LLMs for Zero-Shot Threat Detection via Structured Risk Indicators
Dieses Paper schlägt ein zweistufiges LLM-Framework vor, das Retrieval-Augmented Generation nutzt, um strukturierte, interpretierbare Risikoindikatoren aus Zeitlinien der Benutzeraktivität zu erstellen, wobei es durch den Nachweis, dass die Qualität dieser Indikatoren der primäre Leistungsfaktor ist, eine State-of-the-Art Zero-Shot-Erkennung von Insider-Bedrohungen und APTs erreicht.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In den digitalen Festungen moderner Organisationen beobachten Sicherheitssysteme ständig nach Eindringlingen. Einige dieser Systeme scannen den Datenverkehr, der zwischen Computern fließt, und suchen nach verdächtigen Mustern im Datenstrom. Andere sitzen direkt auf den Computern selbst und überwachen, was im Inneren geschieht: wer sich anmeldet, welche Dateien geöffnet werden, welche Geräte angeschlossen werden und welche E-Mails gesendet werden. Diese interne Überwachung ist entscheidend, da die gefährlichsten Bedrohungen oft von innen kommen. Wenn ein Angreifer ein legitimes Passwort stiehlt oder einen Mitarbeiter dazu überredet, gegen das Unternehmen zu handeln, kann er sich durch das System bewegen und dabei exakt wie ein normaler Benutzer aussehen. Um sie zu entlarven, müssen Sicherheitsteams zwischen einer Person unterscheiden, die spät an einem Projekt arbeitet, und jemandem, der heimlich sensible Daten stiehlt – eine Aufgabe, die erfordert, die gesamte Geschichte des Verhaltens einer Person über einen längeren Zeitraum zu verstehen, nicht nur einen einzelnen Moment.
Ein Team von Forschern der University of Queensland hat eine neue Methode entwickelt, um Computern dabei zu helfen, diese Unterscheidung zu treffen, ohne dass sie jahrelanges Training an spezifischen Beispielen für Fehlverhalten benötigen. Anstatt den Computer zu bitten, einen unordentlichen Haufen roher Sicherheitsprotokolle anzusehen und sofort „Bedrohung“ oder „sicher“ zu rufen, haben sie ein zweistufiges System entwickelt, das eher wie ein sorgfältiger Analyst agiert. Zuerst organisiert das System die Aktivitäten eines Benutzers in einer Zeitlinie und bittet ein leistungsfähiges Sprachmodell, diese Zeitlinie in eine klare, strukturierte Liste von Risikofaktoren zu übersetzen. Es bittet das Modell, spezifische Dinge zu identifizieren, die falsch sein könnten, wie etwa den Zugriff auf Dateien zu ungewöhnlichen Zeiten oder die Verbindung zu seltsamen Servern. Dann betrachtet ein zweites Modell die Sequenz dieser Risikolisten im Zeitverlauf, um Muster zu erkennen, die darauf hindeuten, dass sich ein Angriff entfaltet. Dieser Ansatz ermöglicht es dem System, sowohl Insider-Bedrohungen zu erkennen, bei denen ein vertrauenswürdiger Mitarbeiter bösartig wird, als auch fortgeschrittene anhaltende Bedrohungen (Advanced Persistent Threats), bei denen ein raffinierter externer Angreifer lange Zeit im Netzwerk verborgen bleibt.
Die Forscher testeten diese Methode an zwei verschiedenen Datensätzen von Sicherheitsdaten. Ein Datensatz simulierte ein Insider-Bedrohungsszenario mit fast einhundert Mitarbeitern über achtzehn Monate hinweg und erfasste alles von E-Mail-Austauschen bis hin zu Dateitransfers. Der andere Datensatz simulierte einen heimlichen externen Angriff auf ein Netzwerk und verfolgte tausende Verbindungen zwischen Computern. In beiden Fällen übertraf das neue System die bisher beste Methode, die auf Sprachmodellen basierte, deutlich. Bei den Insider-Bedrohungsdaten verbesserte der neue Ansatz die Fähigkeit, Angriffe korrekt zu identifizieren, während er gleichzeitig die Fehlalarme um mehr als elf Prozentpunkte reduzierte. Bei den Netzwerkangriffsdaten war die Verbesserung mit über einunddreißig Prozentpunkten sogar noch dramatischer. Der Schlüssel zu diesem Erfolg lag nicht nur in der Verwendung eines größeren „Computergehirns“, sondern in der Änderung der Art und Weise, wie die Informationen verarbeitet wurden. Indem sie das erste Modell dazu zwangen, komplexe Protokolle in einfache, interpretierbare Risikoindikatoren zu zerlegen, bevor es ein endgültiges Urteil fällte, wurde das System viel besser darin, die subtilen Unterschiede zwischen normaler Arbeit und bösartiger Aktivität zu erkennen.
