BARS: Benign-Anchored Ranking and Selection for False Alarm Reduction in Network Intrusion Detection

Stellen Sie sich vor, Sie sind der Sicherheitschef einer riesigen, geschäftigen Stadt. Jede Sekunde sausen Millionen von Autos, Fußgängern und Lieferdrohnen durch die Straßen. Ihre Aufgabe ist es, die Bösewichte – Diebe, Vandalen oder Saboteure – in der Menge aufzuspüren. Sie haben ein hochmodernes Kamerasystem (ein Intrusion Detection System), das alles beobachtet. Aber hier ist der Haken: Das System ist so sensibel, dass es jedes Mal „DIEB!“ schreit, wenn eine Lieferdrohne kurz schwankt oder ein Fußgänger auf seine Uhr schaut. In einer Stadt dieser Größe bedeutet selbst eine winzige Fehlerrate, dass Ihr Sicherheitsteam jeden Tag tausende Fehlalarme erhält. Sie werden müde, sie beginnen, die Alarme zu ignorieren, und die echten Bösewichte schlüpfen einfach an ihnen vorbei. Dies ist das „Fehlalarm-Problem“ in der Cybersicherheit: wenn das System normalen, langweiligen Datenverkehr mit einem gefährlichen Angriff verwechselt.

Um dies zu beheben, versuchen Wissenschaftler oft, die Sicherheitskameras dazu zu bringen, bestimmte Details zu ignorieren, wie etwa die Farbe eines Autopuffers, wenn dieses Detail nicht wirklich dabei hilft, einen Kriminellen aufzuspüren. Dies wird „Feature Selection“ (Merkmalsauswahl) genannt. Die meisten herkömmlichen Methoden behandeln jedoch jede Art von Datenverkehr gleich, wie ein Richter, der dem Angeklagten und dem Ankläger mit gleichem Gewicht zuhört, obwohl der eine nur ein ganz normaler Bürger und der andere ein bekannter Krimineller ist. Eine neuere Methode versuchte dies zu beheben, indem sie untersuchte, wie sehr der Datenverkehr vom Durchschnitt abweicht, aber sie machte einen subtilen Fehler: Sie nutzte den „Durchschnitt von allen“ als Referenzpunkt. Wenn eine Stadt hauptsächlich aus Kriminellen besteht (ein seltenes, aber mögliches Szenario in Daten), verschiebt sich dieser Durchschnitt, und das System bemerkt die Kriminellen nicht mehr, weil sie im Vergleich zum verzerrten Durchschnitt nun „normal“ aussehen.

Dieses Paper stellt eine neue, intelligentere Methode zur Abstimmung dieser Sicherheitskameras vor, genannt BARS (Benign-Anchored Ranking and Selection). Anstatt den chaotischen „Durchschnitt von allen“ als Referenz zu verwenden, verankert BARS sein Urteil strikt an den „Guten“ (dem gutartigen Datenverkehr). Es stellt eine einfache Frage: „Wie sehr sieht dieser Datenverkehr aus wie ein Krimineller im Vergleich zu einem normalen, harmlosen Bürger?“ Auf diese Weise filtert es das Rauschen heraus, das Fehlalarme verursacht. Die Forscher testeten dies auf drei verschiedenen digitalen „Städten“ mit sehr unterschiedlichen Mischungen aus gutem und schlechtem Verkehr. Sie fanden heraus, dass BARS bei Flut von Angriffen die Fehlalarme im Vergleich zur bisher besten Methode um etwa 15 % bis 23 % senkte, ohne echte Angriffe zu übersehen. Es ist ein leichtgewichtiges, schnelles Werkzeug, das keinen Supercomputer benötigt, was es perfekt für reale Sicherheitsteams macht, die bereits in Alarmen ertrinken.

