Применение байесовых сетей в задачах анализа внутренних угроз информационной безопасности Текст научной статьи по специальности «Компьютерные и информационные науки»

Вестник Воронежского института МВД России №1 / 2015

В.Ю. Карпычев, В.М. Сычев

ПРИМЕНЕНИЕ БАЙЕСОВЫХ СЕТЕЙ В ЗАДАЧАХ АНАЛИЗА ВНУТРЕННИХ УГРОЗ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

THE USE OF BAYES NETWORKS IN PROBLEMS OF ANALYSIS INTERNAL THREATS TO INFORMATION SECURITY

Статья посвящена проблеме выявления и предупреждения инсайдерского поведения персонала в организациях с большим количеством сотрудников. Для решения проблемы предложено создать автоматизированную информационную систему, сочетающую предметные знания, современные средства аналитики и оперативного мониторинга инсайдерского поведения. Формализация задачи выявления и анализа инсайдерских признаков персонала производится на основе байесовских сетей, моделирующих лояльность сотрудников. В качестве инструментальных средств реализации предложенного подхода рассматриваются приложения интеллектуального анализа данных класса Data Mining.

Article is devoted to the detection and prevention of insider behavior of staff in organizations with a large number of employees. To solve the problem prompted to create an automated information system that combines subject knowledge, advanced analytics and real-time monitoring insider behavior. The formalization of the problem identification and analysis of insider signs personnel is based on Bayesian networks that model employee loyalty. As tools implement the proposed approach considers the application of data mining class Data Mining.

Одна из основных задач, стоящих перед службами информационной безопасности (ИБ) предприятия, состоит в выявлении и предупреждении инсайдерского поведения персонала. В связи с правовыми ограничениями и ограничениями на ресурсы всесторонняя и регулярная проверка всех сотрудников предприятия (особенно при большой штатной численности) невозможна. При этом в различных подразделениях предприятия накапливаются значительные массивы легальной персональной информации, анализ которой может быть использован для выявления признаков инсайдерских настроений сотрудников 1. Имея сведения такого рода, службы ИБ могли бы организовать более тщательную индивидуальную работу с персоналом в части профилактики инсайдерского поведения.

Однако существуют серьезные проблемы, стоящие перед службами ИБ организаций, связанные с выявлением в существующих информационных массивах «подозрительных» сведений, а также с анализом их относимости и степени влияния на инсайдерскую характеристику сотрудников.

1 Идея мониторинга состояния объекта по набору косвенных признаков не является новой, см., например, приказ Росфинмониторинга от 08.05. 2009 №103 «Об утверждении Рекомендаций по разработке критериев выявления и определению признаков необычных сделок» (в редакции приказа от 23.08.2013).

244

Научные сообщения

Представляется, что эти проблемы могут быть решены путем создания информационной системы, сочетающей предметные знания, современные средства аналитики, оперативного мониторинга и реагирования. Результатом работы такой системы может быть оценка инсайдерских рисков с целью поддержки принятия решений по профилактике инсайдинга персонала. Для разработки такой системы, прежде всего, необходима формализация задачи выявления и анализа признаков нелояльности персонала.

В общем случае лояльность сотрудников организаций характеризуется неопределенностью, обусловленной неполным знанием состояния и (или) случайным характером факторов, влияющих на ее изменения. В настоящее время для моделирования таких предметных областей широко используются байесовые (байесовские) сети, которые являются развитием вероятностного подхода на основе известной теоремы Байеса. Байесовские сети (БС) представляют собой модель, которая отражает вероятностные и причинно-следственные отношения между переменными и позволяет произвести описание полного совместного распределения вероятностей [1].

Формально БС интегрирует два математических объекта:

- направленный ациклический граф с множеством вершин F={F\, ..Fm}, каждая из которых моделирует некоторое событие, имеющее несколько состояний и описываемое случайной величиной;

- вероятностное распределение P(F), заданное на множестве случайных переменных F={Fi, ...Fm}, соответствующих вершинам графа.

