Reliable Hierarchical Operating System Fingerprinting via Conformal Prediction

Stellen Sie sich vor, Sie sind ein digitaler Detektiv, der herauszufinden versucht, welcher Computer mit Ihnen über das Internet spricht. Ist es ein Windows-Laptop, ein Android-Smartphone oder ein Linux-Server? Diese Detektivarbeit nennt man „OS-Fingerprinting“. Normalerweise suchen Detektive nach winzigen, einzigartigen Eigenheiten in der Art und Weise, wie diese Computer Nachrichten senden – wie etwa der spezifischen Art, wie sie einen Handshake beginnen, oder wie groß ihre Datenpakete sind. Aber hier liegt das Problem: Das Internet ist ein chaotischer Ort. Manchmal sind die Hinweise verschwommen, und ein Standard-Detektiv ruft vielleicht voller Zuversicht: „Es ist definitiv Android!“, obwohl es in Wirklichkeit ein iPhone ist. In Hochsicherheitsbereichen kann eine solche selbstbewusste Fehlentscheidung katastrophal sein.

Um dies zu lösen, nutzen Wissenschaftler ein mathematisches Werkzeug namens „Conformal Prediction“. Betrachten Sie dies nicht als ein Kristallball, der eine einzige Antwort liefert, sondern als ein Sicherheitsnetz. Anstatt zu sagen: „Es ist X“, sagt es: „Es ist mit fast absoluter Sicherheit eines dieser drei Dinge: X, Y oder Z.“ Dies bietet eine Garantie: Wenn Sie Ihr Sicherheitsnetz so einstellen, dass es 95 % der Fälle auffängt, wird es tatsächlich in 95 % der Fälle funktionieren, egal wie seltsam die Daten auch werden. Aber es gibt einen Haken: Betriebssysteme sind nicht einfach eine flache Liste von Namen; sie sind ein Stammbaum. Windows ist der Großvater, Windows 10 ist der Elternteil und Windows 10 22H2 ist das Kind. Wenn Ihr Sicherheitsnetz sagt: „Es ist ein Mac“, aber gleichzeitig auch „Es ist Windows 10“, dann ist das ein logisches Chaos. Dieses Paper untersucht, wie man ein Sicherheitsnetz baut, das den Stammbaum respektiert und sicherstellt, dass, wenn Sie ein Kind erraten, Sie auch den richtigen Elternteil mit angeben.

Das Problem des Stammbaums

In der Welt der Netzwerksicherheit ist die Identifizierung eines Betriebssystems (OS) wie der Versuch, eine Person in einer Menge allein am Klang ihrer Schritte zu identifizieren. Man hört vielleicht einen schweren Stiefel (Windows), einen leichten Sneaker (Linux) oder einen speziellen Markenschuh für das Laufen (Android). Traditionell agieren Sicherheitssysteme wie ein einseitiger Detektiv, der auf eine Person zeigt und sagt: „Das ist der Verdächtige!“ Aber wenn der Detektiv falsch liegt, versagt der gesamte Sicherheitsplan.

Die Autoren dieses Papers erkannten, dass Betriebssysteme eine natürliche Hierarchie besitzen, ähnlich einem Stammbaum. Ganz oben stehen breite Familien wie „Windows“ oder „Linux“. Darunter folgen die Hauptversionen wie „Windows 10“ oder „Ubuntu 20.04“. Ganz unten befinden sich die spezifischen Nebenversionen, wie zum Beispiel „Windows 10 22H2“. Das Problem ist, dass Standard-„Sicherheitsnetz“-Methoden (Conformal Prediction) jedes Betriebssystem normalerweise als ein separates, unzusammenhängendes Element auf einer Liste behandeln. Wenn man sie fragt, was sie raten sollen, liefern sie Ihnen vielleicht eine Liste, die „Windows 10“ und „Android 11“ enthält, aber die „Windows“-Familie vergisst, oder noch schlimmer, sie sagen, die Familie sei „Android“, aber die spezifische Version sei „Windows 10“. Das ist so, als würde man sagen: „Dieses Tier ist ein Hund, aber es ist auch eine Katze.“ Das ergibt keinen Sinn.

Zwei Wege, das Sicherheitsnetz zu bauen

Die Forscher testeten zwei verschiedene Strategien, um dieses logische Chaos zu beheben, unter Verwendung eines Datensatzes mit über 100.000 echten Netzwerkverkehrsdatensätzen einer Universität. Sie wollten sehen, welche Methode eine sichere, logische Liste von Möglichkeiten liefern konnte, ohne dabei zu vage zu werden.

Strategie 1: Die unabhängigen Ratgeber (Level-wise CP)
Stellen Sie sich vor, Sie haben drei verschiedene Detektive, die am selben Fall arbeiten. Ein Detektiv schaut nur auf den Familiennamen, ein anderer nur auf die Hauptversion und ein dritter nur auf die Nebenversion. Sie sprechen nicht miteinander.