Die Geschichte des überforderten Sicherheitswächters

Tauchen wir ein in die Geschichte, wie BARS geboren wurde. In der Welt der Computersicherheit gibt es Systeme, die Network Intrusion Detection Systems (NIDS) genannt werden. Betrachten Sie diese als die ultimativen Türsteher des Internets. Sie stehen am Tor eines Netzwerks und prüfen jedes einzelne Datenpaket, das hinein- oder herausgeht. Ihre Aufgabe ist es, „Eindringlinge“ aufzuspüren – Hacker, Viren oder Datendiebe.

Aber es gibt ein riesiges Problem. Diese Türsteher sind oft zu schreckhaft. In einem geschäftigen Netzwerk gibt es jeden Tag Millionen von „benignen“ (normalen, sicheren) Datenpaketen. Wenn der Türsteher auch nur eine winzige Chance von 1 % hat, ein normales Paket für ein schlechtes zu halten, sind das zehntausende Fehlalarme an jedem einzelnen Tag. Stellen Sie sich vor, ein Sicherheitsmann würde 50.000 Mal am Tag „FEUER!“ schreien. Irgendwann wird der Wächter erschöpft, hört auf zuzuhören, und das echte Feuer bleibt unbemerkt. Dies ist die „Fehlalarm-Krise“, die dieses Paper angeht.

Der alte Weg vs. der neue Weg

Um den Türsteher davon abzuhalten, unschuldige Menschen anzuschreien, nutzen Wissenschaftler eine Technik namens Feature Selection. Stellen Sie sich das Datenpaket wie eine Person vor, die durch einen Metalldetektor geht. Das Paket hat hunderte von „Features“ – wie Körpergröße, Schuhgröße, wie schnell sie gehen und was sie bei sich tragen. Die alten Methoden versuchten herauszufinden, welche dieser Merkmale nützlich waren, um Kriminelle aufzuspüren.

Das Problem mit den alten Methoden war, dass sie „symmetrisch“ waren. Sie behandelten die „Guten“ (normalen Verkehr) und die „Bösen“ (Angriffe) so, als wären sie einfach zwei verschiedene Teams in einem Spiel, die nach Unterschieden zwischen ihnen suchen. Aber im echten Leben sind die „Guten“ die Basislinie. Sie sind der Normalzustand der Welt. Die „Bösen“ sind die seltsamen Abweichungen von diesem Normalzustand.

Eine kürzlich erschienene Methode namens CMD versuchte dies zu beheben, indem sie untersuchte, wie sehr die „Bösen“ vom Durchschnitt abweichen. Aber sie hatte einen Fehler. Sie nutzte den „globalen Durchschnitt“ (den Durchschnitt von allen im Raum) als Referenzpunkt.

• Der Fehler: Wenn der Raum hauptsächlich mit „Bösen“ gefüllt ist (was in einigen Datensätzen vorkommt), verschiebt sich der „globale Durchschnitt“ so, dass er eher wie ein „Böser“ aussieht. Plötzlich sehen die „Bösen“ nicht mehr so verschieden aus wie der Durchschnitt! Das System hört auf, sie zu melden. Es ist, als wäre ein Raum voller Menschen in roten T-Shirts, und man entscheidet dann, dass „Rot“ das neue Normal ist. Wenn dann ein Krimineller in einem roten T-Shirt hereinkommt, bemerkt man ihn nicht mehr.

Hier kommt BARS: Der „Benign Anchor“

Die Autoren dieses Papers, Abu Fuad Ahmad und Istiaque Ahmed, schlugen eine kluge Lösung vor: BARS.

Anstatt den „globalen Durchschnitt“ (der verzerrt werden kann) zu verwenden, nutzt BARS einen Benign Anchor (gutartigen Anker). Es sagt: „Lassen wir die Bösen außen vor, wenn wir unseren Referenzpunkt festlegen. Schauen wir nur auf den normalen, sicheren Verkehr und sagen: ‚Das ist es, was Normalität bedeutet.‘“

So funktioniert BARS in zwei einfachen Schritten:

1. Stufe 1: Der Abweichungs-Check.
   BARS betrachtet jedes Feature (wie Schuhgröße oder Gehgeschwindigkeit) und fragt: „Wie sehr unterscheidet sich der Durchschnitt der ‚Bösen‘ vom Durchschnitt der ‚Guten‘?“ Es ignoriert die globale Menge. Wenn ein Feature die „Bösen“ sehr unterschiedlich zu den „Guten“ erscheinen lässt, erhält es eine hohe Punktzahl. Wenn ein Feature sie sich ähnlich erscheinen lässt, erhält es eine niedrige Punktzahl. Dies stellt sicher, dass das System immer die Abweichung von der Normalität misst und nicht von einer verzerrten Menge.

