The utilization of process mining for insider attack detection in information systems

Bc. Daniel Rozehnal

Bachelor's thesis

Abstract:

V neustále se vyvíjející oblasti kybernetické bezpečnosti se hrozby zevnitř staly pro organizace znepokojivou výzvou, která představuje riziko pocházející od osob s oprávněným přístupem k cenným zdrojům. Díky své obeznámenosti s organizací a jejími operacemi mohou insideři provádět útoky diskrétně, což představuje další výzvu pro přesnou detekci. Cílem této práce je posoudit užitečnost a účinnost metod process miningu při detekci útoků zevnitř a identifikovat specifické problémy s nimi spojené. Prostřednictvím systematicky strukturované uživatelské studie zkoumáme obtíže, které process mining představuje pro běžné uživatele, které typy insider útoků jsou náchylnější na detekci, a porovnáváme process mining s datově orientovanými přístupy. V rámci práce se zaměřujeme na oblast univerzitních informačních systémů a vytváříme novou knihovnu pro generování logů událostí, která slouží k vytváření autentických datových sad pro tuto specifickou oblast. Jsou prezentovány a diskutovány výsledky uživatelské studie, které nabízejí cenné poznatky o silných stránkách a omezeních process miningu v kontextu detekce insider útoků. Poznatky získané z této práce podtrhují potenciál process miningu jako cenného nástroje pro detekci insider útoků a poskytují základ pro budoucí výzkum.

Abstract:

Within the constantly evolving field of cybersecurity, insider attacks have emerged as an intimidating challenge for organizations, posing risks that originate from individuals with legitimate access to valuable resources. Due to their familiarity with the organisation and its operations, insiders can execute attacks discreetly, which poses additional challenges for accurate detection. Process mining, as a method of process analysis and visualisation, proved to be a promising candidate for insider attack detection. The purpose of this thesis is to further assess the usefulness and effectiveness of process mining methods in insider attack detection and to identify the specific challenges associated with them. Through a user study, we explore the difficulties, that process mining poses for regular users, which insider attack types are most vulnerable to detection, and compare process mining with data-oriented approaches. Within the work, we focus on the area of university information systems and create a new event log generation library to produce authentic datasets for this specific domain. The results of the user study are presented and discussed, offering valuable insights into the strengths and limitations of process mining in the context of insider attack detection. The insights gained from this thesis underscore the potential of process mining as a useful tool for insider attack detection and provide directions for improvements in future research.

Keywords

process mining, process analysis, insider attacks, insider threats, information systems, user study

Language used: English

Date on which the thesis was submitted / produced: 19. 12. 2023

Thesis defence

• Date of defence: 13. 2. 2024
• Supervisor: RNDr. Martin Macák
• Reader: doc. RNDr. Radek Ošlejšek, Ph.D.

Masaryk University

Faculty of Informatics

Bachelor programme / field:
Programming and development / Programming and development