From Threat Intelligence to Detection: Knowledge-driven Enrichment and Template-based Rule Grounding for Automated Sigma Rule Generation
Dieses Paper stellt AUTOSIGMA vor, ein automatisiertes Framework, das unstrukturierte Cyber-Bedrohungsinformationen durch die Kombination von wissensgesteuerter Anreicherung, templatbasierter Erdung und LLM-basierter Validierung in handlungsfähige Sigma-Regeln transformiert, um die Skalierbarkeits- und Genauigkeitsbeschränkungen der manuellen Regelerstellung zu überwinden.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der hochriskanten Welt der Cybersicherheit stellen sich Verteidiger oft mit dem Problem konfrontiert, dass sie erst auf Angriffe reagieren, wenn diese bereits begonnen haben. Informationen über diese Angriffe erreichen sie meist in Form von detaillierten Berichten, die von Intelligence-Experten verfasst wurden. Diese Dokumente beschreiben, wie hochentwickelte kriminelle Gruppen, bekannt als Advanced Persistent Threats, in Netzwerke eindringen, sich darin bewegen und Daten stehlen. Diese Berichte sind jedoch in natürlicher Sprache verfasst, voller narrativer Details und menschlichem Kontext, was es für Computer schwierig macht, sie unmittelbar zu lesen und darauf zu reagieren. Um einen Angriff in Echtzeit zu stoppen, benötigen Sicherheitssysteme spezifische Anweisungen, sogenannte Detektionsregeln. Diese Regeln fungieren wie präzise Filter, die Millionen digitaler Ereignisse scannen, um die exakten Muster einer spezifischen Bedrohung zu finden. Das Erstellen dieser Regeln von Hand ist ein langsamer, fehleranfälliger Prozess, der tiefes Fachwissen erfordert, und bis ein menschlicher Analyst fertig ist, eine Regel für eine neue Bedrohung zu schreiben, haben die Angreifer ihre Methoden möglicherweise schon wieder geändert.
Die Kernherausforderung liegt in der Überbrückung der Lücke zwischen einer von Menschen geschriebenen Geschichte über einen Angriff und dem starren, technischen Code, den ein Computer benötigt, um diesen aufzuspüren. Sicherheitsteams benötigen einen Weg, um diese unstrukturierten Narrative automatisch in anwendbare Detektionslogik zu übersetzen, ohne die Nuancen zu verlieren, die die Bedrohung real machen. Wenn diese Übersetzung automatisiert werden kann, könnten Organisationen Abwehrmechanismen in dem Moment bereitstellen, in dem eine neue Bedrohung entdeckt wird, anstatt Tage oder Wochen auf eine manuelle Analyse zu warten. Dies ist das Problem, das ein Forscherteam durch die Entwicklung eines neuen Systems zu lösen versuchte, das darauf ausgelegt ist, Bedrohungsberichte zu lesen und sofort die notwendigen digitalen Schutzmaßnahmen zu generieren.
Die Forscher entwickelten ein System namens AUTOSIGMA, das als automatischer Übersetzer zwischen menschlicher Intelligenz und maschineller Verteidigung fungiert. Anstatt den Computer einfach nur bitten, die Regeln basierend auf einer Textbeschreibung zu erraten, folgt das System einem sorgfältigen, mehrstufigen Prozess, der die Denkweise eines menschlichen Experten nachahmt, aber mit der Geschwindigkeit einer Maschine. Zuerst liest das System den rohen Bedrohungsbericht und bricht ihn herunter, indem es die wichtigsten Akteure, die verwendeten Werkzeuge und die spezifischen Schritte identifiziert, die die Angreifer unternommen haben. Es geht dann noch einen Schritt weiter und konsultiert riesige externe Datenbanken bekannter Schwachstellen und Angriffstechniken, um fehlende Details zu ergänzen. Wenn ein Bericht eine bestimmte Software-Schwachstelle erwähnt, aber nicht erklärt, wie sie funktioniert, sucht das System diese Schwachstelle in einer globalen Datenbank nach, um deren Verhalten vollständig zu verstehen. Dies stellt sicher, dass das System ein vollständiges Bild des Angriffs hat, selbst wenn der ursprüngliche Bericht vage oder unvollständig war.
