Behavioral Anomaly Detection and Malicious Service Identification in the Tor Network Using Deep Learning
Dieses Paper schlägt MBRD-Tor vor, ein dreistufiges Deep-Learning-Framework, das die Herausforderungen der Protokollhomogenisierung, des Verschlüsselungsrauschens und des extremen Klassenungleichgewichts im Tor-Netzwerk adressiert, indem es multiskalige Verhaltenssignaturen fusioniert, eine Ensemble-basierte Qualitätsschätzung für adaptive Gewichtung einsetzt und GAN-generierte synthetische Merkmale nutzt, um eine überlegene Leistungsfähigkeit bei der Erkennung bösartiger Dienste zu erzielen.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, belebte Stadt vor, in der jeder frei herumlaufen kann, aber manche Menschen Masken tragen wollen, um ihre Gesichter zu verbergen. Dies ist das Tor-Netzwerk, ein digitales Werkzeug, das darauf ausgelegt ist, die Privatsphäre zu schützen, indem es Nachrichten durch eine Serie geheimer Tunnel leitet, damit niemand sehen kann, wer was gesendet hat. Doch genau wie in einer echten Stadt nutzen böswillige Akteure diese Masken manchmal, um ihre Verbrechen zu verbergen, indem sie geheime Befehle an Viren senden oder illegale Geschäfte betreiben. Das Problem für die Sicherheitskräfte der Stadt ist, dass Tor so gut in seinem Job ist, dass es jede einzelne Nachricht exakt gleich aussehen lässt: einen einheitlichen 512-Byte-Datenblock. Es ist, als versuche man, einen Taschendieb in einer Menge aufzuspüren, in der alle den exakt gleichen grauen Anzug tragen, in der gleichen Pose stehen und sich mit der gleichen Geschwindigkeit bewegen. Traditionelle Sicherheitstools, die normalerweise nach Unterschieden in Größe oder Form suchen, sind völlig verwirrt. Sie können nicht zwischen einem harmlosen Touristen und einem Kriminellen unterscheiden, weil die „Uniformen“ identisch sind. Dies verursacht den Verteidigern ein massives Kopfzerbrechen: Sie müssen die winzige Nadel eines bösartigen Angriffs in einem Heuhaufen aus Milliarden identisch aussehender Blöcke finden, und die Bösewichte werden immer klüger darin, ihre Spuren zu verwischen.
Hier setzt eine neue Studie von Amirhossein Saviz an, die einen cleveren neuen Weg vorschlägt, diese digitalen Kriminellen zu fassen, ohne jemals einen Blick in ihre verschlossenen Koffer werfen zu müssen. Die Arbeit stellt ein System namens MBRD-Tor vor, das weniger wie ein starrer Sicherheitswächter fungiert, der Ausweise kontrolliert, sondern eher wie ein Detektiv, der auf den Rhythmus und das Verhalten der Menge achtet. Anstatt zu versuchen, den Inhalt der Nachrichten zu lesen (der verschlüsselt und unmöglich einzusehen ist), beobachtet das System, wie sich die Nachrichten bewegen: wie schnell sie ankommen, in welche Richtung sie gehen und in welcher Reihenfolge sie erscheinen.
Die Forscher erkannten, dass selbst wenn die „Anzüge“ identisch sind, die Art und Weise, wie sich ein Taschendieb durch eine Menge bewegt, sich von der eines normalen Touristen unterscheidet. Ein Krimineller könnte ein Signal aussenden und dann darauf warten, dass ein großes Paket zurückkommt, was ein spezifisches Muster erzeugt. Um dies zu erfassen, entwickelte das Team einen dreistufigen Prozess. Zuerst erstellten sie einen „Verhaltens-Fingerabdruck“, indem sie Zeitplanung, Position und Richtung zu einer einzigen, kompakten Zusammenfassung des Verkehrs kombinierten. Zweitens standen sie vor einem schwierigen Problem: In der realen Welt ist bösartiger Verkehr unglaublich selten (manchmal weniger als 1 % des gesamten Verkehrs), und einige der Daten sind einfach „verrauscht“ oder unordentlich. Um dies zu lösen, setzten sie ein Gremium aus fünf verschiedenen „Richtern“ (einem Ensemble aus Algorithmen) ein, die darüber abstimmen, wie vertrauenswürdig jedes Stück Daten ist, indem sie den klaren, sauberen Beispielen mehr Gewicht beigemessen und die unordentlichen ignoriert haben. Um schließlich das Problem zu lösen, dass es zu wenige Beispiele für böswilligen Verkehr gibt, um daraus zu lernen, verwendeten sie eine spezielle Art von KI, ein Generative Adversarial Network (GAN). Denken Sie an dies als einen digitalen Kunstfälscher, der perfekte, gefälschte Kopien der seltenen kriminellen Muster erstellt, aber nur, wenn ein strenges Komitee von Richtern zustimmt, dass die gefälschten Kopien von den echten ununterscheidbar sind. Dies ermöglicht es dem System, zu lernen, wie die Kriminellen aussehen, ohne dass Millionen von echten Beispielen aus der realen Welt benötigt werden.
Als das Team sein neues System an einem Datensatz des echten Tor-Verkehrs testete, waren die Ergebnisse vielversprechend. Unter normalen Bedingungen, in denen bösartiger Verkehr etwas häufiger vorkommt, erreichte ihr System einen F1-Score (ein Maß für die Gesamtgenauigkeit) von 73,70 %, was deutlich besser war als die bisherigen besten Methoden. Aber die wahre Magie geschah, als sie die extremen Bedingungen des realen Internets simulierten, in denen bösartiger Verkehr nur 1 % des Gesamten ausmacht. In diesem Szenario versagten die meisten anderen Systeme vollständig und sanken in ihrer Fähigkeit, Kriminelle zu fassen, auf nahezu Null. MBRD-Tor jedoch hielt stand, wobei es eine Recall-Rate (die Fähigkeit, die Bösen tatsächlich zu finden) von 21,1 % und einen F1-Score von 33,3 % beibehielt. Die Studie legt nahe, dass es möglich ist, bösartige Aktivitäten aufzuspüren, selbst wenn sie sich inmitten von Millionen identisch aussehender Blöcke im Verborgenen halten, indem man sich auf die subtilen Verhaltensrhythmen der Daten konzentriert und einen intelligenten, mehrstufigen Prozess verwendet, um die Trainingsdaten zu bereinigen. Die Autoren kommen zu dem Schluss, dass dieser Ansatz eine robuste, privatsphärenfreundliche Möglichkeit bietet, die digitale Stadt sicher zu halten, ohne die Verschlüsselung brechen zu müssen, die die Privatsphäre aller schützt.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.