МОДЕЛЬ КОНТРОЛЯ УДАЛЁННОГО ДОСТУПА НА ОСНОВЕ ИЕРАРХИЧЕСКОГО ПОВЕДЕНЧЕСКОГО ПРОФИЛЯ В УСЛОВИЯХ ХОЛОДНОГО СТАРТА

Введение

Удалённый доступ стал базовой формой деятельности финансовых учреждений. Это повышает эффективность, но расширяет возможности для атаки – компрометация учётных данных, действия внутренних нарушителей, перехват сессии.

Традиционное управление доступом опирается на статические правила авторизации: права назначаются по роли при приёме на работу и практически не пересматриваются. Принципиальный недостаток модели «авторизация есть доверие» - неспособность распознать сценарий, когда легитимный пользователь выполняет аномальные действия.

Для восполнения пробела применяется динамическое управление доступом на основе поведенческого анализа, но это не работает в условиях «холодного старта», поскольку у нового сотрудника исторических данных нет.

Методы контроля удалённого доступа при холодном старте

Методы контроля удалённого доступа в финансовом контексте делятся на три класса.

Правила-ориентированное управление предоставляет права на основе роли или атрибутов. Оно просто в реализации и аудите, но не воспринимает изменения поведения в ходе сессии.

Анализ аномалий выполняют аналитические и машинно-обучаемые модели, например, обнаружение всплесков объёма доступа во временных рядах [1].

Концептуальная модель иерархического поведенческого профиля

В настоящей работе предлагается концептуальная модель иерархического поведенческого профиля: для каждого пользователя поддерживаются два уровня поведенческих ориентиров – ролевой уровень и индивидуальный уровень.

Формально, оценка отклонения S(u,t) пользователя u в момент t состоит из двух взвешенных частей:

S(u,t)=α(n_u)∙S_ind(u,t)+(1-α(n_u))∙S_role(u,t), (1)

где

S_ind​ — оценка отклонения на основе индивидуального базового уровня; 

S_role​ — оценка отклонения на основе ролевого базового уровня;

n_u​ — накопленное число наблюдений пользователя u;

α — монотонно возрастающая весовая функция.

Качество ролевого базового уровня определяет качество суждения на этапе холодного старта. При его построении необходимо учесть несколько проектных решений.

Гранулярность роли должна быть сбалансированной, поскольку слишком грубая роль (например, «технический персонал») ведёт к чрезмерно широкому базовому уровню, скрывающему реальные различия внутри роли; слишком узкая роль (например, «оператор третьего уровня, занимающийся управлением счетами») может из-за недостаточного объёма выборки потерять статистическую значимость.

Не все поведенческие измерения подходят в качестве ориентира холодного старта. Предпочтение следует отдавать признакам с сильной ролевой обусловленностью – то есть тем, по которым разные индивиды одной роли склонны демонстрировать сходные паттерны.

Необходимо обеспечить динамичность базового уровня. Организационные изменения, перестройка бизнес-процессов, обновление систем могут изменить «нормальное поведение» роли.

При выборе формы функции α необходимо сбалансировать две цели: достаточно быстро реагировать на индивидуальные различия и достаточно устойчиво избегать колебаний суждения из-за раннего шума.

Одна из простых форм переходной функции — экспоненциальное насыщение:

α(n)=1-exp(-n/k)), (2)

где

k​ — «характерный масштаб перехода», управляющий скоростью перехода.

Однако выбор конкретной формы должен опираться на эксперимент; в настоящей работе он рассматривается как проектное решение, подлежащее последующей проверке.

Обсуждение и ограничения

Предложенная модель позволяет обеспечить плавный переход нового профиля из режима холодного старта в режим индивидуального поведенческого профиля.

Эффективность модели основана на допущении, что поведенческие паттерны внутри роли достаточно однородны и ролевой уровень обладает предсказательной силой для индивида. При больших внутриролевых различиях сигнальная ценность ролевого уровня снижается.

Заключение

С позиции проблемы холодного старта проведён анализ методов поведенческого контроля удалённого доступа в финансовых учреждениях и показано наличие структурного разрыва между обнаружением аномалий по индивидуальным историческим данным и статическим контролем. Предложена концептуальная модель иерархического поведенческого профиля, в которой групповая поведенческая модель роли используется как априорный ориентир при недостатке индивидуальных данных, с плавным переходом к индивидуализированному анализу по мере их накопления.