ProvAgent: Threat Detection Based on Identity-Behavior Binding and Multi-Agent Collaborative Attack Investigation

Die Arbeit stellt ProvAgent vor, ein Framework, das durch die Kombination von traditioneller Anomalieerkennung, graphenbasiertem Identitäts-Verhaltens-Binding und einem kollaborativen Multi-Agenten-System die Erkennung von Advanced Persistent Threats verbessert und autonome, kosteneffiziente Angriffsermittlungen ermöglicht.

Das Wesentliche

Stellen Sie sich vor, Sie sind der Sicherheitschef eines riesigen, modernen Bürogebäudes. Tausende von Mitarbeitern (die Systemprozesse) gehen ihren Alltag nach, öffnen E-Mails, drucken Dokumente und rufen Webseiten auf. Das ist Ihr Audit-Log – eine unendliche Liste von Aktivitäten.

Das Problem: Ein Advanced Persistent Threat (APT) ist wie ein professioneller Einbrecher, der sich perfekt verkleidet. Er nutzt die gleichen Werkzeuge wie die normalen Mitarbeiter (z. B. einen Computer, eine Maus, ein Passwort), aber er macht etwas ganz anderes: Er stiehlt Daten.

Bisherige Sicherheitssysteme hatten zwei große Probleme:

1. Die "Alarmsirene"-Müdigkeit: Die alten Systeme schrien bei jedem verdächtigen Geräusch los. Wenn jemand nur schnell eine Datei verschoben hat, klingelte die Sirene. Das führte zu Tausenden von Fehlalarmen. Die echten Sicherheitsleute (die Analysten) waren so überlastet, dass sie vor lauter Lärm nichts mehr hörten.
2. Die "Detektiv"-Lücke: Wenn ein Alarm wirklich wichtig war, mussten die Menschen stundenlang in den Akten wühlen, um herauszufinden, ob es ein Einbruch oder nur ein Missverständnis war. Das war langsam und teuer.

ProvAgent ist die Lösung. Es ist wie ein hochmoderner Sicherheitsdienst, der aus zwei Teilen besteht: einem extrem schnellen Scanner und einem Team aus KI-Detektiven.

Teil 1: Der Scanner (EPD) – "Der Körpercheck"

Stellen Sie sich vor, jeder Mitarbeiter hat einen festen Körperbau und eine Gewohnheit.

• Der Koch (ein Prozess namens nginx) trägt immer eine Schürze und kocht.
• Der Buchhalter (ein Prozess namens cat) liest immer Bücher.

Frühere Systeme schauten nur auf die Bewegung: "Jemand rennt durch den Flur!" (Das könnte ein Dieb sein, aber auch ein Sportler).

ProvAgent macht etwas Cleveres: Es prüft die Identität.
Es fragt: "Ist das wirklich der Koch, der rennt? Oder ist der Koch plötzlich dabei, wie ein Dieb zu klettern?"

• Die Metapher: Wenn der Koch plötzlich versucht, den Tresor zu knacken, ist das verdächtig, auch wenn er die gleiche Schürze trägt.
• Wie es funktioniert: ProvAgent lernt durch "Spiegeltraining" (Graph Contrastive Learning), wie sich jeder "Körper" (Identität) normalerweise verhält. Wenn jemand gegen dieses Muster verstößt (z. B. ein Webserver, der plötzlich wie ein Dateidieb agiert), schlägt es nur dann Alarm, wenn es sich fast sicher ist.
• Das Ergebnis: Wenige, aber hochwertige Alarme. Keine Panikmache wegen harmloser Aktivitäten.

