Anomaly Detection ist das automatische Auffinden von Fällen, die vom gelernten Normalbild abweichen. Das Besondere daran: Das Modell lernt, wie der Normalfall aussieht, und braucht keine Beispiele für den Ausnahmefall.
- Anomaly Detection (Anomalieerkennung)
Das automatische Auffinden von Fällen, die vom gelernten Normalbild abweichen.
Beispiel: „Die Anomaly Detection meldete den Zahlungsvorgang, weil Betrag und Uhrzeit zusammen ungewöhnlich waren.“Warum sie ohne Beispiele arbeiten muss: Der interessante Fall ist selten, oft einer unter Zehntausenden, und bei einem neuen Angriffsmuster gibt es ihn vorher gar nicht.
Verwandt mit dem Unsupervised Learning: Beide arbeiten ohne vorgegebene Antwort und suchen Struktur in den Daten.
Wofür sie taugt
Für Betrug, für Technik und für Inhalte. Auffällige Zahlungen, ein Server, dessen Antwortzeiten aus dem Rahmen laufen, eine Formularstrecke, die plötzlich tausendfach abgeschickt wird: In allen drei Fällen weiß niemand vorher, wie der nächste Angriff aussieht, wohl aber, wie der gewöhnliche Tag aussieht.
Warum die Fehlalarme das Problem sind
Weil es so viele Normalfälle gibt. Bei einer Million Vorgängen am Tag und einer Fehlalarmquote von einem Promille kommen tausend Meldungen heraus, und niemand sieht tausend Meldungen durch. Die Frage bei jeder Einführung lautet deshalb nicht, wie viel das Verfahren findet, sondern wie viele False Positives die zuständige Person am Tag verkraftet.
Was wir dazu empfehlen
Einen Schwellwert, der aus der verfügbaren Arbeitszeit folgt, und eine Rangfolge statt einer Ja-Nein-Antwort. Wer zwanzig Meldungen am Tag bearbeiten kann, lässt sich die zwanzig auffälligsten geben. Dazu gehört eine Rückmeldung: Jede geprüfte Meldung wird als bestätigt oder verworfen vermerkt, und daraus wird das Normalbild nachgezogen.
Warum ein Normalbild nicht genügt
Weil es mehrere Normalfälle gibt. Der Verlauf eines Dienstags unterscheidet sich vom Sonntag, ein Großkunde verhält sich anders als ein Erstbesteller, und ein weltweit erreichbarer Shop hat mehrere Tagesrhythmen. Wer ein einziges Normalbild über alles legt, bekommt Meldungen für jede Eigenart und verpasst die Abweichung innerhalb eines Segments.