Advanced Persistent Threats (APT) Attribution Using Deep Reinforcement Learning
Dieses Paper präsentiert ein Deep-Reinforcement-Learning-Modell zur Attribution von Advanced Persistent Threats, das durch iterative architektonische und algorithmische Verfeinerungen eine dramatische Genauigkeitssteigerung von 7 % auf nahezu 98 % erreichte und damit seine robuste Fähigkeit demonstrierte, Malware-Aktivitäten zu erkennen und zuzuordnen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich die digitale Welt als eine riesige, geschäftige Stadt vor, in der alle miteinander vernetzt sind. In dieser Stadt gibt es unsichtbare Einbrecher namens „Hacker“. Manchmal sind diese Einbrecher nur Gelegenheitstäter, die nach einem leicht zu knackenden Fenster suchen. Aber dann gibt es die „Advanced Persistent Threats“ (APTs). Betrachten Sie diese als Meisterspione oder als eine hoch organisierte kriminelle Vereinigung. Sie brechen nicht einfach ein und rennen wieder weg; sie schleichen sich ein, verstecken sich jahrelang in den Wänden, stehlen langsam Geheimnisse und hinterlassen keine Fingerabdrücke. Herauszufinden, wer diese Spione sind – ob es sich um eine rivalisierende Nation, eine kriminelle Bande oder eine bestimmte Hackergruppe handelt – nennt man „Attribution“. Es ist, als versuche man, einen Geist anhand der Art und Weise zu identifizieren, wie er sich durch einen Raum bewegt. Dies ist unglaublich schwer, da diese Spione Tricks anwenden, um ihre Spuren zu verwischen, wie zum Beispiel das Tragen von Masken oder das Nutzen geheimer Tunnel.
Um dieses Rätsel zu lösen, haben Wissenschaftler begonnen, eine spezielle Art von Computergehirn namens „Deep Reinforcement Learning“ (DRL) einzusetzen. Sie können sich DRL als einen Videospiel-Charakter vorstellen, der lernt, indem er immer und immer wieder spielt. Im Gegensatz zu einem regulären Computerprogramm, das einfach einem strengen Regelwerk folgt, probiert dieser Charakter verschiedene Züge aus, erhält Punkte (Belohnungen) für gute Leistungen und lernt aus seinen Fehlern. Mit der Zeit wird er so gut im Spiel, dass er Muster erkennen kann, die Menschen entgehen könnten. Die große Frage, die Forscher stellen, lautet: Können wir diesen digitalen Detektiv dazu lehren, auf das chaotische, verborgene Verhalten eines Virus zu schauen und zu sagen: „Aha! Das wurde definitiv von Gruppe X gemacht“?
Diese Arbeit nimmt diese Idee und stellt sie auf die Probe. Die Forscher sammelten eine riesige Sammlung digitaler „Fingerabdrücke“ – über 3.500 Malware-Proben (schädliche Software) von 12 verschiedenen APT-Gruppen. Sie haben sich dabei nicht nur angesehen, wie die Dateien aussah; sie haben beobachtet, was die Dateien in einer sicheren, isolierten Sandbox (einem virtuellen Gefängnis für Viren) taten. Sie verwendeten ein Werkzeug namens Cuckoo Sandbox, um zu beobachten, wie die Viren sich bewegten, Dateien veränderten und mit anderen Computern kommunizierten.
Dann trainierten sie ihren DRL-„Detektiven“, um diese Verhaltensweisen zu analysieren. Sie richteten ein Spiel ein, bei dem die KI erraten musste, welche der 12 Gruppen die jeweilige Virusdatei erstellt hatte. Wenn sie richtig rät, bekam sie einen Punkt. Wenn sie falsch rät, verlor sie einen Punkt. Die KI spielte dieses Spiel tausende Male und lernte, die subtilen, einzigartigen Gewohnheiten jeder Gruppe zu erkennen. Die Ergebnisse waren beeindruckend: Das DRL-Modell lag bei neuen, bisher unbekannten Viren in 89,27 % der Fälle richtig.
Um zu sehen, ob dieser neue Detektiv tatsächlich besser war als die alten, verglichen die Forscher ihn mit fünf anderen Standard-Computermethoden (wie Entscheidungsbäumen und Support-Vektor-Klassifikatoren). Die alten Methoden waren okay und erreichten zwischen 71 % und 82 % Genauigkeit, aber der DRL-Detektiv übertraf sie alle deutlich und erreichte jenen Wert von 89,27 %. Die Arbeit legt nahe, dass dieser Ansatz besonders gut darin ist, mit der schwierigen, sich ändernden Natur dieser Cyber-Angriffe umzugehen, bei denen alte Regeln oft versagen.
Die Autoren sind jedoch vorsichtig, dies nicht als Wunderwaffe zu bezeichnen. Sie weisen darauf hin, dass diese superintelligente KI hungrig nach Ressourcen ist; sie benötigt viel Rechenleistung und eine enorme Menge an Daten, um effektiv zu lernen. Sie merken auch an, dass das Modell zwar großartig darin ist, Muster in den ihnen zugeführten Daten zu erkennen, die reale Welt jedoch chaotisch ist. Die Arbeit kommt zu dem Schluss, dass DRL zwar ein mächtiges neues Werkzeug ist, um diese digitalen Spione zu fangen, wir aber dennoch effizienter werden müssen und die ethischen Fragen beim Einsatz von KI in der Sicherheit behandeln müssen. Es ist ein vielversprechender Schritt nach vorn, der suggeriert, dass wir, indem wir die KI aus dem Verhalten der Bösen lernen lassen, diese vielleicht endlich schneller und genauer als je zuvor entlarven können.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.