USER AND ENTITY BEHAVIORAL ANALYSIS: ANOMALY AND INSIDER THREATS DETECTION IN CORPORATE ENVIRONMENTS

The aim of this thesis is the study and definition of a methodological model for the analysis of corporate users’ digital behavior and the identification of anomalies in the use of workstations, with particular reference to Microsoft and Linux operating environments. The work focuses on evaluating the typical operational habits of legitimate users—such as sequences of launched processes, patterns of access to files and network resources, interactions with system services and corporate software tools—with the goal of identifying indicators of compromise and signals of potential internal or external threats. The activity involves the study of system event monitoring and correlation techniques, including security log auditing, process tracking, chronological analysis of executions, and segmentation of user activity flows. Different approaches to logging, access control, and privilege modeling adopted in Windows and Linux systems will also be analyzed, highlighting critical issues, structural differences, and common points of exposure. The research aims to identify behavioral patterns useful for distinguishing legitimate activities from suspicious behavior, with particular attention to scenarios involving insider threats, credential compromise, privilege escalation, and misuse of legitimate tools (living-off-the-land). The expected outcome is the definition of a set of methodologies, controls, and technical guidelines for structuring a behavioral monitoring system compliant with corporate security requirements and international best practices, demonstrating the feasibility of an operational approach based on the analysis of digital habits.

L’obiettivo di questa tesi è lo studio e la definizione di un modello metodologico per l’analisi dei comportamenti digitali degli utenti aziendali e l'identificazione di anomalie nell’utilizzo delle postazioni di lavoro, con particolare riferimento agli ambienti operativi Microsoft e Linux. Il lavoro si concentra sulla valutazione delle abitudini operative tipiche degli utenti legittimi — come sequenze di processi avviati, pattern di accesso a file e risorse di rete, interazioni con servizi di sistema e strumenti software aziendali — con lo scopo di individuare indicatori di compromissione e segnali di potenziale minaccia interna o esterna. L’attività prevede lo studio delle tecniche di monitoraggio e correlazione degli eventi di sistema, incluse: audit dei log di sicurezza, tracciamento dei processi, analisi cronologica delle esecuzioni e segmentazione dei flussi di attività utente. Verranno inoltre analizzati i differenti approcci di logging, controllo degli accessi e modellazione dei privilegi adottati nei sistemi Windows e Linux, evidenziando criticità, differenze strutturali e punti di esposizione comuni. La ricerca si propone di individuare pattern comportamentali utili a distinguere attività lecite da comportamenti sospetti, con particolare attenzione agli scenari di insider threat, compromissione delle credenziali, escalation di privilegi e utilizzo improprio di strumenti legittimi (living-off-the-land). Il risultato atteso è la definizione di un insieme di metodologie, controlli e linee guida tecniche per strutturare un sistema di monitoraggio comportamentale conforme ai requisiti di sicurezza aziendali e alle best practice internazionali, dimostrando la fattibilità di un approccio operazionale basato sull'analisi delle abitudini digitali.