From Telemetry to Techniques: Behavior-Centric MITRE ATT&CK Technique Classification Through Sysmon Event Correlation
Dieses Paper schlägt ein verhaltenszentriertes Framework vor, das Sysmon-Ereignisse zu GUID-korrelierten Sequenzen rekonstruiert, um die Klassifizierung von MITRE ATT&CK-Techniken zu verbessern, wobei nachgewiesen wird, dass die Bewahrung des Prozesskontexts die zeitliche Gruppierung übertrifft und dass ein Basismodell von SecureBERT überlegene Ergebnisse ohne explizite Maßnahmen zur Minderung von Klassenungleichgewichten erzielt.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie sind ein Detektiv, der versucht, ein Rätsel in einer riesigen, chaotischen Stadt zu lösen. Die Stadt ist Ihr Computer, und die „Verdächtigen“ sind Cyberkriminelle, die versuchen einzubrechen. Lange Zeit versuchten Detektive (Sicherheitssysteme), diese Kriminellen zu fangen, indem sie nach spezifischen, vorab geschriebenen „Steckbriefen“ suchten. Sie prüften, ob ein Krimineller ein bestimmtes Gesicht (einen Hash) oder einen bestimmten Hut (eine IP-Adresse) trug. Aber moderne Kriminelle sind clever; sie ändern ihre Gesichter und Hüte ständig, sodass die alten Steckbriefe nicht mehr funktionieren.
Dieses Paper schlägt einen neuen Weg vor, sie zu fangen: Anstatt nur nach einer einzelnen Momentaufnahme zu suchen, müssen wir die ganze Geschichte beobachten, die sie spielen.
Das Beweisbuch: Sysmon
Die Forscher verwendeten ein spezielles Notizbuch namens Sysmon. Stellen Sie sich Sysmon wie einen hyper-aufmerksamen Sicherheitswachmann vor, der alles aufschreibt, was in der Computerstadt passiert. Er protokolliert, wenn ein Programm startet, wenn eine Datei erstellt wird, wenn eine Verbindung zum Internet hergestellt wird und sogar, wenn jemand versucht, einen Zeitstempel einer Datei heimlich zu manipulieren (wie ein Einbrecher, der seine Fingerabdrücke von einer Tür wischt).
Das Problem? Der Wachmann schreibt zu viel auf. Es ist, als hätte man ein Tagebuch mit 427.774 Einträgen, aber die meisten davon sind nur Rauschen. Um daraus Sinn zu schöpfen, mussten die Forscher das Tagebuch bereinigen und die Einträge in aussagekräftige Geschichten gruppieren.
Die zwei Wege, die Hinweise zu gruppieren
Die Forscher testeten zwei verschiedene Möglichkeiten, diese verstreuten Tagebucheinträge zu einer kohärenten Geschichte zusammenzufügen, um zu sehen, welche Methode besser half, den „Zug“ des Kriminellen (einen sogenannten MITRE ATT&CK Technique) zu identifizieren.
1. Die „Stammbaum“-Methode (GUID-basierte Korrelation)
Stellen Sie sich vor, jedes Programm, das auf dem Computer läuft, erhält einen permanenten, unveränderlichen Ausweis namens GUID. Selbst wenn das Programm schließt und ein neues Programm mit demselben Namen startet, erhält es einen neuen Ausweis. Der alte Ausweis bleibt bei dem „Stammbaum“ des Programms.
- Wie es funktioniert: Die Forscher verknüpften alle Hinweise, die zu derselben ID-Karte gehörten. Wenn ein Elternprogramm (wie
explorer.exe) ein Kindprogramm startete, und dieses Kindprogramm eine Datei öffnete und dann eine Telefonnummer anrief, verknüpfte das System sie alle, weil sie dieselbe Familien-ID teilten. - Das Ergebnis: Diese Methode war wie das Besitzen eines vollständigen Stammbaums der Taten des Kriminellen. Sie zeigte genau, wer was in welcher Reihenfolge tat, und bewahrte die Beziehungen zwischen den Ereignissen.
2. Die „Zeitstempel“-Methode (Temporale Korrelation)
Diese Methode ignorierte die Stammbäume und schaute stattdessen nur auf die Uhr.
- Wie es funktioniert: Die Forscher sagten: „Wenn zwei Dinge innerhalb einer Sekunde voneinander geschehen, müssen sie miteinander verwandt sein.“ Sie gruppierten Ereignisse, die zeitlich nah beieinander lagen.
