Semantic-Aware Advanced Persistent Threat Detection Using Autoencoders on LLM-Encoded System Logs
Dieses Paper schlägt eine neuartige Methode zur Erkennung von Advanced Persistent Threats vor, die durch die Nutzung von durch Large Language Models generierten semantischen Embeddings von Systemprotokollen, welche durch einen Autoencoder verarbeitet werden, eine überlegene Leistung gegenüber traditionellen unüberwachten Baselines auf dem DARPA Transparent Computing Datensatz demonstriert, indem sie die semantische Intention von heimlichen „Low-and-Slow“-Angriffsverhaltensweisen effektiv erfasst.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich eine riesige, geschäftige Stadt vor, in der jede Sekunde Millionen von Dingen passieren: Menschen gehen spazieren, Autos fahren, Lichter gehen an und aus, Türen öffnen sich. In der digitalen Welt ist dieses Netzwerk ein Computernetzwerk, und die „Dinge, die passieren“, sind Systemprotokolle (Logs). Diese Protokolle sind die Überwachungskameras und Polizeiberichte der Stadt, die jede einzelne Aktion eines Programms aufzeichnen.
Das Problem: Die „Nadel im Heuhaufen“, die wie Heu aussieht
Normalerweise suchen Sicherheitssysteme nach „Bösewichten“, indem sie nach seltsamen oder seltenen Dingen Ausschau halten. Aber die Bösewichte in dieser Geschichte sind Advanced Persistent Threats (APTs). Stellen Sie sie sich nicht wie einen lautstarken Bankräuber vor, sondern wie einen meisterhaften Spion.
- Sie brechen nicht ein; sie schleichen sich ein.
- Sie rennen nicht; sie gehen langsam und leise.
- Sie nutzen die eigenen Werkzeuge der Stadt (wie ein Hausmeister, der einen Mopp-Eimer benutzt, um eine Waffe zu verbergen), um ihre schmutzigen Werke zu verrichten.
Da diese Spione so ähnlich wie normale Menschen agieren, übersehen alte Sicherheitsmethoden (die nur zählen, wie oft Wörter vorkommen oder nach statistischen Anomalien suchen) sie oft. Es ist, als würde man versuchen, einen Spion in einer Menge zu finden, indem man nur zählt, wie viele Leute rote Hüte tragen. Wenn der Spion auch einen roten Hut trägt, übersieht man ihn.
Die Lösung: Ein „Übersetzer“ und ein „Gedächtnisspiegel“
Die Autoren dieser Arbeit haben ein neues System namens MPNet-AE entwickelt. Sie haben zwei Hauptwerkzeuge eingesetzt, um diese Spione zu fangen:
- Der Übersetzer (Das LLM/MPNet):
Anstatt auf rohen, unordentlichen Computercode zu schauen, fungiert das System zuerst wie ein Übersetzer. Es nimmt die trockenen, technischen Protokolle (z. B. „Process 1054 started /bin/bash“) und verwandelt sie in natürliche englische Sätze, die ein Mensch lesen könnte.
- Analogie: Stellen Sie sich vor, man verwandelt eine Liste von Lebensmitteln in eine Geschichte: „Der Koch griff nach einem Messer und begann, Zwiebeln zu hacken.“
- Dann nutzt es ein superintelligentes KI-Gehirn (genannt MPNet, eine Art Large Language Model), um die Bedeutung dieser Geschichte zu verstehen. Es erstellt einen „semantischen Fingerabdruck“ für jede Aktion. Dieser Fingerabdruck erfasst die Absicht der Aktion, nicht nur die Wörter.
- Der Gedächtnisspiegel (Der Autoencoder):
Als Nächstes verwendet das System ein maschinelles Lernmodell namens Autoencoder. Denken Sie an diesen als einen Studenten, der nur „gutes Verhalten“ studiert.
- Dem Studenten werden tausende Beispiele für normale, sichere Stadtaktivitäten (die „benignen“ Daten) gezeigt.
- Der Student versucht, diese Muster perfekt auswendig zu lernen.
- Wenn der Student ein neues Ereignis sieht, versucht er, es aus dem Gedächtnis zu „rekonstruieren“.
- Der Haken: Wenn das Ereignis normal ist, kann der Student es perfekt rekonstruieren. Aber wenn das Ereignis ein Spion ist, der etwas heimlich tut (selbst wenn es oberflächlich normal aussieht), wird der Student verwirrt und scheitert an der genauen Rekonstruktion.
- Dieser „Fehler bei der Rekonstruktion“ ist das Alarmsignal. Je größer der Fehler, desto wahrscheinlicher ist es ein Spion.
Der Test: Der digitale Tatort
Die Forscher testeten dieses System mit Daten aus dem DARPA Transparent Computing Projekt. Dies ist wie eine riesige, realistische Simulation einer Stadt unter Angriff, die von „Red Teams“ (ethischen Hackern) erstellt wurde, um zu sehen, ob sie einbrechen können.
- Die Daten waren unglaublich unordentlich und unausgewogen: Von Millionen normaler Aktionen waren nur ein winziger Bruchteil (weniger als 0,004 %) tatsächliche Angriffe.
- Sie verglichen ihr neues „Übersetzer + Spiegel“-System mit drei altmodischen Methoden:
- Isolation Forest: Wie der Versuch, eine Nadel zu finden, indem man den Heuhaufen schüttelt.
- OC-SVM: Wie das Zeichnen eines engen Kreises um normale Dinge und die Feststellung, dass alles außerhalb davon schlecht ist.
- PCA: Wie das Quetschen eines 3D-Objekts in 2D, um die Form zu sehen.
Die Ergebnisse
Das neue System gewann haushoch.
- Der „Übersetzer“ funktionierte: Durch das Verständnis der Bedeutung der Protokolle konnte das System den Unterschied zwischen einem Systemadministrator, der ein Passwort zurücksetzt (normal), und einem Hacker, der genau dasselbe tut, aber mit bösartiger Absicht (abnormal), erkennen.
- Der „Spiegel“ fing die Spione: Das System identifizierte die Angriffe konsistent mit einer viel höheren Genauigkeit (gemessen an einem Score namens AUC-ROC) als die alten Methoden.
- Warum es gewann: Die alten Methoden waren wie das Betrachten eines Fingerabdrucks und das Zählen der Linien. Die neue Methode betrachtete die Geschichte, die der Fingerabdruck erzählte. Selbst wenn die Spione versuchten, sich einzuschleichen, passte ihre „Geschichte“ nicht zur „Geschichte“ der normalen Stadt, und das System entlarvte sie.
Zusammenfassend
Diese Arbeit zeigt, dass man, um einen meisterhaften Spion zu fangen, der in voller Sichtbarkeit operiert, nicht nur Dinge zählen kann. Man muss die Geschichte hinter den Aktionen verstehen. Indem wir Computeprotokolle in bedeutungsvolle Sprache übersetzen und einen „Gedächtnisspiegel“ verwenden, um Geschichten zu erkennen, die nicht passen, können wir diese heimlichen, langfristigen Cyberangriffe viel besser erkennen als je zuvor.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.