Applying JEPA-Style Predictive Learning to JA4-Derived Network Fingerprints

Stellen Sie sich vor, Sie versuchen, einen geheimnisvollen Reisenden in einem überfüllten Bahnhof zu identifizieren. Normalerweise überprüfen Sicherheitskräfte nur eine einzige ID-Karte (einen „Fingerabdruck“) gegen eine riesige Liste bekannter Gesichter. Wenn die Karte übereinstimmt, großartig; wenn nicht, wissen sie nicht, was sie tun sollen. So identifizieren die meisten Computernetzwerke derzeit den Datenverkehr: Sie schauen auf einen kurzen Code (wie einen JA4-Fingerabdruck) und sagen: „Oh, das ist ein Webbrowser“ oder „Das ist ein Server“. Es ist schnell, aber starr. Es versteht den Reisenden nicht wirklich; es gleicht nur ein Namensschild ab.

Stellen Sie sich nun einen neuen Typ von Detektiv vor, der nicht nur eine Liste prüft. Stattdessen betrachtet dieser Detektiv einige verschiedene Hinweise, die der Reisende bei sich trägt – einen Hut, einen Schuh, ein Ticket und einen Rucksack. Selbst wenn dem Reisenden ein Hut fehlt oder der Detektiv den Rucksack nicht sehen kann, versucht der Detektiv zu raten, wie die fehlenden Hinweise basierend auf den sichtbaren Teilen aussehen sollten. Wenn die Vermutung mit der Realität übereinstimmt, lernt der Detektiv etwas Tiefgründiges über den Stil des Reisenden.

Genau das haben die Forscher der Hochschule Luzern mit einem neuen System namens JA4-JEPA gemacht.

Das „Fehlendes Teil“-Puzzle

Das Team nahm eine massive Sammlung von Netzwerk-„ID-Karten“ (etwa 397.000 Stichproben) aus zwei verschiedenen Quellen. Diese Karten bestanden aus vier verschiedenen Abschnitten:

1. JA4: Die grundlegende Client-ID (wie ein Reisepass).
2. JA4H: Wie der Client mit einer Website kommuniziert (wie ein Gespräch).
3. JA4S: Wie der Server antwortet (wie eine Antwort).
4. JA4X: Details zu den digitalen Zertifikaten (wie ein Visum).

Hier ist der knifflige Teil: Keine einzige ID-Karte in ihrem Stapel besaß alle vier Abschnitte. Bei einigen fehlte das Gespräch, bei anderen die Antwort. Es war, als versuche man, das Aussehen einer Person zu lernen, indem man in manchen Fotos nur die halbe Gestalt sieht und in anderen die andere Hälfte.

Die Forscher bauten eine intelligente KI (ein Transformer-Modell), um ein Spiel des „Lückenausfüllens“ zu spielen. Sie zeigten der KI einige Abschnitte der ID-Karte und baten sie, die verborgenen Abschnitte vorherzusagen. Anstatt zu versuchen, das ganze Bild neu zu zeichnen (was schwierig und langsam ist), lernte die KI, die Essenz oder den „Vibe“ der fehlenden Teile in einem verborgenen mentalen Raum vorherzusagen. Dieser Ansatz wird JEPA (Joint-Embedding Predictive Architecture) genannt und wird normalerweise für Bilder und Videos verwendet, nicht für Netzwerk-Codes.

Die Ergebnisse: Eine neue Art von Superkraft

Nach dem Training frierten die Forscher das Gehirn der KI ein und testeten es. Sie fragten: „Kannst du mir sagen, ob dieser Datenverkehr ein Webbrowser (TLS), ein Domain Name System (DNS) oder ein Secure Shell (SSH) ist?“

Die Ergebnisse waren überraschend stark:

• Die Vorhersagen der KI stimmten mit den echten verborgenen Abschnitten mit einer Cosinus-Ähnlichkeit von 0,9899 überein (was fast perfekt ist, wie bei zwei Zwillingen).
• Bei der Verwendung zur Sortierung des Datenverkehrs in Gruppen traf eine einfache Nachbarschaftsprüfung Methode in 92,20 % der Fälle bei 39.416 neuen, ungesehenen Stichproben zu.

Dies deutet darauf darauf hin, dass die KI selbst mit unvollständigen Daten eine reiche, nützliche Repräsentation des Netzwerkverkehrs gelernt hat. Es geht nicht mehr nur um den Abgleich eines Namensschilds; sie versteht die Struktur des Datenverkehrs.

