The paper proposes a method of systematic analysis of an employee's digital footprint to detect unauthorized access to information in auto-mated systems of a secured enclave. The method is based on constructing three types of normal behavior profiles: temporal (work schedule), spatial (access routes to resources), and quantitative (intensity of operations). For each type, formal deviation indicators are introduced, which are aggregated into an integral risk indicator. Simulation modeling was conducted on synthetic data. The pro-posed method provides detection recall of 94% and precision of 92% with FPR of 4%. The method can be used in behavior analysis systems (UEBA).
system analysis, digital footprint, unauthorized access, secured enclave, UEBA, behavioral profiles
В автоматизированных системах защищённого контура контроль действий сотрудников является критически важной задачей [1]. Несанкционированный доступ к информации может быть связан как с умышленными действиями инсайдера, так и с компрометацией учётной записи. Традиционные средства контроля (журналы доступа, DLP) часто не позволяют выявить аномалии, маскирующиеся под легитимную активность.
В последние годы развиваются системы класса User and Entity Behavior Analytics (UEBA), которые строят профили нормального поведения пользователей и выявляют отклонения [2]. Однако такие системы часто не учитывают специфику защищённого контура (ограниченный круг пользователей, строгие регламенты работы).
Цель работы — разработка метода системного анализа цифрового следа сотрудника, учитывающего три аспекта поведения: временной, пространственный и количественный.
ПОСТАНОВКА ЗАДАЧИ
Для каждого сотрудника u в момент времени t регистрируется вектор действий a_t^((u))∈R^m, включающий: время действия, идентификатор ресурса, тип операции (чтение, запись, копирование, удаление), объём данных, идентификатор рабочей станции. На основе последовательности таких векторов строится цифровой след сотрудника.
Задача состоит в том, чтобы для каждой новой сессии действий определить, является ли она аномалией (признаком несанкционированного доступа). Аномалия может быть обнаружена по трём категориям: временные (действия в нерабочее время), пространственные (обращение к новым ресурсам), количественные (нехарактерный объём операций).
МЕТОДОЛОГИЯ
На рисунке 1 представлена блок-схема предлагаемого метода системного анализа цифрового следа
Рисунок 1 — Блок-схема метода системного анализа цифрового следа
Временной профиль. Вероятность работы сотрудника в час h оценивается как:
█(P_"time" (h)=("число действий в час " h)/"общее число действий" #(1))
Временное отклонение для действия в час h:
█(d_"time" (h)=max(0,1-(P_"time" (h))/ε_"time" )#(2))
Пояснение: ε_"time" =0,05 — минимальная допустимая вероятность. Если действие происходит в час с вероятностью ниже порога, отклонение положительно.
Пространственный профиль. Вероятность обращения к ресурсу r:
█(P_"space" (r)=("число обращений к ресурсу " r)/"общее число обращений" #(3))
Пространственное отклонение:
█(d_"space" (r)=max(0,1-(P_"space" (r))/ε_"space" )#(4))
Пояснение: ε_"space" =0,01. Если сотрудник обращается к ресурсу, который ранее использовал редко (вероятность ниже порога), фиксируется аномалия.
Количественный профиль. Для каждого типа операции o строится распределение объёма данных V. Нормальным считается интервал [μ_o-2σ_o,μ_o+2σ_o]. Количественное отклонение:
█(d_"quant" (V,o)=max(0,(|V-μ_o |-2σ_o)/(μ_o+2σ_o ))#(5))
Пояснение: если объём выходит за пределы доверительного интервала, отклонение пропорционально превышению.
Интегральный показатель риска. Общее отклонение для сессии — взвешенная сумма средних отклонений по всем действиям:
█(R=w_"time" ⋅d ‾_"time" +w_"space" ⋅d ‾_"space" +w_"quant" ⋅d ‾_"quant" #(6))
Веса назначены экспертным путём: w_"time" =0,2, w_"space" =0,5, w_"quant" =0,3. Порог аномалии θ выбирается как 95-й процентиль распределения R на обучающей выборке.
ROC-кривая интегрального показателя. На рисунке 2 представлена ROC-кривая интегрального показателя риска
Рисунок 2 — ROC-кривая интегрального показателя риска
ЭКСПЕРИМЕНТАЛЬНОЕ ИССЛЕДОВАНИЕ
Синтетические данные. Сгенерированы 500 «нормальных» сценариев: 100 менеджеров (9:00–18:00, 30 ресурсов), 200 инженеров (8:00–17:00, 50 ресурсов), 100 администраторов (гибкий график, 100 ресурсов), 100 операторов (посменная работа, 10 ресурсов). Также 50 «аномальных» сценариев: работа в 3:00, доступ к новым ресурсам, массовое копирование (>100 файлов/час).
Таблица 1 — Эффективность обнаружения по типам профилей
Тип профиля Полнота, % Точность, % FPR, %
Только временной 68,3 72,1 8,2
Только пространственный 78,4 81,2 6,1
Только количественный 72,6 74,8 7,4
Интегральный (все три) 94,2 92,1 4,1
Интегральный показатель значительно превосходит каждый из профилей по отдельности.
ЗАКЛЮЧЕНИЕ
Разработан метод системного анализа цифрового следа сотрудника для выявления несанкционированного доступа в автоматизированных системах защищённого контура. Предложены три типа профилей (временной, пространственный, количественный) и интегральный показатель риска. На синтетических данных метод достиг полноты 94,2%, точности 92,1% и FPR 4,1%. Метод может быть использован в системах UEBA для защищённых сред.
1. Zol'nikov V.K., Sazonova S.A., Anikeev E.A. Modelirovanie raspredeleniya kanal'nogo resursa korporativnoy seti svyazi // Modelirovanie sistem i processov. 2025. T. 18, № 1. S. 28-44. DOI:https://doi.org/10.12737/2219-0767-2025-28-44 EDN: https://elibrary.ru/FNQMTK
2. Achkasov A.V., Yagodkin A.S., Makarenko F.V., Zalenskaya N.Yu. Primenenie neyronnyh setey dlya optimizacii energopotrebleniya SBIS // Modelirovanie sistem i processov. 2025. T. 18, № 1. S. 7-16. DOI:https://doi.org/10.12737/2219-0767-2025-7-16 EDN: https://elibrary.ru/MQXMHM
3. Zol'nikov V.K., Sazonova S.A., Zarevich A.I., Bashun S.S. Issledovanie sposobov zaschity informacii ot utechki po akusticheskomu i vibroaku-sticheskomu kanalam // Modelirovanie sistem i processov. 2025. T. 18, № 2. S. 27-40. DOI:https://doi.org/10.12737/2219-0767-2025-18-2-27-40 EDN: https://elibrary.ru/GBWORY
4. Titov M.Yu. Puti povysheniya effektivnyh sposobov zaschity informacii v bespilotnyh letatel'nyh apparatah dvoynogo naznacheniya // Modelirovanie sistem i processov. 2024. T. 17, № 2. S. 82-92. DOI:https://doi.org/10.12737/2219-0767-2024-17-2-82-92 EDN: https://elibrary.ru/IQOQPI
