Analiza modelului de viață (PoL) este o ramură a informațiilor comportamentale care stabilește norme comportamentale de bază pentru ținte și detectează deviațiile de la aceste norme. În contextul ISR, „țintă" poate însemna un individ, un vehicul, o facilitate sau o unitate — iar „tipar" cuprinde unde merg, când comunică, cum se mișcă și ce activități desfășoară. Când tiparele se schimbă, este un semnal ce merită investigat.
Analiza PoL se situează la Nivelul 2 JDL — operează pe date corelate de urmărire și rapoarte de informații, nu pe fluxuri brute ale senzorilor. Rezultatele sale sunt alerte de anomalie și profiluri de țintă actualizate, nu urme noi. Valoarea pe care o adaugă față de simpla corelare a urmăririlor este inteligența temporală: înțelegerea nu doar a unde se află ceva, ci dacă comportamentul său din ziua respectivă este consistent cu comportamentul său din săptămânile precedente.
Definirea comportamentului de bază pentru țintele ISR
Primul și cel mai important pas conceptual în analiza PoL este stabilirea cum arată „normalul" pentru o țintă dată. Pentru un vehicul, normalul ar putea fi: parchet la grila 4QFJ123456 între 21:00 și 07:00 zilnic, tranzitează Ruta 5 spre est la aproximativ 08:30, ajunge la facilitatea X până la 09:00. Pentru un nod de comunicații, normalul ar putea fi: transmite pe frecvențele F1 și F2 în ferestre de dimineață și seară, cu modulație consistentă și volum de trafic.
Modelarea liniei de bază necesită suficient istoric de observații — un minim de 7–14 zile de date consistente pentru majoritatea tiparelor comportamentale. Linia de bază este tipic reprezentată ca un model probabilistic: pentru fiecare atribut (locație la momentul T, frecvența comunicației, viteza de deplasare), se menține o distribuție statistică. O distribuție Gaussiană modelează atributele cu variație continuă; o distribuție categorică modelează alegerile discrete precum selecția rutei.
În practică, liniile de bază ale țintelor sunt stocate într-o bază de date de profil al țintei cu schema: target_id, observation_attribute, time_window, distribution_parameters, confidence_score, last_updated. Scorul de încredere reflectă câte date au fost disponibile pentru construirea liniei de bază — un profil construit pe 30 de zile de observații consistente este mai fiabil decât unul construit pe 3 zile.
Surse de date pentru analiza modelului de viață
Interceptările SIGINT furnizează cele mai bogate date PoL pentru țintele active în comunicații. O țintă care comunică de trei ori zilnic cu un program previzibil, folosind frecvențe consistente și parametri de criptare, generează un tipar de comunicație care poate fi caracterizat și monitorizat. Frecvența, momentul, durata și volumul de trafic contribuie la tipar. Absența comunicațiilor așteptate este la fel de informativă ca prezența unor comunicații neașteptate — un nod de comunicații care tace în perioadele în care ar trebui să fie activ este o anomalie de prioritate înaltă.
Urmăririle de nave AIS sunt extrem de utile pentru analiza PoL maritimă. Navele comerciale urmează rute previzibile între porturi cu temporizare consistentă. Un tancher care deviază de la ruta sa stabilită, reduce viteza într-o locație neobișnuită sau dezactivează transponderul AIS prezintă un comportament anonim. Fluxul AIS furnizează date de poziție continuă la granularitate de nivel minute, permițând modelarea fină a liniei de bază pentru țintele maritime.
Comunicările geo-etichetate — mesaje și postări cu metadate de locație încorporate — furnizează date PoL pentru țintele care operează în domeniile open-source sau gri. Când postările pe rețelele sociale ale unei ținte, metadatele aplicației de mesagerie sau emisiile RF ale dispozitivelor sunt geolocalizate consistent în o anumită zonă, o plecare din acea zonă este detectabilă.
Tiparele dispozitivelor mobile derivate din colectarea SIGINT — emisii de identificator de dispozitiv din rețele celulare, cereri de sondă Wi-Fi, reclame Bluetooth — furnizează date comportamentale cu rezoluție înaltă pentru țintele individuale. Un dispozitiv mobil care urmează același traseu la același moment în fiecare zi, apoi se mișcă brusc într-o altă locație, generează o alertă PoL neambiguă.
Rapoartele de activitate din HUMINT și IMINT furnizează puncte de date cu frecvență mai mică, dar cu mare încredere. O facilitate care primește livrări regulate de vehicule marți și brusc încetează să le primească, sau o clădire care prezintă iluminat nocturn regulat care se stinge, contribuie la profilul PoL.