Sobald das System den vollen Umfang des Angriffs versteht, bricht es das komplexe Szenario in kleine, einzelne Schritte herunter. Ein einzosständiger Angriff kann aus Dutzenden von Aktionen bestehen, und der Versuch, sie alle in einer einzigen Regel zu erfassen, wäre ineffektiv. Durch die Trennung des Angriffs in atomare Teile kann das System für jeden Schritt eine spezifische Regel erstellen, was die Detektion wesentlich präziser macht. In der nächsten Phase greift das System auf die kollektive Erfahrung der Sicherheitsgemeinschaft zurück. Es durchsucht eine massive, ständig aktualisierte Bibliothek bestehender Detektionsregeln, um solche zu finden, die den gerade identifizierten Schritten ähnlich sind. Stellen Sie sich dies wie einen Baumeister vor, der eine Bibliothek bewährter Baupläne betrachtet, bevor er ein neues Haus errichtet; das System nutzt diese existierenden, geprüften Muster als Fundament. Dies verhindert, dass das System Regeln von Grund auf neu erfindet, die möglicherweise fehlerhaft sind oder das Ziel verfehlen, und stellt sicher, dass die neuen Regeln in einer Logik verwurzelt sind, die bereits von Experten getestet wurde.
Mit einem soliden Fundament und einem klaren Verständnis der Bedrohung erstellt das System dann die eigentliche Detektionsregel. Doch damit ist es nicht getan. Die Forscher entwarfen einen einzigartigen Prüfmechanismus, bei dem zwei Modelle der Künstlichen Intelligenz in einer Schleife zusammenarbeiten. Ein Modell agiert als Schöpfer, der die Regel basierend auf den Bedrohheitsdetails und dem gewählten Bauplan schreibt. Das zweite Modell agiert als strenger Richter, der die Regel überprüft, um zu sehen, ob sie Sinn ergibt, ob sie das korrekte technische Format einhält und ob sie die Bedrohung tatsächlich abfangen kann, ohne Fehlalarme auszulösen. Wenn der Richter einen Fehler findet, schickt er die Regel mit spezifischem Feedback zur Korrektur an den Schöpfer zurück. Dieser Zyklus wiederholt sich, bis die Regel perfekt ist. Dieser Austausch ist entscheidend, da er Fehler abfängt, die ein einzelnes Modell übersehen könnte, wie etwa ein fehlendes Detail oder eine logische Lücke, und so sicherstellt, dass die endgültige Ausgabe zuverlässig genug ist, um in realen Sicherheitssystemen eingesetzt zu werden.
Die Forscher testeten dieses System anhand realer Berichte einiger der berüchtigtsten Cyberkriminellen-Gruppen der Geschichte, darunter APT41, APT28 und APT29. Sie verglichen die von AUTOSIGMA generierten Regeln mit denen anderer automatisierter Tools sowie mit den Ausgaben fortgeschrittener Sprachmodelle, die sie eigenständig verwendet hatten. Die Ergebnisse zeigten, dass ihr System signifikant besser darin war, Regeln zu produzieren, die sowohl technisch korrekt als auch relevant für die beschriebenen spezifischen Bedrohungen waren. Es gelang ihm, mehr der bekannten Angriffstechniken abzudecken und war robuster im Umgang mit Berichten, die schlecht formatiert oder lückenhaft waren. Die Studie legt nahe, dass durch die Kombination von externem Wissen, bestehenden Regelvorlagen und einem strengen Selbstprüfprozess möglich ist, die Erstellung hochwertiger Detektionsregeln zu automatisieren. Dieser Ansatz beschleunigt nicht nur den Prozess, sondern verbessert auch die Qualität der Verteidigung, indem er Sicherheitsteams ermöglicht, auf sich entwickelnde Bedrohungen mit einer Präzision und Geschwindigkeit zu reagieren, die manuelle Methoden nicht erreichen können.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.