由于近年来日益增多的内部攻击事件,内部威胁这一看似新颖却已长期存在的问题逐渐成为信息安全行业和政府关注的焦点。内部威胁比外部威胁更具危害性,内部攻击者通过恶意使用或滥用已经获取的信息系统相关访问权限,对信息系统的保密性、完整性和可用性造成严重损害。鉴于此,针对内部威胁检测的研究变得十分重要。现有的内部威胁检测方法主要集中在用户多域行为检测,此类方法通常融合用户各单域行为的检测结果。但其本质上仍然采用分析用户在单个检测域内行为的方式,没有同时分析用户在多个检测域内的行为变化;而单一的跨域行为分析检测方法没有考虑到由于系统条件或用户背景等属性的变化而导致的用户合理的行为变化所带来的误差,导致内部威胁检测的准确率不高。针对当前内部威胁检测研究的不足,本文对内部威胁检测进行研究,主要的研究内容和贡献如下:1.本文提出了一种新的内部威胁检测方法,该方法在分析用户跨域行为的基础之上结合用户背景等信息对内部攻击行为进行综合检测。不仅能同时分析用户多个检测域内的行为,还能对用户合理的行为变化进行有效容忍,从而提高内部威胁检测的准确率。实验中,使用本文方法分析用户在5个检测域中的行为数据和用户背景数据,实验结果表明本文方法优于典型的基于各单域检测结果的方法和单一的跨域行为分析检测方法。2.根据内部威胁检测结果对导致用户行为异常的特征的重要性进行度量,为企业和组织防范内部威胁或在新一轮的内部威胁检测过程中相应特征权重的分配提供参考依据。