2. Stufe 2: Der „Wiederhole dich nicht“-Check.
   Manchmal sind zwei Features im Grunde dasselbe. Zum Beispiel könnten „Anzahl der gesendeten Pakete“ und „gesendete Gesamtbytes“ zusammen steigen und fallen. Wenn man beide wählt, verdoppelt man nur sein Rauschen. BARS geht die Liste der Top-Features durch und prüft: „Ist dieses neue Feature zu ähnlich zu den, die ich bereits ausgewählt habe?“ Wenn ja, überspringt BARS es. Dies hält die Liste der Features vielfältig und effizient.

Was sie herausfanden

Die Forscher testeten BARS auf drei verschiedenen „Städten“ (Datensätzen), um zu sehen, wie es abschneidet:

• CICIDS2017: Eine Stadt, in der der normale Verkehr die Mehrheit bildet (wie in einem echten Büronetzwerk).
• CICDDoS2019: Eine Stadt, die fast vollständig unter einem Angriff steht (ein DDoS-Sturm).
• UNSW-NB15: Eine Stadt mit einer Mischung, die aber zu den Angriffen neigt.

Sie verglichen BARS mit der alten CMD-Methode und anderen Standardwerkzeugen.

Die Ergebnisse:

• Wenn die Stadt unter einem Angriff stand (Attack-Majority): Dies ist der Punkt, an dem die alte Methode am meisten versagte. Da der „globale Durchschnitt“ durch die Angriffe verzerrt war, übersah die alte Methode viele „Böse“. BARS sah durch den „Benign Anchor“ das Rauschen hindurch. Es reduzierte die Fehlalarme um 15,4 % in einem Datensatz und um 21–23 % in einem anderen, während es gleichzeitig alle echten Angriffe erfasste.
• Wenn die Stadt größtenteils sicher war (Benign-Majority): In diesem Fall waren der „globale Durchschnitt“ und der „Durchschnitt der Guten“ fast identisch. Daher schnitten BARS und die alte Methode fast identisch ab. Dies beweist, dass BARS nichts kaputt macht; es behebt lediglich das Problem, wo es existiert.

Warum das wichtig ist

Die Autoren betonen vorsichtig, dass BARS kein Zauberstab ist, der jedes Problem löst. Es gibt andere, komplexere Methoden, die noch weniger Fehlalarme finden können, aber diese Methoden sind schwerfällig. Sie benötigen enorme Mengen an Computerarbeitsspeicher (über 1 Terabyte in einigen Tests!) und brauchen lange, um zu laufen.

BARS ist besonders, weil es leichtgewichtig und schnell ist. Es läuft in „linearer Zeit“, was bedeutet, dass es problemlos skaliert, selbst wenn das Netzwerk riesig wird. Es benötigt sehr wenig Speicher. Das macht es perfekt für reale Sicherheitsteams, die ein Werkzeug brauchen, das sofort einsatzbereit ist, auf Standard-Hardware läuft, ohne einen Supercomputer zu benötigen.

Kurz gesagt: BARS ist eine kluge, einfache Lösung für ein spezifisches Problem: Wenn die Daten chaotisch und voller Angriffe sind, lassen Sie sich nicht vom „Durchschnitt“ täuschen. Halten Sie sich daran, was „normal“ ist, und die Bösewichte werden deutlich sichtbar. Es ist eine Erinnerung daran, dass der beste Weg, das Seltsame zu finden, manchmal darin besteht, ein sehr klares Bild vom Normalen zu haben.