- Das Ergebnis: Dies war, als würde man in eine Menschenmenge schauen und annehmen, dass jeder, der neben jemand anderem steht, ein Team ist. Das ist zwar manchmal wahr, übersah aber die tieferen Verbindungen. Zwei unzusammenhängende Ereignisse könnten zur gleichen Zeit durch Zufall geschehen, oder die Aktion eines Kriminellen könnte sich über einige Sekunden erstrecken, was die „Ein-Sekunden-Regel“ unterbrach.
Das Urteil: Stammbäume gewinnen
Das Paper führte ein massives Experiment durch, bei dem Cyberangriffe in einem kontrollierten Labor unter Verwendung eines Tools namens Atomic Red Team simuliert wurden. Sie speisten diese „Geschichten“ in verschiedene Arten von Detektiven (Machine-Learning-Modellen) ein, um zu sehen, wer die Technik des Kriminellen am besten erraten konnte.
Die wichtigste Erkenntnis:
Die „Stammbaum“-Methode (GUID-basiert) übertraf durchweg die „Zeitstempel“-Methode (Temporal-basiert) in allen Bereichen.
- Der beste Detektiv war eine super-intelligente KI namens SecureBERT (ein spezialisiertes Sprachmodell für Cybersicherheit).
- Als SecureBERT die „Stammbaum“-Geschichten las, erreichte es eine Genauigkeit von 0,586 (was bedeutet, dass es die Antwort etwa 58,6 % der Zeit richtig wusste).
- Als es die „Zeitstempel“-Geschichten las, sank die Genauigkeit auf 0,504.
Das Paper argumentiert explizit gegen die Vorstellung, dass es ausreicht, Ereignisse lediglich nach der Zeit zu gruppieren. Es legt nahe, dass man ohne den „Stammbaum“ (Process Lineage) den entscheidenden Kontext verliert, wie eine Aktion zur nächsten führte. Das Paper fand auch heraus, dass es für fortgeschrittene KI-Modelle (die Transformer) sogar schlechter oder gar nicht hilfreich war, die Daten durch das Erstellen künstlicher, falscher Beispiele (eine Technik namens SMOTE) zu „reparieren“. Die beste Strategie war, die KI die echten, unveränderten „Stammbaum“-Geschichten lernen zu lassen.
Das „Wer“ und das „Was“
Die Forscher testeten viele verschiedene Techniken von Kriminellen (wie „T1059: Command and Scripting Interpreter“ oder „T1218: System Binary Proxy Execution“).
- Die leichten Siege: Einige Techniken waren super einfach zu erkennen. Zum Beispiel wurde T1588 (Obtain Capabilities) mit einem perfekten Wert von 1,00 (100 % Genauigkeit) identifiziert. Es ist, als würde ein Kriminelle ein Leuchtschild tragen, auf dem steht: „Ich bin ein Krimineller“.
- Die schwierigen Fälle: Einige Techniken waren fast unmöglich vone von anderen zu unterscheiden. T1553 (Subvert Trust Controls) erhielt einen Wert von 0,00, was bedeutet, dass die KI kein einziges korrektes Beispiel finden konnte. Das Paper stellt fest, dass viele Techniken, insbesondere solche, die mit „Defense Evasion“ (Verdeckung/Tarnung) zu tun haben, in den Protokollen so ähnlich aussehen, dass selbst die beste KI verwirrt ist. Es ist, als versuche man, den Unterschied zwischen zwei Zwillingen zu erkennen, die identische Masken tragen.
Das Fazit
Dieses Paper behauptet nicht, die Cyberkriminalität für immer gelöst zu haben. Es handelt sich um eine Simulationsstudie, nicht um einen Bericht aus einer echten Kriegszone. Es legt jedoch stark nahe, dass man, wenn man verstehen will, was ein Hacker tut, nicht nur eine Liste von Ereignissen betrachten sollte, die zeitlich nah beieinander liegen. Man muss die Process Lineage rekonstruieren – den Stammbaum der Software.
Indem man die GUID-basierte Methode nutzt, um Ereignisse zu verknüpfen, und diese einem SecureBERT-Modell zuführt, ohne zu versuchen, die Daten künstlich auszubalancieren, erhält man das klarste Bild des Angriffs. Es ist eine Erinnerung daran, dass in der digitalen Welt der Kontext König ist, und dass zu wissen, wer mit wem verwandt ist, wichtiger ist als nur zu wissen, wann sie aufgetaucht sind.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.