Teil 2: Das Detektiv-Team (MAI) – "Die KI-Sheriffs"

Wenn der Scanner einen Alarm auslöst, ist die Arbeit noch nicht getan. Hier kommt das Multi-Agenten-Team ins Spiel. Statt einer einzelnen KI, die nur raten kann, arbeiten vier spezialisierte "KI-Agenten" zusammen, wie ein echtes Ermittlerteam:

1. Der Analyst (Der Prüfer): Er nimmt den Alarm und vergleicht ihn sofort mit dem "Normalverhalten" der Datenbank. "Ist das wirklich ein Dieb oder nur ein Mitarbeiter, der spät arbeitet?" Er filtert die restlichen Fehlalarme heraus.
2. Der Ermittler (Der Spürhund): Wenn der Analyst sagt "Ja, das ist verdächtig", geht der Ermittler auf die Jagd. Er schaut sich die Umgebung an: "Wer hat dem Dieb geholfen? Welche Dateien wurden berührt? Welche Türen wurden geöffnet?" Er baut die Spur Stück für Stück auf.
3. Der Anführer (Der Strategist): Er schaut auf das große Ganze. "Passt das hier in ein größeres Verbrechen? Fehlt ein Schritt? Haben wir den Dieb schon gefasst oder läuft er noch?" Er stellt Hypothesen auf ("Vielleicht haben sie das Passwort gestohlen, bevor sie den Tresor geknackt haben") und schickt das Team los, um das zu überprüfen.
4. Der Reporter (Der Chronist): Sobald alles geklärt ist, schreibt er einen klaren, verständlichen Bericht für die Menschen: "Hier ist der Einbrecher, hier ist sein Weg, und hier ist, was wir tun müssen."

Der Clou: Diese Agenten arbeiten in einer Schleife. Sie denken nach, suchen Beweise, überprüfen ihre Theorien und korrigieren sich gegenseitig. Wenn einer einen Fehler macht (eine Halluzination), fängt ihn ein anderer auf. So entsteht ein fast lückenloses Bild des Angriffs.

Warum ist das revolutionär?

• Keine Überlastung: Durch den smarten Scanner gibt es kaum noch Fehlalarme. Die Menschen müssen nicht mehr stundenlang nach "Nadeln im Heuhaufen" suchen.
• Selbstständig: Das Team arbeitet fast komplett allein. Es muss nicht warten, bis ein Mensch einen Befehl gibt.
• Günstig: Das System kostet im Betrieb nur 6 Cent pro Tag (für die KI-Rechenleistung). Das ist wie der Preis eines Kaugummis für den Schutz eines ganzen Unternehmens.
• Schnell und tiefgründig: Es findet nicht nur den ersten Einbruch, sondern rekonstruiert den gesamten Einbruch (wer, wann, wie, wohin) in wenigen Minuten.

Zusammenfassend:
ProvAgent ist wie ein Sicherheitsdienst, der nicht nur schreit, wenn sich jemand bewegt, sondern genau weiß, wer sich bewegt und ob das normal ist. Und wenn etwas wirklich verdächtig ist, schickt es ein Team von KI-Detektiven los, die den Fall selbstständig aufklären, Beweise sammeln und einen perfekten Bericht schreiben – alles für den Preis eines Kaugummis.

Technische Zusammenfassung

Hier ist eine detaillierte technische Zusammenfassung des Papers „ProvAgent: Threat Detection Based on Identity-Behavior Binding and Multi-Agent Collaborative Attack Investigation" auf Deutsch:

1. Problemstellung

Moderne Advanced Persistent Threats (APTs) stellen aufgrund ihrer mehrstufigen, schleichenden und strategisch getarnten Natur eine enorme Herausforderung für die Cybersicherheit dar. Bestehende Ansätze zur herkömmlichen Erkennung (P-EDR – Provenance-based Endpoint Detection and Response) leiden unter zwei zentralen Paradoxien:

• Experten-Skepsis: Analysten zweifeln oft an der Fähigkeit traditioneller Modelle, komplexe Angriffe korrekt zu identifizieren, was zu einer manuellen Überprüfung führt.
• Experten-Abhängigkeit: Analysten können riesige Mengen an Roh-Logs nicht manuell verarbeiten, um Bedrohungen zu erkennen, ohne auf Modelle angewiesen zu sein.