В общем случае вершины БС могут представлять переменные любых видов, в том числе дискретные случайные величины с конечным количеством состояний, а также непрерывные величины. В данной работе для моделирования лояльности персонала применяются как дискретные, так и непрерывные переменные (т.е. используются гибридные байесовские сети).

Дуги в графе БС имеют вероятностную и причинную интерпретацию. Вероятностная интерпретация предполагает, что граф отражает отношения вероятностных зависимостей и их отсутствия (условная независимость) между случайными переменными множества F.

При этом любая переменная Fj е F условно не зависит от всех переменных, не являющихся ее потомками в графе, если заданы прямые родители этой переменной. Это правило позволяет разложить полное совместное распределение P(F) = P(Fi, ...Fm) в виде произведения условных распределений:

P( F....F.) = П P(FIM F)), (1)

3

где pa(Fj) — состояния всех переменных — прямых родителей для переменной Fj.

Причинная интерпретация трактует дугу в графе БС как причинно -следственную стохастическую связь (прямую зависимость) между смежными переменными.

Вершине, которая не имеет родителей, ставят в соответствие таблицу безусловных (маргинальных) вероятностей ее состояний. При наличии у вершины родителей ей соответствует:

- для дискретной величины — таблица условных вероятностей, каждая ячейка которой содержит условную вероятность пребывания вершины в определенном состоянии для случая определенной конфигурации состояний всех ее родителей.

245

Вестник Воронежского института МВД России №1 / 2015

- для непрерывной величины — функция условных вероятностей.

Тривиальная БС представляет причинно-следственную связь между двумя элементами предметной области. Пусть вершина Hi моделирует лояльность Si сотрудника,

SiG S (i = 1, п ), а Rk е R (k= 1, p ) — один из возможных признаков его нелояльности, т.е. состояние Rk зависит от Hi, (рис. 1). Здесь R — множество субъективных признаков (социальные, психологические и др.), характеризующих лояльность сотрудника Si.

Рис. 1. Двухэлементная причинно-следственная модель лояльности сотрудника (тривиальная байесовская сеть)

Рис. 1 может быть интерпретирован следующим образом: «нелояльность Si сотрудника может проявляться в признаке RkGR». Вероятностное разложение для этого случая P(Hh Rk) = Р(Н) P(Rk\H).

При этом следует понимать, что состояние лояльности Hi сотрудника может быть вызвано, например, Fj фактором, (причиной, условием, предпосылкой возникновения нелояльности и т.д.). Тогда более точной представляется трехэлементная причинно-следственная модель лояльности сотрудника (рис. 2).

Рис. 2. Трехэлементная причинно-следственная модель лояльности сотрудника

Байесовская сеть, приведенная на рис. 2, в рамках исследуемой области может трактоваться следующим образом: некий фактор Fj влияет на состояние лояльности Hi сотрудника Si, которое, в свою очередь, проявляется в некотором признаке нелояльности Rk. Такая модель имеет разложение P(Fj, Hi, Rk) = P(Fj) P(Hi\Fj) P(Rk\H).

Будем считать, что для рассматриваемой БС (рис. 2) вершины Fj и Rk могут быть зависимы друг от друга, но в соответствии с гипотезой об условной независимости, становятся независимыми, если известно значение узла Hi.

В качестве примера можно интерпретировать введенные переменные, например, следующим образом:

- Fj — тяжелое материальное положение сотрудника Si ;

- Hi — текущее состояние лояльности сотрудника Si ;

246

Научные сообщения

- Rk — поиск сотрудником Si возможности улучшения материального состояния противоправными способами (признак).

Очевидно, что Fj и Rk зависимы через Hi, т.е. чем хуже материальное положение сотрудника, тем ниже его лояльность, и тем более возможно ее проявление в конкретном инсайдерском поведении. Но при известном состоянии (низкой) лояльности Hi инсайдерское поведение Rk от вызвавшей его причины Fj (тяжелое материальное положение) уже не зависит.

Нетрудно видеть, что предложенная на рис. 2 модель лояльности персонала (последовательное соединение вершин) не является единственно возможной на множествах F и R: это частный случай причинно-следственных отношений Fj ^ Rk между переменными. На рис. 3 представлено множество иных вариантов (комбинации дивергентных и конвергентных соединений БС).

