Jeden Tag tauschen Milliarden von Geräten Daten über das Internet aus und schaffen so ein riesiges, unsichtbares Netz der Kommunikation. Der Großteil dieses Verkehrs ist harmlos und fließt wie ein stetiger Fluss aus Routineanfragen und -antworten. Doch verborgen in diesem Strom befinden sich böswillige Akteure, die versuchen, Systeme zu durchbrechen, Informationen zu stehlen oder Dienste zu stören. Diese Eindringlinge zu fassen, ist eine ständige Herausforderung für Sicherheitsteams, da die Angreifer clever sind; sie ändern häufig ihre Taktiken und ahmen oft normales Verhalten nach, um nicht entdeckt zu werden. Traditionelle Sicherheitstools verlassen sich darauf, genau zu wissen, wie ein Angriff aussieht, indem sie neuen Datenverkehr mit einer Bibliothek bekannter Bedrohungen vergleichen. Dieser Ansatz funktioniert gut bei bekannten Gefahren, versagt jedoch, wenn ein neuer, unbekannter Typ von Angriff auftaucht. Um dies zu lösen, haben Forscher begonnen, eine andere Strategie anzuwenden: Computer zu lehren, was „normal“ ist, so gründlich zu verstehen, dass jede Abweichung sofort auffällt – ganz ähnlich wie ein Sicherheitswachmann, der den regelmäßigen Rhythmus eines Gebäudes kennt und sofort bemerkt, wenn sich jemand auf eine ungewohnte Weise bewegt.

In einer kürzlich durchgeführten Studie hat ein Forscherteam aus Frankreich ein neues System namens GraphIDS vorgeschlagen, um dieses Problem anzugehen. Anstatt zu versuchen, spezifische Angriffsmuster auswendig zu lernen, erlernt ihr System die natürliche Struktur des gesunden Netzwerkverkehrs. Sie behandeln das Netzwerk nicht als eine Liste isolierter Nachrichten, sondern als eine lebendige Karte, auf der Computer die Standorte und die zwischen ihnen fließenden Daten die Straßen sind. Durch das Studium dieser Karte kann das System sehen, wie Geräte normalerweise miteinander kommunizieren. Die Forscher fanden heraus, dass sie durch die Kombination zweier leistungsstarker Arten künstlicher Intelligenz ein Modell bauen konnten, das dieses normale Verhalten lernt, ohne dass es zur Schulung jegliche Beispiele von Angriffen benötigt. Das System arbeitet, indem es versucht, die Muster des normalen Verkehrs, den es gesehen hat, zu rekonstruieren. Wenn es auf ein Stück Datenverkehr stößt, das seltsam oder verdächtig ist, hat es Schwierigkeiten, dieses zu rekonstruieren, und dieses Ringen signalisiert eine potenzielle Bedrohung.

Der Kern dieser neuen Methode liegt darin, wie die Forscher die Daten organisiert haben. Sie nahmen die Rohdatensätze des Netzwerkverkehrs, bekannt als NetFlow-Daten, und wandelten sie in einen Graphen um. In diesem Graphen ist jeder Computer im Netzwerk ein Punkt und jede Verbindung zwischen zwei Computern eine Linie. Jede Linie trägt Details über das Gespräch, wie etwa die Anzahl der gesendeten Pakete oder die Art der übertragenen Daten. Der erste Teil ihres Systems, ein Graph Neural Network, fungt als lokaler Beobachter. Es betrachtet eine spezifische Verbindung und untersucht die unmittelbaren Nachbarn der beteiligten Computer. Es stellt Fragen wie: „Mit wem spricht dieser Computer gerade noch?“ und „Ist dieses Gespräch typisch für diese Gruppe?“ Dies ermöglicht es dem System, den lokalen Kontext eines einzelnen Datenflusses zu verstehen und die kleinskaligen Muster zu erfassen, die das routinemäßige Verhalten definieren.

Sobald das System diese lokalen Details verstanden hat, leitet es die Informationen an einen zweiten Teil weiter, eine Transformer-basierte Engine, die das große Ganze betrachtet. Diese Komponente gruppiert viele Verbindungen und analysiert, wie sie sich im gesamten Netzwerk zueinander verhalten. Sie lernt die globalen Gewohnheiten des Systems, wie zum Beispiel, welche Computergruppen häufig miteinander kommunizieren oder wie der Datenverkehr während verschiedener Zeiten üblicherweise fließt. Um dieses System zu lehren, verwendeten die Forscher eine Technik namens Masked Autoencoder. Stellen Sie sich vor, man zeigt dem System ein vollständiges Bild des normalen Verkehrs, verbirgt dann aber kleine Teile davon. Die Aufgabe des Systems besteht darin, vorherzusagen, wie die verborgenen Teile basierend auf dem Rest des Bildes aussehen sollten. Da es nur mit sicherem, normalem Verkehr trainiert wird, wird es sehr gut darin, vorherzusagen, wie eine gesunde Verbindung aussehen sollte. Es lernt die Regeln des Spiels so gut, dass es die Lücken für jeden normalen Fluss ausfüllen kann, den es vorfindet.

