Stellen Sie sich vor, Sie sind ein Detektiv, der versucht, ein Verbrechen aufzuklären, aber anstatt nach Fingerabdrücken oder Fußabdrücken zu suchen, betrachten Sie einen massiven, chaotischen Strom digitaler Fußabdrücke, die ein Computer hinterlassen hat. Dieses Feld wird Cybersicherheit genannt, und der „Tatort“ ist das interne Logbuch eines Computers. Lange Zeit versuchten Detektive, Übeltäter zu fassen, indem sie nach spezifischen, bekannten „Mugshots“ suchten – wie einem bestimmten Dateinamen oder einer bekannten Hacker-Adresse. Aber moderne Hacker sind clever; sie wechseln ständig ihre Kleidung und Masken, sodass diese alten „Mugshots“ oft versagen.

Um diese Gestaltwandler zu fangen, versuchen Wissenschaftler nun einen anderen Ansatz: Anstatt nach einzelnen Fußabdrücken zu suchen, schauen sie sich die Geschichte an, die die Fußabdrücke erzählen. Denken Sie an Folgendes: Wenn Sie sehen, wie eine Person in eine Bank läuft, dann zum Tresor rennt, dann ein Fenster einschlägt und schließlich mit einer Tasche herausrennt, müssen Sie nicht ihren Namen kennen, um zu wissen, dass sie die Bank ausraubt. Sie müssen nur die Abfolge der Handlungen sehen. Diese Arbeit untersucht, wie man einen unordentlichen Haufen von Computerprotokollen in eine klare, lesbare Geschichte verwandelt, was ein Angreifer gerade tut, und wie man dann intelligente Computerprogramme nutzt, um genau zu bestimmen, welche Art von „Trick“ der Angreifer gerade anwendet.

---

Das neue Werkzeugset des digitalen Detektivs

In der Welt der Computersicherheit gibt es ein berühmtes Handbuch namens MITRE ATT&CK. Betrachten Sie dies als eine riesige Enzyklopädie aller verschiedenen Tricks, die Hacker benutzen, um in Systeme einzubrechen. Es listet nicht nur „böse Jungs“ auf; es kategorisiert ihre spezifischen Züge, wie zum Beispiel „Passwörter stehlen“, „Dateien verstecken“ oder „Seitwärtsbewegungen zu anderen Computern ausführen“. Das Ziel dieser Forschung war es, ein System zu bauen, das in der Lage ist, die Rohdatenprotokolle eines Computers zu betrachten und zu sagen: „Ah, ich sehe, was hier passiert; das ist der Trick ‚Credential Dumping‘“ oder „Das ist der Trick ‚Lateral Movement‘“.

Die Forscher verwendeten ein spezielles Werkzeug namens Sysmon. Stellen Sie sich Sysmon als eine extrem aufmerksame Sicherheitskamera innerhalb eines Computers vor, die niemals blinzelt. Sie zeichnet alles auf: jedes gestartete Programm, jede erstellte Datei, jede Verbindung zum Internet und jede Änderung an den Systemeinstellungen. Aber hier liegt das Problem: Sysmon zeichnet alles auf, und zwar auf eine Weise, die unglaublich laut und chaotisch ist. Es ist, als hätte man eine Sicherheitskamera, die jedes Blinzeln, jeden Atemzug und jeden Schritt jeder Person in einer Stadt aufzeichnet, aber einem nicht sagt, wer mit wem zusammengeht oder in welcher Reihenfolge. Wenn man nur ein einzelnes Blinzeln betrachtet, lernt man nichts. Man muss den ganzen Film sehen.

Die große Frage: Wie verbinden wir die Punkte?

Die Forscher stellten eine einfache, aber entscheidende Frage: Wie verbinden wir diese verstreuten digitalen Fußabdrücke am besten, um eine kohärente Geschichte zu erzählen?