Implementarea tehnică: modelarea liniei de bază și detectarea anomaliilor
Sarcina computațională de bază este menținerea unui model probabilistic al comportamentului țintei și calculul scorurilor de anomalie pentru noile observații. Abordarea standard folosește o linie de bază cu fereastră glisantă: modelul este antrenat pe cele mai recente N zile de observații, cu date mai vechi scăzând în pondere. Aceasta permite modelului să se adapteze la schimbările comportamentale legitime (o unitate care se mută într-o nouă zonă de operare) în timp ce detectează în continuare departuri brusce din tiparele stabilite.
Pentru atributele continue (coordonate de locație, frecvența semnalului), un model Gaussian multivariat este frecvent utilizat. Scorul de anomalie pentru o nouă observație este distanța Mahalanobis de la media modelului — o măsură adimensională a câte abateri standard se află observația față de valoarea așteptată. O distanță Mahalanobis peste un prag ajustat declanșează o alertă.
Pentru atributele de serii temporale (momentul comunicației, ferestrele de activitate), analiza Fourier identifică componentele periodice în linia de bază, iar detectarea anomaliilor este aplicată deviațiilor de la tiparele periodice așteptate. O țintă cu un ciclu de activitate de 24 de ore care își schimbă brusc fereastra activă cu 6 ore este detectabilă ca un decalaj de fază în componenta Fourier dominantă.
Pentru atributele discrete (selecția rutei, facilitatea vizitată), distribuțiile categorice cu prioruri Dirichlet furnizează scoruri de anomalie bayesiene. O țintă care a folosit Ruta A în 95% din observațiile istorice și brusc folosește Ruta C generează un scor de anomalie ridicat chiar dacă Ruta C este geographic apropiată.
Gestionarea falselor pozitive și fluxurile de lucru cu analist în buclă
Sistemele PoL produc volume mari de alerte — multe dintre care nu sunt semnificative operațional. Un vehicul deviază de la ruta așteptată din cauza unui drum blocat; un nod de comunicații tace pentru că operatorul este în concediu; o facilitate își schimbă programul de livrare. Fără arbitrarea analistului, alertele PoL ar copleși fluxul de lucru al informațiilor.
Abordarea standard este un flux de lucru în două etape: notarea automată a anomaliilor produce o coadă de alerte candidate, sortate după scorul de anomalie. Analistul revizuiește alertele cu cel mai mare scor și le marchează ca „semnificative operațional," „explicate" sau „fals pozitive." Deciziile analistului se alimentează înapoi în model: un tipar de respingeri ale analistului pentru un anumit tip de alertă declanșează o recalibrare a pragului acelei alerte.
Fuziunea alertelor — gruparea alertelor corelate despre aceeași țintă din mai multe surse de date — este esențială pentru a preveni inundarea cu alerte. Dacă urmărirea vehiculului, tiparul de comunicație și activitatea facilității unei ținte generează simultan anomalii, acestea ar trebui prezentate ca o singură alertă corelată cu un scor compozit de încredere mai mare, nu ca trei alerte separate.
Concluzie cheie: Cele mai utile alerte PoL nu sunt anomalii dintr-o singură sursă — sunt anomalii corelate multi-sursă. O deviație a urmăririi vehiculului singură are multe explicații inocente. O deviație a urmăririi vehiculului corelată simultan cu o tăcere a comunicațiilor și o schimbare a activității facilității este un indicator mult mai puternic al schimbării comportamentale deliberate.
Constrângeri de confidențialitate și juridice în operațiunile de coaliție
Analiza PoL împotriva populațiilor civile ridică constrângeri juridice semnificative, în special în operațiunile de coaliție în care diferite națiuni contribuitoare au cadre juridice diferite care guvernează colectarea și retenția informațiilor. Constrângerile principale sunt minimizarea datelor (colectarea numai a atributelor necesare pentru sarcina analitică), limitarea scopului (datele colectate pentru un scop analitic nu pot fi reconvertite fără autorizare) și limitele de retenție (liniile de bază comportamentale construite din date personale trebuie purjate după perioadele de retenție definite).
În termeni software, aceste constrângeri necesită marcaje de clasificare și tratare pe profilurile țintă, politici de purjare automată aplicate la nivelul bazei de date și jurnalizarea auditului la tot accesul analistului la datele individuale ale țintei. Sistemele proiectate pentru utilizare în coaliție trebuie să implementeze reguli de tratare configurabile care pot aplica cea mai restrictivă politică națională aplicabilă oricărui set de date dat.