GRASP -- Graph-Based Anomaly Detection Through Self-Supervised Classification
GRASP ist ein selbstüberwachtes, graphbasiertes Provenance-Intrusion-Detection-System, das Prozess-Executable-Informationen maskiert und rekonstruiert, um Anomalien zu identifizieren, ohne auf vordefinierte Schwellenwerte angewiesen zu sein, und dadurch eine robuste Erkennung sowohl bekannter als auch unbekannter Advanced Persistent Threats ermöglicht.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich Ihren Computer als eine belebte Stadt vor. In dieser Stadt gibt es Millionen tägiger Aktivitäten: Menschen (Prozesse), die Türen öffnen, Karten lesen, Briefe schreiben und mit Nachbarn sprechen. Normalerweise folgen diese Aktivitäten einem vorhersehbaren Rhythmus. Doch manchmal schleicht sich ein Spion (ein Angreifer) hinein. Der knifflige Teil ist, dass der Spion keine neue, gruselig aussehende Waffe mitbringt; stattdessen nutzt er die legitimen Werkzeuge der Stadt selbst – wie ein Buch aus der öffentlichen Bibliothek oder einen normalen Lieferwagen –, um Verbrechen zu begehen. Dies wird als „Living off the Land" bezeichnet.
Traditionelle Sicherheitswachen (alte Erkennungssysteme) versuchen, diese Spione aufzuspüren, indem sie starre Regeln aufstellen. Sie sagen: „Wenn ein Truck schneller als 80 km/h fährt, stoppen Sie ihn!" oder „Wenn eine Person mehr als 10 Türen in einer Minute öffnet, geben Sie Alarm!" Das Problem ist, dass Spione schlau sind. Sie fahren mit 79 km/h oder öffnen genau 10 Türen. Wenn die Regeln zu streng sind, übersehen sie den Spion. Wenn die Regeln zu locker sind, schreien sie bei jedem Öffnen einer Tür durch eine echte Person „Feuer!", was dazu führt, dass die Wachen die echte Gefahr ignorieren (dies wird als „Alarmmüdigkeit" bezeichnet).
Hier kommt GRASP ins Spiel: Der intuitive Stadtwatchman
Die Arbeit stellt ein neues System namens GRASP (Graph-basierte Anomalieerkennung durch selbstüberwachtes Klassifizieren) vor. Anstatt starre Geschwindigkeitsbegrenzungen oder Türzählregeln zu verwenden, agiert GRASP wie ein hochintuitiver Nachbarschaftswächter, der genau weiß, wie jedes Werkzeug in der Stadt gebraucht werden sollte, basierend darauf, wer es hält und mit wem sie sprechen.
So funktioniert es, aufgeteilt in einfache Konzepte:
1. Die „Zwei-Schritte"-Nachbarschaftsregel
GRASP betrachtet nicht nur eine einzelne Person (einen Prozess); es betrachtet deren Zwei-Schritte-Nachbarschaft.
- Schritt 1: Mit wem sprechen sie gerade? (z. B. ein „Webbrowser"-Prozess, der eine Datei liest).
- Schritt 2: Mit wem sprechen diese Personen? (z. B. diese Datei wurde gerade von einem „Systemupdate"-Prozess geschrieben).
Indem es dieses Netz von Verbindungen betrachtet, erstellt GRASP eine mentale Karte darüber, wie Dinge normalerweise interagieren. Es lernt, dass ein „Webbrowser" normalerweise mit „Bilddateien" spricht, aber selten mit „Systemkonfigurationsdateien".
2. Das „Verblindete"-Trainings-Spiel
Um diese Karte zu lernen, spielt GRASP während seiner Trainingsphase ein Spiel namens „Wer ist es?".
- Stellen Sie sich vor, Sie zeigen dem Wächter eine Szene: Eine Person hält ein Werkzeug, liest eine Datei und spricht mit einem Nachbarn.
- Der Trick: Sie setzen eine Augenbinde über das Werkzeug (die „ausführbare Datei"). Sie verbergen, was das Werkzeug tatsächlich ist.
- Die Aufgabe: Der Wächter muss raten: „Basierend auf der Datei, die sie lesen, und dem Nachbarn, mit dem sie sprechen, welches Werkzeug hält diese Person?"