Dies führt zu einem Paradigma der „Human-Model-Kollaboration", das jedoch oft zu Alert Fatigue (Überlastung durch Alarme) führt. Bestehende Methoden erzeugen entweder zu viele False Positives (durch ungenaue Korrelation von Topologie und Verhalten) oder sind zu oberflächlich, um tiefe Angriffsstrukturen autonom zu rekonstruieren. Zudem fehlt es vielen Systemen an der Fähigkeit, zwischen legitimer betrieblicher Heterogenität und echten Angriffen zu unterscheiden, da sie oft nur grobgranulare Identitäten (z. B. nur „Prozess" vs. „Datei") betrachten, statt feingranulare Identitätsmerkmale (z. B. spezifischer Prozessname und Pfad).

2. Methodik: ProvAgent Framework

ProvAgent löst diese Probleme durch eine Synergie aus traditionellen Modellen und einem Multi-Agenten-System (MAS), das die Zusammenarbeit in einem Security Operations Center (SOC) simuliert. Das Framework besteht aus zwei Hauptmodulen:

A. Entity-Profile-based Detection (EPD) – Die Erkennungsphase

Dieses Modul dient als effiziente Vorstufe zur Generierung hochwertiger Alarme mit minimalen False Positives.

• Identitäts-Verhaltens-Bindung (Identity-Behavior Binding): Im Gegensatz zu früheren Ansätzen, die nur Topologien analysieren, nutzt EPD Graph Contrastive Learning, um eine feingranulare Konsistenz zwischen der Identität einer Entität (z. B. spezifischer Prozessname wie nginx oder spezifischer Dateipfad) und ihrem Verhalten zu erzwingen.
• Merkmalskodierung: Es werden semantische Attribute, Aktionshäufigkeiten und zeitliche Muster kodiert.
• Lernprozess: Ein Graph Neural Network (GNN) wird auf benignen (ungeschädigten) Provenance-Graphen trainiert, um Embeddings zu erzeugen, die typische Verhaltensmuster für spezifische Identitäten abbilden.
• Anomalieerkennung: Während des Betriebs wird geprüft, ob das beobachtete Verhalten einer Entität mit ihrem deklarierten Identitätsprofil übereinstimmt. Abweichungen (z. B. ein Prozess namens nginx, der sich wie ein Dateisuch-Tool verhält) werden als Anomalien markiert. Dies ermöglicht eine erklärbare Detektion.

B. Multi-Agent Investigation (MAI) – Die Untersuchungsphase

Dieses Modul übernimmt die tiefe Analyse und Rekonstruktion der Angriffe autonom, indem es die Alarme von EPD als Ausgangspunkt nutzt.

• Architektur: Ein Team aus vier spezialisierten Agenten arbeitet in einem geschlossenen „Hypothesis-Verification"-Zyklus:
  1. Analyst: Validiert Alarme durch Abgleich mit benignen Referenzdaten und filtert False Positives heraus.
  2. Investigator: Führt forensische Analysen auf Ereignisebene durch, rekonstruiert atomare Angriffsoperationen und identifiziert neue Leads (Nachbarentitäten).
  3. Leader: Übernimmt die strategische Koordination. Er versucht, fragmentierte Ereignisse zu einer kohärenten „Kill Chain" (Angriffskette) zusammenzuführen. Er formuliert Hypothesen über fehlende Schritte oder inkonsistente IOCs (Indicators of Compromise) und leitet diese zur Überprüfung an die anderen Agenten weiter.
  4. Reporter: Generiert menschenlesbare Berichte für Analysten.
• Mechanismus: Das System nutzt Large Language Models (LLMs) nicht nur als Berater, sondern als aktive Ermittler mit Untersuchungsautorität. Durch den geschlossenen Regelkreis und die gegenseitige Verifizierung werden Halluzinationen minimiert und die Angriffsrekonstruktion präzisiert.

