Comparison of data-oriented and process-oriented approaches for insider attack detection from audit logs

Bc. Marek Laššák

Bachelor's thesis

Abstract:

Táto práca skúma a porovnáva automatizované procesne a dátovo orietované metódy, konkrétne dolovanie procesov (process mining) a hĺbkovú analýzu dát (data mining), a diskutuje o ich využiteľnosti pri detekcií interných útokov (insider attacks) na základe auditovacích záznamov poskytnutých spoločnosťou Safetica Technologies s.r.o. Teoretická časť práce poskytuje náhľad do problematiky interných hrozieb (insider threats). Následne sa práca detailnejšie venuje oblastiam dolovania procesov a hĺbkovej analýzy dát, kde popisuje základnú terminológiu, nutné požiadavky na formu vstupných dát a popisuje implementácie vybraných metód. Praktická časť práce najskôr zdôvodňuje výber použitých techník, pričom následne popisuje proces získania a spracovania vstupných dát a implementovanú funkcionalitu. Samotná implementácia bola realizovaná pomocou existujúcich nástrojov implementovaných v programovacom jazyku Python. V poslednej časti práca porovnáva dolovanie procesov s hĺbkovou analýzou dát. Následne porovnáva dolovanie procesov a metódu rozhodovacích stromov (decision tree learning), ktorá bola zvolená ako hlavný reprezentant dátovo orientovaných metód. Samotné porovnanie techník vychádza zo skúmaných teoretických základov a praktických pozorovaní, pričom dané praktické pozorovania boli uskutočnené počas implementácie ilustratívnych scenárov interných útokov. Práca je zakončená diskusiou o využiteľnosti skúmaných metód pre detekciu interných útokov.

Abstract:

This thesis studies and compares the automatized process-oriented and data-oriented methods, namely process mining and data mining, and discusses their applicability for insider attack detection from the audit log data provided by Safetica Technologies s.r.o. The theoretical part presents an overview of the insider threat domain. Subsequently, it introduces the fields of process mining and data mining, where it explains the essential terminology, data format requirements and selected implementations of these methods. In the practical section, the paper describes the methodology behind the choice of techniques, obtaining data from the provided audit logs, the assembled data profile, and the implemented workflows for pre-processing and the chosen methods. The workflows in question were implemented using relevant open-source Python frameworks for process mining and data mining. The thesis then compares process mining to data mining and process mining to decision tree learning, which is chosen as the primary representative of data mining methods. The comparison is approached theoretically and practically. The practical one involves illustrative implementations of process mining and data mining techniques for insider attack detection in created insider attack scenarios. Finally, based on the theoretical and practical observations, the thesis is concluded with a discussion about the usefulness of process mining and data mining for insider attack detection.

Keywords

insider threat, insider attack, audit logs, Safetica, process mining, data mining, decision tree learning, Python

Language used: English

Date on which the thesis was submitted / produced: 19. 5. 2022

Thesis defence

• Date of defence: 30. 6. 2022
• Supervisor: RNDr. Martin Macák
• Reader: doc. Ing. RNDr. Barbora Bühnová, Ph.D.

Masaryk University

Faculty of Informatics

Bachelor programme / field:
Applied Informatics / Applied Informatics