Sie testeten zwei Hauptmethoden, um die Ereignisse miteinander zu verknüpfen:

1. Die „Wer ist dein Elternteil?“-Methode (GUID-basiert): In einem Computer hat jedes Programm eine eindeutige Identifikationsnummer. Wenn ein Programm ein anderes Programm startet, ist das so, als ob ein Elternteil ein Kind bekommt. Die Forscher versuchten, Ereignisse zu verknüpfen, indem sie diesen „Stammbäumen“ folgten. Wenn Programm A Programm B startete und Programm B eine Datei öffnete, verknüpften sie diese Ereignisse, weil sie zur selben „Familie“ gehören. Dies ist vergleichbar mit der Verfolgung einer kriminellen Bande durch das Verfolgen ihres Stammbaums, unabhängig von der Tageszeit, zu der sie aktiv sind.
2. Die „Was passierte zuerst?“-Methode (Temporal-basiert): Diese Methode verknüpft Ereignisse einfach über die Zeit. Wenn zwei Dinge innerhalb einer Sekunde nacheinander passierten, nahmen die Forscher an, dass sie miteinander verwandt sind. Das ist so, als würde man sagen: „Diese zwei Personen waren zur gleichen Zeit im selben Raum, also müssen sie zusammenarbeiten.“

Das Experiment: Computern beibringen, die Geschichte zu lesen

Um diese Methoden zu testen, warteten die Forscher nicht darauf, dass echte Hacker in eine echte Bank einbrechen. Stattdessen richteten sie ein sicheres, kontrolliertes Labor ein und nutzten ein Werkzeug namens Atomic Red Team, um Angriffe zu simulieren. Sie spielten spezifische Tricks aus dem MITRE ATT&CK-Handbuch nach und erzeugten dabei tausende von Sysmon-Logs, die exakt wie ein echter Angriff aussah.

Diese Logs speisten sie dann in zwei Arten von „Schüler“-Computern ein:

• Die traditionellen Schüler: Dies waren klassische Machine-Learning-Modelle (wie Random Forest und LightGBM). Sie sind gut darin, Muster zu erkennen, benötigen aber zuerst sehr saubere und organisierte Daten.
• Die Super-Leser: Dies waren fortgeschrittene KI-Modelle namens Transformer (speziell SecBERT und SecureBERT). Diese sind wie Computer, die das gesamte Internet gelesen haben und Experten darin sind, die Bedeutung und den Kontext von Wörtern und Sequenzen zu verstehen. Sie können einen Satz lesen und die Geschichte dahinter verstehen.

Die Forscher mussten zudem mit einem schwierigen Problem umgehen: der Klassenimbalance (Class Imbalance). In ihren Daten kamen einige Tricks (wie „System Binary Proxy Execution“) hunderte Male vor, während andere (wie „Subvert Trust Controls“) nur wenige Male auftraten. Es ist wie in einem Klassenzimmer, in dem 90 % der Schüler „John“ heißen und nur ein einziger Student „Zoe“ heißt. Wenn man einen Lehrer trainiert, Namen zu erraten, wird er immer nur „John“ raten und eine hohe Punktzahl erreichen, aber er wird niemals lernen, wer Zoe ist. Die Forscher probierten verschiedene Wege aus, um dieses Problem zu lösen, wie zum Beispiel das Erstellen zusätzlicher Beispiele für die seltenen Tricks (eine Technik namens SMOTE) oder das Lehren des Computers, den seltenen Fällen besondere Aufmerksamkeit zu schenken (unter Verwendung einer speziellen Mathematik namens „Focal Loss“).

Die Ergebnisse: Stammbäume gewinnen, und weniger ist mehr

Nachdem hunderte von Simulationen durchgeführt worden waren, waren die Ergebnisse eindeutig und überraschend.

1. Die „Stammbaum“-Methode ist überlegen
Die GUID-basierte Korrelation (dem Prozess-Stammbaum folgen) war der Temporal-basierten Korrelation (nur auf die Zeit schauen) konsistent überlegen.

• Warum? Das Paper legt nahe, dass es nicht ausreicht, zeitlich nah beieinander zu liegen, um zu beweisen, dass zwei Ereignisse miteinander verwandt sind. Ein Computer kann in einer Sekunde Millionen unzusammenhängender Dinge tun. Aber wenn Programm A Programm B gestartet hat, ist das eine harte, unumstößliche Verbindung. Die „Stammbaum“-Methode bewahrte die wahren Beziehungen zwischen den Ereignissen und gab der KI eine viel klarere Geschichte zum Lesen.
• Die Punktzahl: Das beste Modell unter Verwendung der „Stammbaum“-Methode (SecureBERT) erreichte eine Genauigkeit von 0,586 (was bedeutet, dass es etwa 58,6 % der Zeit die richtige Antwort gab). Das beste Modell mit der „Zeit“-Methode erreichte nur 0,504.