3. Schlüsselbeiträge

1. Synergetisches Framework: Kombination der Effizienz traditioneller Modelle (für die Skalierung) mit der reasoning-Fähigkeit von Multi-Agenten-Systemen (für die Tiefe).
2. EPD-Modul: Einführung einer feingranularen Identitäts-Verhaltens-Bindung mittels Graph Contrastive Learning zur Generierung hochfideiler Alarme.
3. MAI-Modul: Ein autonomes Untersuchungsframework, das LLMs nutzt, um False Positives zu eliminieren und übersehene Angriffe (Missed Detections) aufzudecken, indem es Hypothesen generiert und evidenzbasiert verifiziert.
4. Umfassende Evaluation: Validierung an realen Datensätzen (DARPA E3, E5, OpTC), die die Überlegenheit gegenüber dem State-of-the-Art (SOTA) beweist.

4. Ergebnisse und Evaluation

Die Evaluation wurde auf den öffentlichen Datensätzen DARPA E3, E5 und OpTC durchgeführt und verglich ProvAgent mit sechs SOTA-Baselines (u. a. Threatrace, Kairos, Flash, Orthrus, OCR-APT).

• Anomalieerkennung: ProvAgent übertrifft alle Baselines in Bezug auf die Erkennungsrate (True Positives) bei gleichzeitig deutlich geringerer Anzahl an False Positives. Während andere Systeme entweder zu viele Fehlalarme produzieren (was Analysten überfordert) oder zu viele Angriffe übersehen (wie Orthrus), findet ProvAgent den optimalen Kompromiss.
• Untersuchungsleistung: Im Vergleich zu OCR-APT (einem früheren LLM-Ansatz) erhöht ProvAgent die Anzahl der erkannten IOCs nach der Untersuchung um 160,7%. OCR-APT reduzierte die IOCs hingegen um 61,5%, da es nur filterte, aber nicht aktiv nach neuen Hinweisen suchte.
• Rekonstruktion: ProvAgent ist in der Lage, fast vollständige Angriffsabläufe (Kill Chains) zu rekonstruieren und deckt die meisten APT-Phasen (Initial Compromise, C&C, Privilege Escalation, etc.) ab.
• Kosten und Effizienz: Die Untersuchung ist kosteneffizient. Die Kosten für die tägliche Untersuchung liegen bei einem Minimum von 0,06 USD pro Tag.
• Robustheit: Das System zeigt hohe Robustheit gegen Mimicry-Attacks (Angriffe, die versuchen, sich als normales Verhalten zu tarnen), da die Identitäts-Verhaltens-Bindung durch kontrastives Lernen auch subtile Inkonsistenzen erkennt, die rein topologische Ansätze übersehen.

5. Bedeutung und Fazit

ProvAgent markiert einen Paradigmenwechsel von der reinen Alarmgenerierung hin zu einer autonomen, tiefgehenden Bedrohungsermittlung.

• Es adressiert das Problem der Alert Fatigue, indem es die Anzahl der zu überprüfenden Alarme drastisch reduziert und gleichzeitig die Qualität der verbleibenden Alarme erhöht.
• Es demonstriert, wie Multi-Agenten-Systeme und LLMs effektiv in Sicherheitsprozesse integriert werden können, um menschliche Expertise zu ergänzen und nicht nur zu simulieren.
• Die Fähigkeit, Angriffe mit geringen Kosten und hoher Genauigkeit zu rekonstruieren, macht das System für den praktischen Einsatz in großen SOCs (Security Operations Centers) hochrelevant.

Zusammenfassend bietet ProvAgent eine skalierbare Lösung, die die Lücke zwischen automatischer Erkennung und menschlicher forensischer Analyse schließt, indem sie eine feingranulare Identitätsprüfung mit strategischer, agentenbasierter推理 (Reasoning) kombiniert.