Die wahre Stärke dieses Ansatzes zeigt sich, wenn das System auf etwas Neues stößt. Wenn ein bösartiger Fluss erscheint, bricht er die Regeln, die das System gelernt hat. Wenn das System versucht, vorherzusagen, wie dieser seltsame Fluss basierend auf seinem Training aussehen sollte, scheitert es. Die Vorhersage ist schlecht, und der Unterschied zwischen dem, was das System erwartet hat, und dem, was tatsächlich geschah, ist groß. Die Forscher nennen diesen Unterschied einen Rekonstruktionsfehler. In ihren Tests fanden sie heraus, dass dieser Fehler ein zuverlässiges Signal für Intrusionen war. Flüsse, die Teil eines Angriffs waren, produzierten konsistent hohe Fehler, während normaler Verkehr niedrige Fehler produzierte. Dies ermöglichte es dem System, potenzielle Bedrohungen zu melden, ohne jemals während der Trainingsphase ein einziges Beispiel eines Angriffs gesehen zu haben.

Das Team testete sein System auf zwei großen, realen Datensätzen, die Millionen von Netzwerkflüssen aus verschiedenen Umgebungen enthielten. Ein Datensatz stammte aus einem kleineren Netzwerk, während der andere eine viel größere, komplexere Infrastruktur repräsentierte. In beiden Fällen arbeitete das System mit bemerkenswerter Genauigkeit. Auf dem kleineren Datensatz identifizierte es fast alle Angriffe korrekt und behielt gleichzeitig eine sehr niedrige Rate an Fehlalarmen bei. Auf dem größeren, anspruchsvolleren Datensatz übertraf es bestehende Methoden immer noch deutlich und erreichte in einigen Maßen Werte, die Perfektion nahe kamen. Die Forscher verglichen ihre Arbeit mit anderen fortschrittlichen Systemen, die ebenfalls versuchen, Anomalien ohne gelabelte Angriffsdaten zu erkennen. Ihr System rang konsequent höher und bewies, dass die Kombination der lokalen Sicht des Graph Neural Network mit der globalen Sicht des Transformers effektiver war als die Verwendung eines der beiden Ansätze allein.

Eine der wichtigsten Erkenntnisse war, dass das System nicht gesagt werden musste, was ein Angriff ist, um zu lernen, wie man einen erkennt. Indem es sich ausschließlich auf die Rekonstruktion des normalen Verhaltens konzentrierte, lernte das Modell natürlich, alles abzulehnen, was nicht hineinpasste. Dies ist ein entscheidender Vorteil, da Angreifer in der realen Welt ständig neue Tricks erfinden und Sicherheitsteams oft nicht über genügend gelabelte Daten verfügen, um einem Computer jede mögliche Variation einer Bedrohung beizubringen. Das GraphIDS-System umgeht dieses Problem, indem es die Form der Sicherheit lernt. Wenn der Verkehr sicher aussieht, kann das System ihn leicht rekonstruieren. Wenn er gefährlich aussieht, gerät das System ins Straucheln, und dieses Straucheln ist der Alarm.

Die Forscher untersuchten auch, was passierte, wenn sie bestimmte Teile ihres Systems entfernten. Als sie die Graph-Komponente entfernten und dem System nur Rohdaten zuführten, sank dessen Leistung, insbesondere im größeren, komplexeren Netzwerk. Dies zeigte, dass das Verständnis der Verbindungen zwischen den Geräten essenziell war, um subtile Angriffe zu entdecken. Ähnlich verhielt es sich, als sie die fortschrittliche Transformer-Engine durch eine einfachere ersetzten; das System funktionierte zwar immer noch gut, war aber weniger konsistent und etwas weniger genau. Diese Tests bestätigten, dass sowohl der lokale Kontext als auch die globalen Muster notwendig waren, damit das System sein volles Potenzial ausschöpfen konnte. Die Studie legt nahe, dass der beste Weg zur Erkennung von Intrusionen darin besteht, ein Modell zu bauen, das die Struktur und die Gewohnheiten des Netzwerks tiefgreifend versteht, anstatt nur eine Liste schlechten Verhaltens auswendig zu lernen.

Obwohl die Ergebnisse vielversprechend sind, räumen die Forscher ein, dass kein System perfekt ist. Ihr Modell setzt voraus, dass sich das Netzwerk über die Zeit relativ konsistent verhält. Wenn sich das Netzwerk drastisch ändert, beispielsweise bei einem großen Upgrade oder einem plötzlichen Wandel im Nutzerverhalten, könnte das System verwirrt werden und Fehlalarme auslösen. Sie schlagen vor, dass zukünftige Arbeiten darin bestehen könnten, das System kontinuierlich lehren zu lassen, sich mit der Entwicklung des Netzwerks anzupassen, anstatt ein vollständiges Retraining zu erfordern. Sie merkten auch an, dass das System in Szenarien, in denen nur ein einzelnes Gerät überwacht wird, weniger Informationen zur Verfügung hat, da es den weiteren Netzwerkzusammenhang nicht sehen kann. Trotz dieser Einschränkungen demonstriert die Studie einen bedeutenden Fortschritt darin, wie wir digitale Infrastrukturen schützen können. Durch die Vereinigung der Untersuchung lokaler Verbindungen mit globalen Mustern bietet das GraphIDS-System einen robusten, selbstüberwachten Weg, um Netzwerke sicher zu halten – indem es den Rhythmus der Normalität lernt, um die Dissonanz eines Eindringlings zu hören.