• Wie es funktioniert: Jeder Detektiv baut sein eigenes Sicherheitsnetz unabhängig von den anderen auf.
• Das Ergebnis: Diese Methode ist sehr scharfinnig. Sie liefert Ihnen sehr kleine, spezifische Listen. Wenn der Familien-Detektiv sicher ist, dass es „Windows“ ist, ist die Liste winzig.
• Der Makel: Da sie nicht miteinander kommunizieren, widersprechen sie sich manchmal. Der Familien-Detektiv sagt vielleicht „Es ist Linux“, während der Nebenversions-Detektiv sagt „Es ist Windows 10“. Dies führt in ihren Tests zu einer „Hierarchical Inconsistency Rate“ (HIR) von etwa 30 % bis 40 %. Es ist effizient, aber logisch fehlerhaft.

Strategie 2: Der Aufwärts-Projektor (Projection-based CP)
Stellen Sie sich nun vor, Sie haben nur einen einzigen Detektiv, der auf das kleinste Detail schaut (die Nebenversion) und sich dann den Stammbaum hinaufarbeitet.

• Wie es funktioniert: Der Detektiv findet das spezifische Blatt (z. B. „Windows 10 22H2“) und sagt dann: „Okay, wenn es das ist, muss es auch ‚Windows 10‘ und ‚Windows‘ sein.“ Er projiziert die Antwort nach oben, um die Lücken zu füllen.
• Das Ergebnis: Diese Methode ist perfekt logisch. Die „Hierarchical Inconsistency Rate“ liegt exakt bei null. Sie erhalten niemals eine „Windows“-Familie mit einem „Android“-Kind.
• Der Makel: Sie ist etwas vorsichtiger. Da sie jeden möglichen Elternteil einer spezifischen Vermutung einschließen muss, werden die Listen auf den oberen Ebenen (der Familienebene) größer. Wenn der Detektiv sich über die spezifische Version unsicher ist, wird der gesamte Stammbaum in das Sicherheitsnetz aufgenommen, was die Liste auf den oberen Ebenen weniger präzise macht.

Der große Kompromiss

Die Hauptentdeckung des Papers ist ein grundlegender Zielkonflikt zwischen Effizienz (kleine, präzise Listen) und Konsistenz (logisch perfekte Listen).

• Wenn ein Mensch die Ergebnisse lesen muss: Sind die „unabhängigen Ratgeber“ (Level-wise CP) besser. Ein menschlicher Analyst kann eine Liste sehen, die besagt: „Familie: Windows, Version: Android 11“, und realisieren: „Oh, die Maschine ist sich über die Version unsicher, aber es ist definitiv Windows.“ Er kann seinen Verstand nutzen, um den Fehler zu korrigieren.
• Wenn ein Computer eine Entscheidung treffen muss: Ist der „Aufwärts-Projektor“ (Projection-based CP) der Gewinner. Automatisierte Systeme können mit Widersprüchen nicht umgehen. Wenn einem Computer gesagt wird „Blockiere Android“, aber die Liste besagt „Familie: Windows“, bleibt der Computer stecken. Die Projektionsmethode garantiert, dass die Liste immer Sinn ergibt, auch wenn die Liste etwas länger ausfällt.

Was sie herausgefunden haben

Die Forscher führten ihre Tests 50 Mal durch, um sicherzugehen, und fanden heraus, dass beide Methoden erfolgreich die richtige Antwort mindestens 95 % der Zeit erwischt haben (als sie dieses Ziel festlegten), was beweist, dass die Sicherheitsnetze funktionieren. Die „unabhängige“ Methode produzierte Listen, die auf der Familienebene etwa 10–20 % kleiner waren, aber sie waren logisch ungeordnet. Die „Projektions“-Methode produzierte perfekt logische Listen, aber die Listen auf der Familienebene waren etwas größer, da sie jede Möglichkeit berücksichtigen mussten.

Letztendlich legt das Paper nahe, dass es keine einzelne „beste“ Methode gibt. Es kommt darauf an, wer die Antwort nutzt. Wenn ein Mensch die forensische Arbeit leistet, ist die unordentliche, aber präzise Methode völlig in Ordnung. Aber wenn ein Roboter den Zugriff auf ein Netzwerk blockiert, benötigt er die perfekt logische, etwas größere Liste, um keinen dummen Fehler zu begehen. Die Autoren haben ihren Code und ihre Daten zur Verfügung gestellt, damit andere diese Methoden in ihren eigenen Netzwerken testen können, was dazu beiträgt, das Internet zu einem sichereren Ort zu machen, an dem wir genau wissen, womit wir es zu tun haben.