Noise Contrastive Estimation-based Matching Framework for Low-Resource Security Attack Pattern Recognition
Dieses Paper schlägt ein auf Noise Contrastive Estimation basierendes neuronales Matching-Framework vor, das das TTP-Mapping als semantische Ähnlichkeitsaufgabe neu formuliert, um die Herausforderungen großer Label-Räume, verzerrter Verteilungen und hierarchischer Komplexität bei der ressourcenarmen Erkennung von Sicherheitsangriffsmustern zu bewältigen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der digitalen Welt agieren Cybersicherheitsexperten als die Wächter unserer Informationen, die ständig nach Anzeichen von Eindringlingen suchen. Um dies effektiv zu tun, verlassen sie sich auf eine riesige Bibliothek bekannter Angriffsmethoden, einen standardisierten Katalog namens Taktiken, Techniken und Prozeduren (Tactics, Techniques, and Procedures oder TTPs). Betrachten Sie dies als die spezifischen Spielzüge im Handbuch eines Kriminellen: Eine Taktik ist das Ziel, wie etwa das Stehlen von Daten oder das Geiselnahmen eines Systems; eine Technik ist die Methode, die verwendet wird, um dieses Ziel zu erreichen, wie etwa das Versenden einer täuschend echten E-Mail oder das Verstecken einer Datei; und eine Prozedur ist die exakte schrittweise Ausführung dieser Methode. Sicherheitsanalysten lesen tausende von Berichten, die von anderen Experten verfasst wurden und beschreiben, wie Hacker Systeme durchbrochen haben. Ihre Aufgabe besteht darin, diese Erzählungen zu lesen und die beschriebenen Handlungen den korrekten Einträgen im Katalog zuzuordnen. Dieser Prozess, bekannt als TTP-Mapping, ist entscheidend, da er es Verteidigern ermöglicht, Muster zu erkennen, zukünftige Angriffe vorherzusagen und ihre Verteidigung zu stärken. Der Katalog ist jedoch enorm und enthält hunderte von Techniken sowie tausende von Variationen, und die Berichte selbst sind oft in einer komplexen, unstrukturierten Sprache verfasst, die die verwendeten Techniken nicht explizit benennt.
Seit Jahren versuchen Forscher, Computer beizubringen, diese Zuordnungsaufgabe automatisch durchzuführen. Der Standardansatz bestand darin, dies wie einen Multiple-Choice-Test zu behandeln, bei dem der Computer für jeden Satz oder Absatz, den er liest, die richtige Technik aus einer riesigen Liste von Möglichkeiten auswählen muss. Diese Methode stößt auf erhebliche Probleme, da die Liste der Auswahlmöglichkeiten so lang und die Anzahl der für das Training verfügbaren Beispiele so gering ist. Es ist, als würde man einen Schüler bitten, ein Wörterbuch auswendig zu lernen und dann das richtige Wort für eine Geschichte auszuwählen, ohne die Geschichte zuvor jemals gesehen zu haben. Der Computer wird von der schieren Anzahl der Optionen überwältigt und hat Schwierigkeiten, die subtilen Unterschiede zwischen ihnen zu lernen, insbesondere bei seltenen oder ungewöhnlichen Angriffsmethoden, die in den Trainingsdaten nur selten vorkommen.
Ein Team von Forschern bei der Huawei R&D in München hat einen anderen Weg vorgeschlagen, um dieses Problem zu lösen. Anstatt den Computer zu zwingen, aus einer riesigen Liste von Optionen zu wählen, haben sie die Aufgabe als ein Matching-Spiel neu konzipiert. In diesem neuen Ansatz versucht der Computer nicht, jede mögliche Technik gegen einen Text zu bewerten. Stattdessen lernt er zu messen, wie eng die Bedeutung eines Textausschnitts mit der Beschreibung einer spezifischen Technik übereinstimmt. Das System nimmt einen Absatz aus einem Bedrohungsbericht und vergleicht ihn direkt mit der schriftlichen Beschreibung einer Technik aus dem Katalog. Wenn die Bedeutungen ähnlich sind, weist das System eine hohe Punktzahl zu; wenn sie unterschiedlich sind, weist es eine niedrige Punktzahl zu. Dies verlagert den Fokus vom Auswendiglernen einer riesigen Liste hin zum Verständnis der Beziehung zwischen zwei Textstücken.
