A Dynamic Threshold Algorithm for Anomaly Detection in Logs of Process Aware Systems

Nos últimos anos, as empresas aderiram ao PAIS (Sistemas de Informação de Processos Cientes) para apoiar o controle de seus negócios. No entanto, enquanto o PAIS normativo pode comprometer a competitividade dessas empresas, o PAIS flexível é um risco para a segurança. A fim de reequilibrar esse trade-off, apresentamos uma nova abordagem para detecção de anomalias em logs do PAIS. É um algoritmo baseado no limiar de conformidade que é definido dinamicamente. O algoritmo foi avaliado em dois conjuntos de dados de troncos artificiais (um com 360 logs complexos e outro com 1800 logs mais simples), com diferentes perfis no número de traços anômalos e o número de vezes que cada traço nomalous estava presente no log. Também realizamos um estudo comparativo com uma abordagem ingênua para a detecção de anomalias, que marca como possíveis anomalias vestígios não frequentes no registro.In the last years, companies have adhered to PAIS (Process Aware Information Systems) for supporting the control of their businesses. However, while normative PAIS may compromise the competitiveness of these companies, flexible PAIS are a risk for security. In order to re-balance that trade-off, we present a new approach for anomaly detection in logs of PAIS. It is an algorithm based on conformance threshold that is dynamically defined. The algorithm was evaluated on two datasets of artificial logs (one with 360 complex logs, and other with 1800 simpler logs), with different profiles on the number of anomalous traces and the number of times each anomalous traces was present in the log. We also carried out a comparative study with a naive approach for anomaly detection that marks as potential anomalies traces that are infrequent in the log