Рис. 3. Множество вариантов причинно-следственных взаимосвязей факторов и признаков нелояльности персонала

Теоретически БС можно построить простым перебором множества всех возможных нециклических моделей. Однако в общем случае вероятностный вывод в произвольной БС является NP-трудным [2]. В [3], например, показано, что при количестве вершин больше 7 выполнить полный перебор невозможно, поскольку современные вычислительные системы не обладают необходимыми для этого вычислительными ресурсами.

Кроме того, следует отметить, что начертание графа и значения переменных в исследуемой предметной области являются временными (динамические байесовские сети): обычно существуют скрытые (латентные) переменные, из-за которых может меняться структура сети и значений переменных.

При этом, учитывая условную независимость VFj и VRk в сети (рис. 3), можно полагать, что существуют не только связи Hi ^ Rk, но и обратные связи Hi ^ Fj, которые с содержательной точки зрения могут трактоваться как то, что, «нелояльность» сотрудника сопряжена с существованием не только множества признаков-факторов F но и множества признаков-следствий R.

247

Вестник Воронежского института МВД России №1 / 2015

Тогда сеть, представленную на рис. 3, можно частично преобразовать, изменив направление дуг <Fj Hi> и обозначить F U R = E (рис. 4)1. Будем называть элементы множества E свидетельствами (evidence) и понимать под ними различные признаки нелояльности персонала, т.е. случайные переменные, получившие означивание в результате наблюдения над персональными информационными массивами сотрудников.

Рис. 4. Графическое представление лояльности сотрудника в виде набора свидетельств

На рис. 5 БС интерпретирована в терминах предметной области. При этом для упрощения модели изображены группы признаков, ассоциированных с лояльностью сотрудников организации.

1 Во многих источниках, например [4], отмечается, что при построении БС не всегда просто определить, какое из двух событий — причина, а какое — следствие. Решение этого вопроса выходит за рамки математики и относится к предметной области.

248

Научные сообщения

Рис. 5. Семантическая трактовка байесовской сети, моделирующей лояльность сотрудников

В теории БС сети с топологиями, представленными на рис. 4 и рис. 5, обычно называют «наивными» БС. В наивной БС все входные вершины E условно независимы при условии фиксированной целевой вершины Hi. Поэтому наивная БС имеет следующее разложение: P(ei, ... em, Щ) = Р(Н) P(ei\Hi) Р(в2\Нд ■■■ P(em\Hi).

В наивной БС, моделирующей исследуемую предметную область, Hi — вершина сети, представляющая собой вероятность того, что сотрудник лоялен, а ei, ej,. em — свидетельства, учитываемые при расчете этой вероятности. Существенной особенностью модели является направление причинно-следственных связей в сети: стрелки выходят из вершины Hi и входят в вершины E. Здесь БС выполняет обратный логический вывод — определяет вероятность каждого состояния вершины Hi при известных состояниях вершин E.

Пусть известна условная вероятность P(ej\Hi) проявления свидетельства (признака) нелояльности ej при условии, что имеет место состояние Hi. Тогда теорема Байеса определяет вероятность состояния Hi, если появилось свидетельство нелояльности

P(Hi\ej) = P(ej\H) P(Hi) / P(ej). (2)

То есть раскрытие неопределенности осуществляется в БС путем вычисления апостериорных вероятностей состояний вершин H на основе свидетельств о значении вершин сети E.

Задача классификации. Предметная задача выявления нелояльного сотрудника или соответствующих признаков в математической постановке может рассматриваться как задача бинарной классификации (дихотомии), т.е. как задача предсказания категориальной зависимой переменной на основе выборки непрерывных и/или дискретных

249

Вестник Воронежского института МВД России №1 / 2015

переменных (двух и более свидетельств). В этой задаче зависимая переменная может принимать только два значения (0 или 1).

Действительно, будем рассматривать каждого сотрудника Si с точки зрения принадлежности к одному из двух непересекающихся множеств: S1 (множество лояльных сотрудников) и S2 (множество нелояльных сотрудников). Здесь S = S1 U S2.