- Wenn die Person eine Konfigurationsdatei liest und mit einem Systemprozess spricht, lernt der Wächter zu raten: „Systemkonfigurationswerkzeug". Wenn er „Webbrowser" rät, liegt er falsch.
Das System macht dies Millionen von Malen. Es lernt die „Persönlichkeit" jedes Werkzeugs basierend auf seiner Umgebung.
3. Den Spion fangen (Anomalieerkennung)
Sobald das Training abgeschlossen ist, geht der Wächter auf Streife.
- Ein Prozess kommt und tut etwas Seltsames.
- Der Wächter betrachtet die Umgebung und fragt: „Welches Werkzeug ist das?"
- Wenn die Umgebung darauf hindeutet, dass es ein „Rechner" sein sollte, das Werkzeug aber tatsächlich ein „Verstecktes Skript" ist, sagt der Wächter: „Moment mal! Das ergibt keinen Sinn!"
- Da das Verhalten des Werkzeugs nicht mit der „Geschichte" übereinstimmt, die seine Nachbarn erzählen, markiert GRASP es als verdächtig.
Warum ist das besser als die alten Wachen?
- Keine starren Regeln (Keine Schwellenwerte): Alte Systeme benötigen eine „magische Zahl" (wie „mehr als 50 Alarme"). GRASP braucht dies nicht. Es weiß einfach, wenn etwas sich „falsch" anfühlt. Das bedeutet, es verpasst Spione nicht nur, weil sie knapp unter der Grenze blieben.
- Es fängt die „Unbekannten": Wenn ein Spion ein brandneues, noch nie gesehenes Werkzeug mitbringt, erkennt GRASP es sofort, weil es keine „Nachbarschaftsgeschichte" dafür hat. Es markiert es als „Unbekannt", was ein riesiges Warnsignal ist.
- Es ist stabil: Die Arbeit zeigt, dass andere Systeme (wie ORTHRUS und VELOX) wie Wetterfahnen sind; wenn Sie den Wind leicht ändern (die Daten oder die Einstellungen ändern), schwanken ihre Ergebnisse wild. GRASP ist wie ein Leuchtturm; es gibt jedes Mal ein konsistentes, zuverlässiges Signal.
Der Kompromiss: Mehr Lärm, bessere Sicherheit
Die Arbeit gibt zu, dass GRASP mehr Alarme auslöst als die alten Systeme.
- Altes System: „Ich sehe 5 verdächtige Dinge. Ich werde nur 1 melden, um den Chef nicht zu belästigen." (Risiko: Der Chef verpasst den echten Angriff).
- GRASP: „Ich sehe 500 verdächtige Dinge. Hier ist die Liste. Sie, der menschliche Analyst, wählen Sie die aus, die wichtig sind."
Die Autoren argumentieren, dass dies tatsächlich besser ist. Es ist besser, eine Liste von 500 Dingen zu haben, die man überprüfen muss, als ein System, das selbstbewusst sagt „Alles ist in Ordnung", während die Stadt brennt. In ihren Tests fand GRASP 100 % der dokumentierten Angriffe in den meisten Datensätzen, während die anderen Systeme viele verpassten.
Das „Android"-Problem
Die Arbeit weist auf eine Ausnahme hin: Auf Android-Geräten (dem Clearscope-Datensatz) hatte das System Schwierigkeiten. Warum? Weil in dieser spezifischen „Stadt" ein Werkzeug fast alles tut und die Nachbarschaft für alle gleich aussieht. Es ist wie eine Stadt, in der jeder genau die gleiche Uniform trägt und mit genau derselben Person spricht; es ist schwer zu sagen, wer der Spion ist. GRASP konnte dort die „Persönlichkeit" der Werkzeuge nicht lernen. Aber für Linux- und Windows-Systeme funktionierte es brillant.
Zusammenfassung
GRASP ist ein Sicherheitssystem, das lernt, indem es mit seinen eigenen Daten ein Ratespiel spielt. Anstatt strenge Regeln festzulegen, lernt es den „sozialen Kreis" jedes Computerprogramms. Wenn ein Programm anfängt, sich mit der falschen Menge zu treffen oder die falschen Werkzeuge für die Situation zu verwenden, löst GRASP den Alarm aus. Es mag öfter Alarm schlagen als ältere Systeme, aber es stellt sicher, dass kein Spion durch die Maschen schlüpft.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.