Multi-Source Cybersecurity Logs: An ATT&CK-Labeled Dataset and SLM Evaluation
Dieses Paper führt einen neuartigen Multi-Source-Cybersecurity-Datensatz ein, der 870 Sitzungen mit System-, Netzwerk- und Browser-Logs umfasst, die mit granularen MITRE ATT&CK-Techniken etikettiert sind, und zeigt auf, dass das Fine-Tuning von Small Language Models auf diesen Daten deren Fähigkeit signifikant verbessert, bösartige Ereignisse zu klassifizieren und Angriffstechniken zu identifizieren.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie versuchen, ein Rätsel in einem belebten Bürogebäude zu lösen. Um einen Dieb zu fangen, können Sie nicht nur die Sicherheitskameras (Netzwerkprotokolle) beobachten; Sie müssen auch die Badge-Scans der Mitarbeiter (Systemprotokolle) und die Quittungen aus dem Coffee Shop oder dem Online-Shop (Browserprotokolle) prüfen. Wenn Sie nur eine Quelle betrachten, kann sich der Dieb leicht verstecken.
In dieser Arbeit geht es darum, ein hochdetailliertes Trainingshandbuch für Computer-Detektive zu erstellen und zu testen, ob eine neue Art von „intelligentem Assistenten“ (ein sogenanntes Small Language Model) lernen kann, den Dieb mithilfe dieses Handbuchs aufzuspüren.
Hier ist die Aufschlüsselung dessen, was sie getan haben, unter Verwendung einfacher Analogien:
1. Das Problem: Der „blinde Detektiv“
Derzeit sind die meisten Sicherheitsdatensätze für Computer wie ein Detektiv, dem man nur eine Karte des Parkplatzes gibt. Sie übersehen, was im Inneren des Gebäudes geschah (Systemprotokolle) oder wonach die Person auf ihrem Computerbildschirm gesucht hat (Browserprotokolle).
- Die Lücke: Bestehende Daten fehlen entweder die Browser-Aktivität, fehlen die System-Aktivität oder sie sagen einfach nur „Bösewicht“ oder „Guter Kerl“, ohne zu erklären, wie der Bösewicht vorgegangen ist (wie zum Beispiel welche spezifische Technik zum Knacken eines Schlosses verwendet wurde).
- Das Ziel: Die Autoren wollten einen Datensatz erstellen, der alles gleichzeitig erfasst (System + Netzwerk + Browser) und jede böse Bewegung mit einem spezifischen „Techniknamen“ aus einem berühmten Sicherheits-Playbook namens MITRE ATT&CK kennzeichnet.
2. Die Lösung: Den „Rätsel-Simulator“ bauen
Die Autoren haben nicht einfach geraten, wie Angriffe aussehen; sie haben ein realistisches Simulationslabor gebaut.
- Der Aufbau: Sie richteten einen sicheren, isolierten digitalen Raum (ein Labor) ein, in dem sie echte Malware ausführen konnten, ohne jemanden zu schaden.
- Die Akteure: Sie führten 870 Sitzungen (Simulationen) durch.
- 800 Sitzungen waren „Gute Kerle“, die ganz normal arbeiteten (surfen, E-Mails schreiben, coden).
- 70 Sitzungen waren „Böse Kerle“, die echte Hacking-Tools (wie Remote Access Trojans und Ransomware) verwendeten, um Daten zu stehlen oder Computer zu sperren.
- Das Ergebnis: Sie sammelten etwa 2,3 Millionen Ereignisse (wie Fußabdrücke, Türöffnungen und Telefonate) und beschrifteten diese. Sie deckten 53 verschiedene Hacking-Techniken über 12 verschiedene Angriffsziele hinweg ab.