Der „Anomalie“-Test: Die Hochstapler entlarven

Um zu sehen, ob diese neue Methode tatsächlich besser als die alten Wege war, führte das Team einen zweiten Test mit einem massiven Datensatz von 2,1 Millionen realer Datenverkehrspaare von einem Enterprise-Gateway durch. Sie erstellten zwei Arten von „falschen“ Anomalien (Tricks), um zu sehen, welches System sie entdecken könnte:

1. Der Shuffle (Das Mischen): Das Mischen einer echten ID mit einem unzusammenhängenden, zufälligen Gespräch.
2. Das Hard-Positive: Das Mischen einer echten ID mit einem Gespräch, das sie zwar noch nie geführt hat, obwohl beide Teile verbreitet sind.

Sie verglichen ihre neue KI mit fünf anderen Methoden: Häufigkeitszählung, Nearest-Neighbor-Lookups (Nächste-Nachbar-Abfragen), Autoencoder und Clustering.

Die Ergebnisse waren eindeutig:

• Das JA4-JEPA-Modell war das einzige, das bei beiden Arten von Tricks stark abschnitt. Es entlarvte die Hochstapler mit einem AUC von 0,922 (ein Wert, bei dem 1,0 perfekt ist) für den Shuffle und 0,925 für das Hard-Positive.
• Die anderen Methoden scheiterten zumindest an einem der Tests. Zum Beispiel waren einfache Häufigkeitszähler völlig blind gegenüber den neuen Kombinationen, und Nearest-Neighbor-Lookups wurden langsam und verwirrt, sobald die Datenmenge wuchs.
• Geschwindigkeit: Die KI konnte 8.000 Paare pro Sekunde auf einer Standard-CPU verarbeiten, und ihre Geschwindigkeit sank nicht, wenn die Datenbank größer wurde. Im Gegensatz dazu verlangsamte sich die Nearest-Neighbor-Methode von 3.400 Paaren pro Sekunde auf nur noch 250, während die Datenmenge anstieg.

Was das Paper nicht sagt

Es ist wichtig zu wissen, was dieser Zaubertrick nicht leistet.

• Es ist kein Kristallball für Malware: Das Paper stellt explizit fest, dass die KI zwar den Unterschied zwischen einem Webbrowser, einem DNS-Server und SSH erkennen kann, aber noch nicht in der Lage ist, Ihnen zu sagen, welche spezifische App gerade läuft (wie „Chrome“ vs. „Firefox“) oder ob der Verkehr bösartig ist. Die verwendeten Labels waren zu grob gefasst.
• Es ist nicht perfekt darin, „alles zu sehen“: Da die Trainingsdaten unvollständig waren (keine Stichprobe hatte alle vier Ansichten), könnte die KI stark auf das eine Stück angewiesen sein, das sie immer sieht (JA4), um den Rest zu erraten. Die Autoren legen nahe, dass wir zwar nicht zu 100 % sicher sein können, dass die KI tiefe Verbindungen zwischen allen Ansichten gelernt hat, da sie während des Trainings nie ein vollständiges Bild gesehen hat, obwohl die Ergebnisse vielversprechend sind.
• Die „Kalibrierung“ ist noch ein Work in Progress: Die KI ist gut darin, Hochstapler zu ranken (zu wissen, welcher am verdächtigsten ist), aber das Festlegen einer spezifischen „Alarmgrenze“ (Threshold) ist immer noch schwierig. Bei einem Fehlalarm-Budget von 5 % erfasste sie nur 53 % der kniffligen „Hard-Positive“-Anomalien. Das Ranking ist stark, aber die exakte Einstellung des Alarms benötigt noch mehr Arbeit.

Das Fazteit

Das Paper legt nahe, dass das Lehren einer KI, die „fehlenden Teile“ von Fingerabdrücken zu erraten, eine leistungsstarke neue Methode zum Verständnis von Datenverkehr ist. Es schafft ein leichtgewichtiges, schnelles und intelligentes System, das besser als aktuelle Methoden darin ist, seltsame Kombinationen aufzuspüren. Es ist jedoch noch kein gelöstes Problem. Die Forscher sind vorsichtig optimistisch: Die Methode funktioniert gut zum Sortieren von Verkehrstypen und zum Aufspüren von Anomalien, aber um ein echtes Sicherheitstool zu machen, das spezifische Viren oder Apps erwischt, benötigen wir detailliertere Labels und bessere Daten, in denen tatsächlich alle Puzzleteile vorhanden sind.

Kurz gesagt: Die KI hat das Spiel „Rate das fehlende Teil“ so gut gelernt, dass sie begann, das ganze Bild zu verstehen, selbst wenn das Bild zerrissen war. Aber wir müssen sie noch lehren, wie sie die spezifischen Bösewichte in der Menge erkennt.