Тогда задача оценки лояльности каждого сотрудника ( V Si сотрудника) является задачей отнесения его к одному из двух классов (множеств S1 и S2) и, соответственно, принадлежность к классу S1 означает лояльность этого сотрудника.

Поставим в соответствие понятию «лояльность» вершину сети (случайную дискретную переменную) Hi, которая для V Si сотрудника может находиться в одном из

двух состояний: h i (сотрудник Si лоялен) или h i (сотрудник нелоялен).

Поскольку вершина Hi не имеет родителей, значения вероятностей ее состояний являются безусловными и независимыми (т.е. заданы априорные вероятности ее состояний). Будем полагать, что на момент классификации на БС основания для верификации лояльности отсутствуют, т.е. существует стандартная ситуация неопределенности, которая в терминах вероятностного анализа интерпретируется равными априорными

вероятностями этих состояний, т. е: P( h i) = P( h i) = 0,5. С точки зрения классического байесовского подхода это означает, что априори существуют две равновероятные гипотезы: h i и h i. Эти гипотезы несовместны и образуют полную группу событий Hi. В доступных источниках отмечается, что статистика лояльности персонала зависит от многих факторов: отраслевой принадлежности и размеров предприятия, возраста и времени работы сотрудника на предприятии и др. В [5], например, приводится обобщенная структура данных по России, в которой 30% персонала составляют лояльные сотрудники и 42% — нелояльные сотрудники.

Если в результате вычислений на БС апостериорная вероятность нахождения

вершины Hi в состоянии h i будет, например, равна 0,8, это означает, что сотрудник Si принадлежит к классу S2 (SiG S2) с вероятностью 0,8.

Пусть ej, например, такое свидетельство, как вредные привычки, наличие которых снижает лояльность сотрудника (повышает возможность возникновения инсайдерской угрозы). Тогда эта вершина может иметь два состояния: ед — «наличие вредных привычек» и ej2 — «отсутствие вредных привычек». Если условные вероятности P(ejr\hi), r = 1.. .2 известны, то вершине ej соответствует таблица условных вероятностей и по формуле (2) можно рассчитать вероятности P(hi\ejr).

Для отнесения сотрудника Si к классу S2 (инсайдеров) в случае, когда известно

состояние ejr, используется очевидное правило: если P(h\eji) > P(h\eji), то Si эS2.

Следовательно, для определения лояльности сотрудника должны быть выделены все свидетельства, составляющие множество E, и заданы таблицы условных вероятностей для каждого свидетельства.

В рассмотренном выше примере свидетельство ej принимало одно из двух значений. Однако признаки могут иметь различную природу и принимать, как мы уже указывали, несколько значений или быть непрерывными [6].

250

Научные сообщения

Например, такой признак, как «заработная плата», может измеряться по количественной шкале отношений, а «заинтересованность в результатах труда» — качественной шкале порядка.

В этих случаях изменения значений каждого свидетельства можно отобразить в диапазон [0,1]. В [7] значения свидетельств нормированы в диапазон [-1, 1] и показано, что их изменение (например, возрастание) приводит к последовательному (линейному) изменению (возрастанию) значения соответствующей расчетной вероятности.

Однако подобный подход в исследуемой предметной области ведет к существенному усложнению модели и трудностям ее практического использования. Поэтому представляется возможным ограничиться выше рассмотренными бинарными характеристиками свидетельств по качественной шкале наименований. Для этого можно провести несложные преобразования, например, свести признак «заработная плата» к признаку «удовлетворенность уровнем оплаты труда».

Обучение байесовской сети. Как известно, решение задач классификации возможно только на «обученных» БС. Обучение БС заключается в настройке параметров ее отдельных вершин под конкретную задачу, т. е. в определении априорного распределения P(H) и условных распределений отдельных свидетельств P(ej\Hi). Обучение БС производится на обучающей выборке («обучение с учителем»), которая включает входные значения и соответствующие им выходные значения набора данных.

При этом самостоятельной и нетривиальной задачей является определение подхода к получению численных значений для таблиц условных вероятностей вершин БС. Наиболее распространенным принято считать получение этой информации на основании статистических данных и/или от экспертов в заданной предметной области.