- Der „Chunk“: Um es dem Computer lesbar zu machen, gruppierten sie die Daten in kleine Bündel, die „Chunks“ genannt werden. Stellen Sie sich einen Chunk wie einen 7-sekündigen Videoclip des Angriffs vor. Der Computer muss diese 7-stufige Sequenz betrachten, um zu entscheiden: „Ist das ein normaler Tag oder findet gerade ein Raub statt?“
3. Der Test: Die „intelligenten Assistenten“ trainieren
Sie nahmen drei kleine, effiziente KI-Modelle (genannt SLMs – denken Sie an sie als kleine, aber kluge Assistenten, nicht an die massiven, schweren Supercomputer) und versuchten, sie mit diesem neuen Datensatz zu trainieren.
- Die Modelle: Sie verwendeten drei verschiedene „Gehirne“: Qwen, Llama und Phi.
- Die Methode: Sie verwendeten eine Technik namens LoRA. Stellen Sie sich dies als das Geben eines spezialisierten Spickzettels oder einer Reihe von Haftnotizen mit den Regeln des Spiels vor, anstatt das gesamte Gehirn der KI neu zu schreiben. Dies ist schnell und kostengünstig.
4. Die Ergebnisse: Von „ahnungslos“ zu „Experte“
Die Ergebnisse waren dramatisch, vergleichbar mit der Verwandlung einer blindierten Person in einen scharfsinnigen Detektiv über Nacht.
Vor dem Training (Die „Basis“-Modelle):
- Die KI war schrecklich. Sie bekam etwa 8 % der Antworten richtig.
- Der große Fehler: Die KI war eine „Wolf-im-Hals-Maschine“. Sie war so paranoid, dass sie fast jede einzelne normale Sitzung als Angriff bezeichnete. Es war wie ein Sicherheitsmann, der glaubt, dass jeder, der das Büro betritt, ein Dieb ist. Sie wäre im echten Leben nutzlos gewesen, weil sie viel zu viele Fehlalarme ausgelöst hätte.
Nach dem Training (Die „fein abgestimmten“ Modelle):
- Die KI wurde exzellent. Die Genauigkeit sprang auf zwischen 90 % und 97 %.
- Sie lernte endlich, den Unterschied zwischen einem normalen Nutzer, der im Internet surft, und einem Hacker, der Daten stiehlt, zu erkennen.
- Der Gewinner: Das Phi-4-Mini Modell war das beste und erkannte 97 % der Angriffe. Die anderen waren ebenfalls gut, aber eines (Llama) übersah mehr als die Hälfte der Angriffe.
Die „Technik“-Herausforderung:
- Während die KI sehr gut darin wurde zu sagen: „Dies ist ein Angriff“, war sie immer noch etwas unsicher, wenn sie gefragt wurde, den exakten spezifischen Namen der Technik zu nennen (z. B. „Sie verwendeten T1059.001“).
- Das beste Modell brachte den exakten Namen nur in 42 % der Fälle richtig. Es war jedoch sehr gut darin, die allgemeine Idee richtig zu erfassen (Teiltreffer), was bedeutet, dass es die Logik verstand, selbst wenn es den technischen Begriff nicht perfekt buchstabieren konnte.
5. Das Fazit
Das Paper beweist zwei Hauptpunkte:
- Der Datensatz funktioniert: Man kann einen hochwertigen, Multi-Quellen-Datensatz unter Verwendung echter Angriffssimulationen erstellen, und dieser enthält klare Muster, die Computer lernen können.
- Training ist essenziell: Man kann nicht einfach eine generische KI nehmen und erwarten, dass sie Hacker erwischt. Sie muss auf spezifische Sicherheitsdaten „fein abgestimmt“ (fine-tuned) werden. Ohständen dieses Trainings ist die KI zu paranoid, um nützlich zu sein. Mit diesem Training wird sie zu einem leistungsstarken Werkzeug für Sicherheitsteams, um Alarme schnell zu sortieren (triage).
Kurz gesagt: Sie haben einen realistischen „Hacking-Simulator“ gebaut, drei kleine KI-Assistenten beigebracht, die Bösen zu erkennen, und bewiesen, dass diese kleinen Assistenten mit dem richtigen Training sehr effektive Sicherheitskräfte werden können.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.