Et sikkerhetsoperasjonssenter (SOC) er blant annet ansvarlig for å sikkerhetsovervåke systemer og nettverk og oppdage og håndtere sikkerhetshendelser gjennom denne overvåkingen.
En metode for å oppdage mulige hendelser/angrep er gjennom inntrengningsdeteksjon hvor et inntreningsdeteksjonssystem (IDS) generer en alarm når noe mistenkelig observeres. Da må en sikkerhetsanalytiker analysere alarmen for å finne ut hva, om noe, har skjedd slik at det kan responderes på en best mulig måte.
En IDS kan bruke maskinlæring for slik deteksjon og en stor utfordring er å kunne tolke slike maskinlæringsgenererte alarmer. I en tidligere masteroppgave [1] ble det undersøkt hvor godt analytikere forstår slike alarmer gjennom bruk av forklarbar AI (XAI). Resultatene fra oppgaven viste at metodene SHAP og LIME ikke ga sikkerhetsanalytikeren tilstrekkelig innsikt i hva som utløste alarmene.
Denne oppgaven vil bygge videre på dette arbeidet ved å utforske hvilke ulike forklaringer som er mest nyttige for analytikere. Mulige tilnærminger inkluderer bedre representasjon av forklaringsmetoder, bruke modeller som er forklarbare «by design», som beslutningstrær, som kan gi forståelige forklaringer med gode prediksjoner, eller å kombinere kjente rammeverk med store språkmodeller (LLM’er).
Oppgaven vil være i samarbeid med Forsvarets forskningsinstitutt (FFI) og kandidater må oppfylle FFIs krav til masterstudenter, som inkluder at kandidaten må kunne sikkerhetsklareres. Ta kontakt hvis du har spørsmål om dette.
[1] https://ieeexplore.ieee.org/document/10020248