Learning to Detect Cyber Attacks: Neural Anomaly Detection for Cybersecurity with Theoretical Insights
Dieses Paper schlägt eine theoretisch fundierte neuronale Netzwerk-Methode zur Anomalieerkennung vor, die sich ausschließlich mit synthetischen Anomalien auf normalen Proben trainiert und beweist, dass sie die Grenze des Normalbereichs lernen kann, um das Minimax-Excess-Risiko zu erreichen und diverse, ungesehene Cyberangriffe robust zu erkennen, ohne dass Vorabwissen über die Anomalieverteilungen erforderlich ist.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie sind ein Sicherheitswachmann in einem riesigen, belebten Museum. Ihr Job ist es, die eine Person in der Menge zu entdecken, die etwas falsch macht. In den alten Zeiten hätten Sie vielleicht ein Fotoalbum mit jedem bekannten Dieb besessen, komplett mit deren Gesichtern, Kleidung und bevorzugten Werkzeugen. Wenn jemand wie ein Foto im Album aussah, hätten Sie ihn gestoppt. Aber was passiert, wenn ein Dieb in einer brandneuen Verkleidung hereinkommt, die ein Werkzeug benutzt, das noch nie zuvor jemand gesehen hat? Ihr Fotoalbum ist nutzlos. Dies ist der Albtraum von „Zero-Day-Angriffen“ in der Cybersicherheit: Bösewichte, die neue Tricks erfinden, um gezielt die auf altem Wissen aufgebauten Verteidigungen zu umgehen.
Um dies zu lösen, versuchen Wissenschaftler einen anderen Ansatz: Anstatt jeden bösen Kerl auswendig zu lernen, versuchen sie zu lernen, was genau „normal“ ist. Stellen Sie sich vor, Sie verbringen den ganzen Tag damit, die regulären Besucher des Museums zu beobachten. Sie lernen, wie sie gehen, wie sie ihre Tickets halten und wie sie die Kunst betrachten. Sie bauen eine perfekte mentale Karte des „normalen Verhaltens“ auf. Dann wird jeder, der außerhalb dieser Karte agiert – jemand, der rennt, springt oder in einem Clownskostüm in einer ruhigen Galerie steht – als verdächtig markiert, selbst wenn Sie diesen speziellen Clown noch nie gesehen haben. Dies wird „Anomalieerkennung“ genannt. Die Herausforderung besteht darin, dass „normales“ Verhalten unglaublich komplex sein kann, wie ein hochdimensionales Labyrinth, und die genauen Grenzen dieses Labyrinths zu bestimmen, ohne jemals einen Kriminellen gesehen zu haben, ist so, als würde man versuchen, den Rand einer Wolke zu zeichnen, während man die Augen verbunden hat.
Dieses Paper mit dem Titel „Learning to Detect Cyber Attacks: Neural Anomaly Detection for Cybersecurity with Theoretical Insights“ schlägt eine clevere neue Art vor, diese Wolke zu zeichnen. Die Autoren, Tian-Yi Zhou und Kollegen, schlagen eine Methode vor, die nicht ein einziges Beispiel eines echten Angriffs benötigt, um zu lernen. Stattdessen trainieren sie ein intelligentes Computerprogramm (ein neuronales Netz) ausschließlich mit Daten aus „gutem“ Verhalten. Aber hier ist der Clou: Um dem Computer beizubringen, wo die „normale“ Zone endet, generieren sie tausende von künstlichen, zufälligen „schlechten“ Beispielen. Denken Sie daran, wie man einem Kind beibringt, was ein Hund ist, indem man ihm Bilder von Hunden zeigt, und dann Bilder von zufälligen, erfundenen Kreaturen zeigt (wie einer Katze mit einem Schwanz aus Spaghetti) und sagt: „Das ist definitiv kein Hund.“
Die Hauptfindung des Papers ist, dass diese Methode überraschend gut funktioniert und dass sie tatsächlich mit Mathematik beweisen können, warum sie funktioniert. Sie zeigten, dass, wenn man genau die richtige Menge dieser künstlichen „schlechten“ Beispiele generiert – speziell etwa die gleiche Anzahl wie die echten „guten“ Beispiele – der Computer die Grenze des normalen Verhaltens fast perfekt lernt. Sie bewiesen, dass, während man dem Computer mehr Daten füttert, seine Fehler mit der maximal möglichen Geschwindigkeit, die mathematisch zulässig ist, gegen Null sinken. Das ist eine große Sache, denn bis jetzt waren viele dieser KI-Methoden wie Black Boxes: Sie funktionierten in der Praxis, aber niemand konnte beweisen, dass sie theoretisch fundiert waren oder genau sagen, wie viel künstliche Daten man benötigte.
Die Autoren testeten ihre Idee auch an realen Problemen, nicht nur in der Theorie. Sie setzten sie ein, um Cyberangriffe im Netzwerkverkehr zu entdecken, Defekte in fabrikmäßig hergestellten Produkten zu finden und ungewöhnliche Muster in medizinischen Daten aufzuspüren. In der Welt der Computersicherheit war ihre Methode besonders gut darin, die kniffligen, ungesehenen Angriffe zu entdecken, die andere Systeme übersahen. Sie fanden heraus, dass, wenn man zu viele künstliche Beispiele generiert, der Computer tatsächlich verwirrt wird und schlechter abschneidet, aber wenn man die Anzahl der künstlichen Beispiele an die der echten angleicht, trifft man den „Sweet Spot“. Obwohl sie nicht behaupteten, jedes Sicherheitsproblem der Welt gelöst zu haben, zeigten ihre Experimente, dass dieser Ansatz robust, konkurrenzfähig zu den besten bestehenden Werkzeugen ist und eine solide mathematische Grundlage bietet, warum er erfolgreich ist. Im Wesentlichen haben sie uns einen neuen, mathematisch bewiesenen Weg gegeben, Computern beizubringen, das Seltsame zu erkennen, indem man ihnen zeigt, was normal ist und ein paar zufällige „nicht-normale“ Dinge, ohne jemals die echten Bösewichte gesehen zu haben.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.