An End-to-End Framework for Functionality-Embedded Provenance Graph Construction and Threat Interpretation

1. Problemstellung und Motivation

Die Erkennung von Advanced Persistent Threats (APTs) ist aufgrund der Tarnung dieser Angriffe im normalen Systemverkehr schwierig. Analysten stützen sich auf System-Logs (Prozesse, Dateien, Netzwerk), die jedoch oft unstrukturiert, heterogen und voller Low-Level-Details sind.

Herausforderungen bestehender Ansätze:

• Manuelle Regelkonstruktion: Der Aufbau von Provenance-Graphen (Darstellung kausaler Beziehungen zwischen Systementitäten) erfordert manuell erstellte, brüchige Regular-Expression-Regeln. Diese skalieren schlecht bei heterogenen Logs und brechen bei Änderungen im Log-Format (z. B. durch Software-Updates).
• Fehlender funktionaler Kontext: Bestehende Anomalie-Erkennungssysteme nutzen oft nur grobe Entitätstypen (z. B. „Prozess") oder Namen. Sie verstehen nicht die Funktion einer Entität (z. B. „Textverarbeitungsprogramm" vs. „Dienst"). Dies führt dazu, dass bösartiges Verhalten, das dem normalen Verhalten ähnlicher Entitäten gleicht, nicht erkannt wird.
• Eingeschränkte Interpretierbarkeit: Gefundene Angriffe werden oft als komplexe Graphen ausgegeben, die für Analysten schwer zu interpretieren sind.

2. Methodik: Auto-Prov Framework

Auto-Prov ist ein adaptives, End-to-End-Framework, das Large Language Models (LLMs) nutzt, um Provenance-Graphen automatisch zu konstruieren, mit funktionalen Attributen anzureichern und Angriffe zusammenzufassen. Der Workflow besteht aus fünf Hauptkomponenten:

1. Automatische Entdeckung von Log-Typen:

   • Da Log-Formate unbekannt und dynamisch sind, clustert Auto-Prov eingehende Logs online basierend auf struktureller Ähnlichkeit (unter Verwendung von DBStream und RoBERTa-Embeddings).
   • Es identifiziert neue Log-Typen und wählt repräsentative Stichproben aus, um Regeln zu generieren, ohne manuelle Eingriffe.

2. Candidate Provenance Extractor (CPE):

   • Ein leistungsstarkes LLM (z. B. GPT-4o) analysiert die repräsentativen Log-Stichproben.
   • Es extrahiert Entitäten, Interaktionsrichtungen, Zeitstempel und Entitätsnamen.
   • Um Konsistenz zu gewährleisten, nutzt das System Few-Shot-Prompts und Mehrheitsvoting bei der Inferenz von Interaktionsrichtungen.

3. Rule Generator:

   • Um Skalierbarkeit zu gewährleisten, wird das Verhalten des großen LLMs in leichtgewichtige, wiederverwendbare Regular-Expression-Regeln „destilliert".
   • Ein kleineres Open-Source-LLM (z. B. LLaMA-3) generiert diese Regeln basierend auf den vom CPE extrahierten Mustern. Diese Regeln werden dann auf den gesamten Log-Stream angewendet.

4. Node Enricher (Funktionalitäts-Embedding):

   • Um den fehlenden funktionalen Kontext zu füllen, weist Auto-Prov jedem Knoten im Graphen ein Funktionslabel zu (z. B. „Browser", „Treibersystem").
   • Strategie: Zuerst wird versucht, die Funktion basierend auf dem Entitätsnamen über ein LLM zu inferieren.
   • Fallback: Wenn das LLM die Entität nicht kennt (z. B. neue Software), wird ein verhaltensbasierter Klassifikator verwendet. Dieser schätzt die Funktion basierend auf der Ähnlichkeit der einstufigen Interaktionen (Nachbarn im Graphen) zu bekannten Entitäten ab.

