一个用于增强核心银行系统威胁检测的机器学习框架

《Scientific Reports》：A machine learning framework for enhancing threat detection in core banking systems

　　摘要在商业银行中使用机器学习进行网络安全时，最大的问题之一是概念验证与实际生产之间的差距。并非每个在基准数据集上具有高准确度的模型都能在实时交易流水线中正常运作，同时还要满足多项监管制度，包括通用数据保护条例(GDPR)、支付卡行业数据安全标准(PCI-DSS)、纽约州金融服务局第500部分(NYDFS Part 500)、格拉姆-利奇-比利雷法案(GLBA)、美国国家标准与技术研究院网络安全框架(CSF)、巴塞尔银行监管委员会(BCBS)运营韧性原则以及欧盟人工智能法案(EU AI Act)等要求，这些要求远超预测准确性。本文报告了设计、部署和运营基于机器学习的框架长达12个月的经验，该框架服务于孟加拉国达卡的Midland Bank Plc在核心银行系统(CBS)平台上的超过一百万名客户。所创建检测堆栈由两个模型组成：用于空间异常检测的卷积神经网络(CNN)和用于序列模式分析的长短期记忆(LSTM)网络，以及另外两种方法：通过重构误差进行异常评分的自编码器(AE)以及用于最终决策的随机森林(RF)和梯度提升(GB)集成方法。评估基于4,286,530个匿名事件数据集(将6类威胁实例以分层方式划分为70/15/15)，采用5折交叉验证方法。在生产过程中，系统检测准确率达到98.0% ± 0.7%(95%置信区间[97.4%, 98.6%])，误报率为2%。FPR和平均响应时间为5分钟，曲线下面积(AUC)为0.98。Midland Bank Plc的部署前后指标表明，误报率从32%降至2%，平均响应时间从45分钟降至5分钟，综合韧性得分从55提升至94。通过消融分析，我们验证了互补组件的贡献，并能够在与2024-2026年最先进的图神经网络(GNN)、Transformer和联邦学习方法保持竞争准确度的同时，将推理延迟降低2-3倍，预估部署成本降低3-7倍。在部署期间识别的1,100起事件中，30.9%为钓鱼/恶意软件事件，18.2%为分布式拒绝服务攻击，16.4%为高级持续性威胁(APTs)。最后，本文为在多司法管辖区授权下实施基于机器学习的银行安全的银行提供了整合的、经审计测试的指导方针。