Однако следует отметить, что для исследуемой предметной области в силу различных причин (рассмотрение которых выходит за рамки исследования статьи) оба источника не отвечают требованию достоверности. Это означает, что одной из особенностей задачи классификации сотрудников по критерию лояльности является трудность формирования набора данных для обучения БС, т. е. данных, для которых было бы известно распределение условных вероятностей по вершинам сети. Теоретически это исключает использование классификатора Байеса (как и других популярных классификаторов: деревья решений, нейронные сети), который предполагает предварительное обучение на тренировочном наборе данных.

Для преодоления данной трудности еще раз рассмотрим семантическую характеристику и особенности задачи:

- вершины БС моделируют множество E возможных свидетельств (признаков) проявления нелояльности сотрудников;

- конкретный набор Ea={eja} и количество |Еа\ актуальных свидетельств, присущих конкретному сотруднику Si случайны и зависят от времени;

- любой из актуальных признаков eia не может достоверно свидетельствовать о нелояльности сотрудника (что значительно повышать апостериорную вероятность не-лояльности)1, в противном случае резко повышается риск ошибки;

1 При низких априорных вероятностях любое положительное свидетельство значительно увеличивает вероятность гипотезы. Если же априорная вероятность относительно велика, то положительное свидетельство лишь незначительно увеличивает ее.

251

Вестник Воронежского института МВД России №1 / 2015

- свидетельство о нелояльности сотрудника с достоверной апостериорной вероятностью достигается за счет интегрального эффекта одновременного рассмотрения нескольких признаков.

Приведенные особенности БС позволяют предложить квазиэкспертный подход к обучению БС, а именно назначить для всех вершин сети V ei равные условные вероятности:

- P(ej\hi) — вероятность появления свидетельства ei при лояльности сотрудника (состояние hi)

- P(ej\h i) — вероятность появления свидетельства ei при нелояльности сотрудника (состояние h i).

При этом

- P(ej\hi) = const < P(ej\ h i) при наличии свидетельства ej;

- P(ej\hi) = P(ej\ h i) ^ 0 при отсутствии свидетельства ej.

Тогда можно сформулировать следующее решающее правило. Экспертно зададим:

- минимальное значение интегральной апостериорной вероятности достаточное

для отнесения сотрудника к классу инсайдеров, например, P(h i\ei, ..., ej)>70 или P(hi\ ei , ..., ej)<30 (j=1,m);

- количество свидетельств нелояльности |Еа|, актуализация которых необходима для выполнения первого условия решающего правила, например \Еа\=5.

При заданной априорной вероятности состояния лояльности сотрудника (например, P(hi) = 50), по формуле Байеса можно определить условные вероятности

свидетельств нелояльности: P(ej\hi) =10 и P(ej\ h i) =12. В таблице приведены значения апостериорной вероятностей нелояльности si сотрудника для различных значений e/ при указанных условиях.

Предложенный подход к обучению БС позволяет не рассматривать задачу минимизации риска возникновения ошибки при работе классификатора, поскольку риски минимизируются:

- тщательным подбором значений интегральной апостериорной вероятности

P(h i\ei , ..., ej) и числом |Еа| свидетельств, необходимых для классификации нелояльности сотрудников;

252

Научные сообщения

Зависимость значений условной вероятности от числа актуальных (задействованных) вершин байесовской сети

Количество актуальных Значение апостериорной вероятности P( h t\ei , ..., ej)

свидетельств нелояльности

eja для Hi вершины байесовской сети (нелояльность)

1 55

2 59

3 63

4 67

5 71

- «сигнальным» назначением (средство первоначального разведочного анализа) информационной системы, результаты работы которой должны быть проверены традиционными оперативными мероприятиями.

В завершение следует отметить, что в качестве инструментального средства реализации предложенного подхода можно рассматривать одно из приложений интеллектуального анализа данных класса Data Mining.

ЛИТЕРАТУРА

1. Рассел С., Норвиг П. Искусственный интеллект: современный подход. — М.: Вильямс, 2007. — 1408 с.