5. Graph Assistant (Angriffs-Zusammenfassung):

   • Nach der Detektion von Anomalien durch bestehende Graph-basierte Detektoren (z. B. Flash, MAGIC, OCR-APT) wandelt ein LLM die Angriffsgraphen in natürliche Sprache um.
   • Es erstellt eine Zusammenfassung der verdächtigen Aktivitäten und ordnet diese den entsprechenden Taktiken der MITRE ATT&CK-Matrix zu, um Analysten bei der Untersuchung zu unterstützen.

3. Wichtige Beiträge

• Adaptives Framework: Ein System, das Provenance-Graphen aus heterogenen, sich entwickelnden Logs automatisch und ohne manuelle Regelkonfiguration erstellt.
• Funktionalitäts-Embedding: Eine neue Repräsentation von Graph-Knoten, die funktionale Labels kombiniert (LLM-Inferenz für bekannte Entitäten + Verhaltensklassifikation für unbekannte Entitäten).
• Skalierbare Regelgenerierung: Die Nutzung eines kleinen LLMs zur Generierung von Regex-Regeln aus den Ausgaben eines großen LLMs, was die Verarbeitung von High-Volume-Streams ermöglicht.
• Interpretierbare Angriffsberichte: Ein Ansatz, der Detektionsgraphen in verständliche natürliche Sprache und Taktik-Zuordnungen übersetzt, wobei auch unbekannte Entitäten robust behandelt werden.

4. Ergebnisse und Evaluation

Das Framework wurde mit vier State-of-the-Art-Detektoren (Flash, MAGIC, OCR-APT, Kairos) auf zwei heterogenen Datensätzen evaluiert: DARPA-E3 THEIA (Linux, strukturierte JSON-Logs) und ATLAS (Windows, DNS, Firefox, weniger strukturierte Logs).

Ergebnisse:

• Verbesserte Detektionsleistung: Auto-Prov steigerte die Erkennungsleistung (AUC-ROC) konsistent. Auf THEIA wurde eine durchschnittliche Steigerung von 0,23 und auf ATLAS von 0,15 erzielt.
• Robustheit bei neuen Entitäten: Durch die Kombination von LLM-Inferenz und verhaltensbasierter Schätzung konnte Auto-Prov auch bei unbekannten Systementitäten funktionale Labels zuweisen, was die Generalisierungsfähigkeit erhöht.
• Attack Detection Precision (ADP): Auto-Prov erreichte in vielen Szenarien einen ADP-Wert von 1,0, was bedeutet, dass es selbst bei stealthy-Angriffen mit wenigen anomalen Knoten mindestens einen Teil des Angriffs korrekt priorisierte.
• Qualität der Zusammenfassungen: Der Graph Assistant lieferte zuverlässige Taktik-Inferenzen (hohe Übereinstimmung mit MITRE ATT&CK) und war robust gegenüber „Poisoning" (Verschleierung von Entitätsnamen), da die verhaltensbasierte Schätzung weiterhin funktionale Kontexte liefern konnte.

5. Bedeutung und Fazit

Auto-Prov adressiert die Hauptlimitationen der Provenance-basierten Anomalieerkennung:

1. Es eliminiert den manuellen Aufwand für die Regelkonstruktion und passt sich automatisch an neue Log-Formate an.
2. Es überwindet die Lücke in der semantischen Interpretation von Systementitäten, indem es funktionale Kontexte in die Graphen integriert.
3. Es macht die Ergebnisse für menschliche Analysten interpretierbar, indem es komplexe Graphen in handhabbare Berichte übersetzt.

Das Paper zeigt, dass die Integration von LLMs in die Pipeline der Provenance-Analyse (nicht nur als Detektoren, sondern als Baumeister und Interpreten) die Praktikabilität und Genauigkeit von APT-Erkennungssystemen in realen, sich wandelnden Umgebungen signifikant verbessert.