Eine der interessantesten Entdeckungen war, wie das System mit der Notwendigkeit von Kontext umging. Die Forscher fanden heraus, dass es für die kleineren, weniger leistungsfähigen Sprachmodelle hilfreich war, eine Zusammenfassung des vergangenen Verhaltens eines Benutzers bereitzustellen, um wesentlich bessere Risikoindikatoren zu generieren. Es war, als ob das Modell die Historie des Benutzers sehen müsste, um zu verstehen, was am gegenwärtigen Moment ungewöhnlich war. Für die größeren, fähigeren Modelle machte dieser zusätzliche historische Kontext jedoch kaum einen Unterschied; sie waren bereits in der Lage, von sich aus hochwertige Risikoindikatoren zu generieren. Dies deutet darauf sich hin, dass die Qualität der anfänglichen Risikobewertung der wichtigste Faktor beim Aufspüren dieser Bedrohungen ist. Wenn der erste Schritt des Prozesses ein klares und präzises Bild der Gefahr liefert, kann der zweite Schritt das Angriffsmuster leicht erkennen. Wenn der erste Schritt vage oder verwirrt ist, hat das System Schwierigkeiten, unabhängig davon, wie leistungsfähig der finale Klassifikator ist.
Die Studie zeigte auch, dass die Art und Weise, wie Daten gruppiert werden, eine immense Bedeutung hat. Das System arbeitet am besten, wenn es alle Aktivitäten einer einzelnen Person als eine kontinuierliche Geschichte betrachtet, anstatt isolierte Ereignisse oder Verbindungen zwischen Maschinen zu betrachten. Als die Forscher versuchten, die Daten nach der Verbindung zwischen zwei Computern statt nach der Person zu gruppieren, die sie nutzt, sank die Leistung des Systems signifikant. Dies liegt daran, dass das Verhalten eines Angreifers durch seine Aktionen über viele verschiedene Werkzeuge und Protokolle hinweg definiert ist, und nur durch die Betrachtung des Gesamtbildes kann das System das volle Ausmaß der Bedrohung erfassen. Die Forscher merkten an, dass das System zwar exzellent darin war, die Insider-Bedrohungen im ersten Datensatz zu entdecken, der zweite Datensatz, der sehr heimliche Netzwerkangriffe beinhaltete, eine größere Herausforderung darstellte, bei der die Signale viel schwächer waren. Dennoch bot der strukturierte Ansatz weiterhin eine solide Grundlage für die Erkennung und bewies, dass das Zerlegen komplexer Sicherheitsdaten in handhabbare, interpretierbare Teile eine leistungsstarke Strategie ist.
Letztendlich zeigt diese Arbeit, dass die Zukunft der automatisierten Bedrohungserkennung nicht darin liegen könnte, Computer darauf zu trainieren, jeden möglichen Angriff auswendig zu lernen, sondern sie zu lehren, Verhalten auf eine strukturierte Weise zu analysieren. Indem sie Sprachmodelle nutzen, um Rohdaten in klare Risikoindikatoren zu übersetzen und dann diese Indikatoren im Zeitverlauf zu analysieren, können Sicherheitssysteme präziser und zuverlässiger werden. Die Ergebnisse legen nahe, dass das effektivste Setup von der Art der Bedrohung abhängt, die gejagt wird, und von den Fähigkeiten der verwendeten Modelle, aber das Kernprinzip bleibt dasselbe: Klarheit in den Zwischenschritten führt zu besseren Entscheidungen im Endergebnis. Dieser Ansatz bietet einen vielversprechenden Weg für den Schutz von Organisationen vor sowohl dem Insider, der sich gegen sie wendet, als auch dem Außenseiter, der versucht, unbemerkt zu bleiben.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.