2. Die „Super-Leser“ schlagen die „traditionellen Schüler“
Die fortgeschrittenen KI-Modelle (SecureBERT) übertrafen konsistent die traditionellen Machine-Learning-Modelle.

• Die Punktzahl: SecureBERT mit der „Stammbaum“-Methode erreichte 0,586 Genauigkeit. Das beste traditionelle Modell (LightGBM) erreichte nur 0,501.
• Warum? Die „Super-Leser“ waren besser darin, den komplexen Kontext der Geschichte zu verstehen. Sie konnten erkennen, dass eine bestimmte Sequenz von Ereignissen „Hacking“ bedeutete, selbst wenn die einzelnen Teile für sich genommen harmlos erschienen.

3. Die überraschende Wendung: Überfordere die KI nicht
Die Forscher erwarteten, dass das Beheben der „Klassenimbalance“ (das Problem der seltenen Tricks) der KI helfen würde, besser zu lernen. Sie probierten, zusätzliche Beispiele (SMOTE) für die traditionellen Modelle zu erstellen, und dies funktionierte gut.

• Jedoch war für die fortgeschrittenen „Super-Leser“ (SecureBERT) gar nichts zu tun tatsächlich die beste Strategie.
• Als sie versuchten, die KI durch spezielle Mathematik dazu zu bringen, den seltenen Tricks besondere Aufmerksamkeit zu schenken (Focal Loss), sank die Gesamtleistung der KI.
• Das Ergebnis: Das Basismodell (die Standard-KI ohne spezielle Tricks zur Behebung der Imbalance) erreichte die höchste Genauigkeit (0,586) und die beste Gesamtbalance. Das Paper legt nahe, dass die komplexen, korrelierten Geschichten, die durch die „Stammbaum“-Methode erzeugt wurden, so reichhaltig und bedeutungsvoll waren, dass die KI die seltenen Tricks natürlich lernen konnte, ohne dass sie dazu gezwungen oder „überkorrigiert“ werden musste.

Was dies für die Zukunft bedeutet

Dieses Paper behauptet nicht, die gesamte Cybersicherheit gelöst zu haben. Es sagt nicht, dass Hacker nun zu 100 % gefasst werden. Stattdessen legt es nahe, dass die Art und Weise, wie wir die Daten organisieren, wichtiger ist als das spezifische Computerprogramm, das wir zum Lesen verwenden.

Indem wir Ereignisse durch ihre „Stammbäume“ (Prozessbeziehungen) statt nur durch ihre Zeitstempel verknüpfen, erschaffen wir eine viel reichere, genauere Geschichte dessen, was ein Angreifer tut. Und wenn wir diese reichhaltigen Geschichten fortgeschrittenen KI-Modellen zuführen, können diese spezifische Hacker-Tricks besser erkennen als je zuvor – und das sogar, ohne dass sie künstlich dazu gezwungen werden müssen, den seltenen Fällen Aufmerksamkeit zu schenken.

Die Studie hebt auch eine Einschränkung hervor: Diese Ergebnisse wurden in einem kontrollierten Labor unter simulierten Angriffen erzielt. Die Forscher geben zu, dass reale Computernumgebungen unordentlicher und komplexer sind. Daher ist dies zwar ein vielversprechender neuer Weg, aber der nächste Schritt besteht darin, zu sehen, ob diese „Stammbaum“-Geschichten Bestand haben, wenn der Computer tatsächlich von echten Menschen in einem echten Büro genutzt wird und nicht nur in einem Testlabor.

Kurz gesagt lehrt uns das Paper: Um einen digitalen Dieb zu fassen, sollte man nicht nur auf die Uhr schauen, sondern darauf, mit wem er zusammengeht. Und manchmal ist der klügste Computer derjenige, der es erlaubt, in seinem eigenen Tempo zu lernen, ohne zu viel Eingriff.