2. Терзиян В.Я., Витько А.В. Вероятностные метасети для решения задач интеллектуального анализа данных // Искусственный интеллект. — 2002. — № 3. — С. 188—197.

3. Терентьев А.Н., Бидюк П.И. Эвристический метод построения байесовских сетей // Математические машины и системы. — 2006. — №3. — С. 12—23.

4. Сироткин А. В. Байесовские сети доверия: дерево сочленений и его вероятностная семантика // Труды СПИИРАН. — Вып. 3. — Т. 1. — СПб.: Наука, 2006. — C. 228—239.

5. Ветошкина Т. Кадровая безопасность и лояльность персонала // Кадровик. Кадровый менеджмент. — 2009. — №1. — С. 12—19.

6. Карпычев В.Ю., Сычев В.М., Минин Ю.В. Новые подходы к моделированию внутреннего нарушителя информационной безопасности // Приборы и системы. Управление, контроль, диагностика. — 2013. — № 7. — С. 32—39.

7. Шехтер Д.Б, Чадюк А.В., Червинский-Ивашура А.Л. Байесовские методы в задаче оценки релевантности при поиске работы в Internet // Проблеми програмування. — 2006. — №2—3. — С. 519—525.

253

Вестник Воронежского института МВД России №1 / 2015

REFERENCES

1. Rassel S., Norvig P. Iskusstvennyiy intellekt: sovremennyiy podhod. — M.: Vilyams, 2007. — 1408 s.

2. Terziyan V.Ya., Vitko A.V. Veroyatnostnyie metaseti dlya resheniya zadach in-tellektualnogo analiza dannyih // Iskusstvennyiy intellekt. — # 3, 2002. — S. 188—197.

3. Terentev A.N., Bidyuk P.I. Evristicheskiy metod postroeniya bayesovskih setey // Matematicheskie mashinyi i sistemyi. — 2006. — #3. — S. 12—23.

4. Sirotkin A. V. Bayesovskie seti doveriya: derevo sochleneniy i ego veroyatnostnaya semantika // Trudyi SPIIRAN. — Vyip. 3. — T. 1. — SPb.: Nauka, 2006. — C. 228—239.

5. Vetoshkina T. Kadrovaya bezopasnost i loyalnost personala // Kadrovik. Kadrovyiy menedzhment. — 2009. #1. — S. 12—19.

6. Karpyichev V.Yu., Syichev V.M., Minin Yu.V. Novyie podhodyi k modelirovaniyu vnutrennego narushitelya informatsionnoy bezopasnosti // Priboryi i sistemyi. Upravlenie, kontrol, diagnostika. — 2013. — # 7. — S. 32—39.

7. Shehter D.B, Chadyuk A.V., Chervinskiy-Ivashura A.L. Bayesovskie metodyi v zadache otsenki relevantnosti pri poiske rabotyi v Internet // Problemi programuvannya. — 2006. — #2—3. — S. 519—525.

СВЕДЕНИЯ ОБ АВТОРАХ

Карпычев Владимир Юрьевич. Профессор кафедры «Информатика и системы управления». Доктор технических наук, профессор.

Нижегородский технический университет им. Р.Е. Алексеева.

E-mail: [email protected]

Россия, г. Нижний Новгород, ул. Минина, 24. Тел. 8(831)436-83-44.

Сычев Владимир Михайлович. Ассистент.

МГТУ им. Н.Э. Баумана.

Россия, 105005, Москва, ул. 2-я Бауманская, 5. Тел. 8(499)263-67-92.

Vladimir Y. Karpichev. Professor of Department "Informatics and control systems".

Nizhniy Novgorod State Technical University n.a. R.E. Alekseev.

E-mail: [email protected]

Work address: 603950, Russia, Nizhny Novgorod, Minin Str., 24.

Vladimir M. Sychev. Assistant.

Bauman Moscow State Technical University.

Work address: Russia, 105005, Moscow, 2nd Bauman Str., 5. Tel. 8(499)263-67-92.

Ключевые слова: информационная безопасность; инсайдер; лояльность; моделирование, байесовские сети; Data Mining.

Key words: information security; insider; loyalty, modelling; Bayesian networks; Data Mining.

УДК 621

254