Um dies mit begrenzten Daten zu ermöglichen, entwickelten die Forscher eine clevere Trainingsmethode. Sie zeigen dem Computer nicht alle Techniken auf einmal, was zu langsam und verwirrend wäre. Stattdessen präsentieren sie ihm einen Text und einige zufällige Techniken zum Vergleich. Einige dieser Techniken sind die korrekte Übereinstimmung, während andere inkorrekt sind. Der Computer lernt, die Punktzahl der korrekten Übereinstimmung höher zu setzen und die Punktzahlen der inkorrekten niedriger zu setzen. Die Forscher verfeinerten diesen Prozess mit zwei spezifischen Anpassungen, um die Unordnung realer Daten zu bewältigen. Erstens passten sie das Training an, um sicherzustellen, dass der Computer auf die gesamte Gruppe der inkorrekten Optionen achtet, ohne durch deren interne Reihenfolge verwirrt zu werden. Zweitens lehrten sie das System, gegenüber Fehlern in den Trainingsdaten nachsichtiger zu sein. Da menschliche Experten manchmal eine Technik in einem Bericht übersehen, lernte das System, einige „falsche“ Antworten als potenziell korrekt zu behandeln, was verhinderte, dass es zu starr wurde.
Die Ergebnisse dieses neuen Frameworks wurden gegen mehrere bestehende Methoden unter Verwendung realer Cybersicherheitsberichte getestet. Die Forscher erstellten einen neuen Datensatz mit Experten-annotierten Absätzen, um einen fairen Test zu gewährleisten, der mehr Labels pro Stichprobe enthielt als bisherige Datensätze. Als sie die Experimente durchführten, übertraf ihr Matching-basierter Ansatz die traditionellen Methoden, die versuchten, Text in feste Kategorien zu klassifizieren, konsistent. Das neue System war besonders gut darin, die korrekten Techniken zu identifizieren, selbst wenn die Berichte komplex oder die Techniken selten waren. Es gelang ihm, die richtigen Übereinstimmungen häufiger zu finden als die älteren Modelle, die sich in der schieren Menge der Möglichkeiten zu verlieren pflegten.
Die Studie zeigte auch, dass die Größe der Trainingsdaten weniger wichtig ist als die Qualität der Matching-Logik. Selbst mit einer relativ geringen Anzahl an gelabelten Beispielen lernte das System, gut auf neue, ungesehene Berichte zu generalisieren. Dies deutet darauf hin, dass die Fähigkeit, die semantische Verbindung zwischen einer Bedrohungsbeschreibung und einer Technik zu verstehen, leistungsfähiger ist als das bloße Auswendiglernen einer großen Liste von Assoziationen. Die Forscher fanden heraus, dass ihre Methode am besten funktionierte, wenn sie den gesamten Absatz des Textes betrachten konnte, anstatt nur isolierte Sätze, wodurch der volle Kontext des Angriffs erfasst wurde. Durch die Konzentration auf die direkte Beziehung zwischen dem Text und der Technikbeschreibung vermied das System die Fallstricke, einen komplexen, nuancierten Prozess in eine starre Klassifizierungsbox zu zwingen.
Letztendlich bietet diese Arbeit einen effizienteren Weg zur Automatisierung der Analyse von Cyberbedrohungen. Sie zeigt, dass Computer – indem sie die Art und Weise ändern, wie das Problem gerahmt wird, von einer massiven Auswahlaufgabe zu einer direkten Vergleichsaufgabe – in der Lage sind, komplexe Angriffsmuster selbst dann zu erkennen, wenn Daten knapp sind. Dieser Ansatz verbessert nicht nur die Geschwindigkeit der Analyse, sondern auch die Genauigkeit, sodass Sicherheitsteams darauf vertrauen können, automatisierte Werkzeuge einzusetzen, um die spezifischen Methoden zu identifizieren, die Angreifer verwenden. Da Cyberbedrohungen weiterhin immer komplexer werden, wird ein System, das die subtilen Verbindungen in Bedrohungsberichten verstehen kann, ein wesentliches Werkzeug zur Sicherung der digitalen Infrastruktur sein. Die Forscher haben ihren neuen Datensatz und ihre Methoden der Community zur Verfügung gestellt, in der Hoffnung, weitere Fortschritte auf diesem kritischen Gebiet anzustoßen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.