，在零信任架构中实现高精度的异常检测。
2026-01-10 cs.CR cs.DC
Workplace Surveillance and Insider Threat Risk Management: Legal Limits and Privacy Harms
The Beacom College of Computer & Cyber Sciences, Dakota State University（达科他州立大学博科姆计算机与网络科学学院）；Department of Information & Communication Technology, Carl Sandburg College（卡尔·桑德堡学院信息与通信技术系）
本文探讨工作场所监控的法律限制与隐私损害，指出其虽服务于合法目的，但过度监控违法且会损害隐私，针对内部威胁（InT）提出提升监控透明度、开展培训及优化检测工具的建议。
2026-08-24 cs.CR
"Blockchain-Enabled Zero Trust Framework for Securing FinTech Ecosystems Against Insider Threats and Cyber Attacks"
本文提出集成 Ethereum 智能合约的零信任框架，结合 MFA、RBAC、JIT 与链上策略执行，增强金融科技抵御内部威胁和网络攻击的能力。
2025-07-26 cs.CR
Toward an Insider Threat Education Platform: A Theoretical Literature Review
The Beacom College of Computer & Cyber Sciences, Dakota State University（达科他州立大学比科姆计算机与网络学院）；College of Arts & Sciences, Dakota State University（达科他州立大学文理学院）；Mason School of Business, The College of William and Mary（威廉玛丽学院梅森商学院）
本文献综述从心理学、技术和教育视角全面梳理内部威胁研究，提取关键理论，为开发InT教育平台提供理论依据。
2024-12-18 cs.AI cs.CR cs.CY
New Frontiers of Network Security: The Threat Within
近70%的信息安全威胁来自组织内部。随着移动性的最新趋势（便携式设备，如笔记本电脑、智能手机等），内部威胁的机会以惊人的速度增加，无处不在的连接（无线或通过3G连接），并且随着越来越多的基于web的应用在因特网上可用，这种趋势增加。内部威胁通常由现任或前任员工、承包商或合作伙伴造成，他们有权访问组织的网络和服务器。窃取机密信息通常是为了物质利益或故意损害。互联网上的黑客工具、USB设备和无线连接都很容易被入侵。最终结果是在IP盗窃、客户/个人信息泄露等方面造成价值数百万美元的损失。本文介绍了对Insider威胁、攻击者及其动机的理解，并提出了组织层面的缓解技术建议
2010-10-13 cs.CR
Signal Decomposition Reveals Structure in Insider Threat Detection under Sparse Temporal Data
Georgia Institute of Technology（佐治亚理工学院）；Portland Community College（波特兰社区学院）
本文通过信号分解方法，在稀疏时间数据中揭示内部威胁检测的结构，通过双通道自编码器分离活动存在与强度，提升检测效果。
2026-04-29 cs.CR
Deterrence and Prevention-based Model to Mitigate Information Security Insider Threats in Organisations
以前的研究表明，信息安全漏洞和隐私侵犯是组织和个人的重要问题。人们认识到，要减少这一领域的风险，就必须在考虑人的因素的同时，考虑到信息安全的技术因素。员工有意或无意地对组织中的信息资产构成了很大一部分威胁。这项研究提出了一个新的概念框架，以减轻风险的内部人员使用威慑和预防的方法。威慑因素阻止员工在组织中从事信息安全不当行为，情景犯罪预防因素鼓励他们防止信息安全不当行为。我们的研究结果表明，感知制裁的确定性和严重性显着影响个人的态度，并阻止他们从信息安全不当行为。此外，输出显示，增加努力，风险和减少奖励（犯罪的好处）影响员工对防止信息安全不当行为的态度。然而，消除借口和减少挑衅并没有显着影响个人的态度，防止信息安全不当行为。最后，数据分析的结果还表明，主观规范、感知的行为控制和态度影响个人的意图，并最终影响他们避免信息安全不当行为的行为。
2019-03-15 cs.CR cs.CY
Percolation Model of Insider Threats to Assess the Optimum Number of Rules
规章制度和政策是文明社会的基础，用于协调具有各种目标和目的的个人的活动。历史告诉我们，过度监管（太多的规则）会使竞争变得困难，而监管不足（太少的规则）会导致危机。这意味着避免这两个极端的最佳规则数量。规则创建的边界定义了个人执行其活动的自由度。本文创建了一个玩具模型的工作环境，并检查它的纬度提供给一个正常的个人和纬度提供给内部的威胁。玩具模型的模拟说明了四个制度方面的内部威胁：监管不足，可能是最佳的，引爆点，监管过度。这些制度取决于规则的数量（N）和一个正常的个人进行活动所需的最小纬度（Lmin）。然后将玩具模型映射到来自理论物理的标准1D渗流模型上，并观察到相同的行为。这使得玩具模型可以推广到一系列更复杂的模型，这些模型已经被理论物理界很好地研究过，并且也表现出相同的行为。最后，通过估计N和Lmin，应该可以确定任何特定环境的状态。
2014-12-30 cs.CR cs.CY physics.soc-ph
