In der digitalen Welt werden Sicherheitsteams ständig mit Datenströmen von Computern und Servern bombardiert. Diese Protokolle (Logs) zeichnen jede Aktion einer Maschine auf: das Öffnen einer Datei, das Starten eines Programms, das Herstellen einer Verbindung. Jahrelang war das Ziel der Cybersicherheit, diese verstreuten Notizen zusammenzufügen, um das Gesamtbild eines Angriffs zu sehen. Die Herausforderung besteht darin, dass die Notizen oft unvollständig sind. Angreifer sind geschickt darin, ihre Spuren zu verwischen, Protokolle zu löschen oder die Reihenfolge der Ereignisse zu manipulieren. Zudem kann eine einzelne Computeraktion je nach Kontext viele verschiedene Bedeutungen haben; der Start eines Programms könnte ein harmloses Update oder der Beginn eines Diebstahls sein. Traditionelle Methoden versuchen dies zu lösen, indem sie spezifische Muster mit bekannten Bedrohungen abgleichen, aber sie scheitern oft, wenn die Beweise ungeordnet sind oder wenn Angrecher vertraute Werkzeuge auf neue, unerwartete Weise einsetzen.

Ein Team von Forschern der Gachon University in Südkorea hat einen neuen Weg vorgeschlagen, dieses Problem zu betrachten. Sie nennen ihr System SCOPE. Anstatt zu versuchen, jeden einzelnen Log-Eintrag in eine starre Box zu pressen, betrachtet SCOPE die Analyse als einen Prozess des Schlussfolgerns unter Unsicherheit. Es akzeptiert, dass die erhaltenen Daten fehlerhaft und unvollständig sind, und baut ein Modell auf, das mit fehlenden Teilen umgehen kann, ohne auseinanderzufallen. Die Forscher testeten ihr System anhand eines Satzes von fünfunddreißig bekannten Angriffsszenarien, bei denen die wahre Abfolge der Ereignisse bereits dokumentiert war. Sie fanden heraus, dass SCOPE den Gesamtweg eines Angriffs mit einer viel höheren Genauigkeit rekonstruieren konnte als bestehende Methoden, selbst wenn die Hälfte der digitalen Beweise fehlte. Wichtiger noch: Das System konnte komplexe Angriffsmuster identifizieren, die es zuvor noch nie gesehen hatte, vorausgesetzt, diese Muster bestanden aus bekannten Bausteinen, die in einer neuen Reihenfolge angeordnet waren.

Die Kernschwierigkeit bei der Analyse dieser Protokolle besteht darin, dass einzelne Ereignisse zu klein sind, um für sich allein eine Geschichte zu erzählen. Ein einzelner Log-Eintrag zeigt vielleicht die Erstellung einer Datei, erklärt aber nicht das Warum. Um dies zu lösen, gruppieren die Forscher zuerst verwandte Ereignisse zu größeren, bedeutungsvollen Einheiten. Sie suchen nach Ereignissen, die zeitlich nah beieinander liegen, dieselben Computerprozesse betreffen oder dieselben Dateien und Netzwerkverbindungen berühren. Dies erzeugt eine „Verhaltensgruppe“, die einen kohärenten Schritt eines Angriffs darstellt, wie etwa den Versuch eines Hackers, Passwörter zu stehlen, anstatt nur eine Liste isolierter Dateiänderungen zu sein. Diese Gruppierung ist darauf ausgelegt, robust zu sein; wenn einige Ereignisse in der Mitte fehlen oder gelöscht wurden, kann das System die Gruppe dennoch erkennen, da die verbleibenden Teile durch ihren gemeinsamen Kontext miteinander verknüpft sind.

Sobald diese Gruppen gebildet wurden, steht das System vor der nächsten Herausforderung: zu entscheiden, was jede Gruppe tatsächlich repräsentiert. In der Vergangenheit versuchten Systeme, einer Gruppe ein einzelnes Label zuzuweisen, wie zum Beispiel „Passwortdiebstahl“. Wenn dieses Label falsch war, brach die gesamte Analyse zusammen. SCOPE vermeidet diese Falle, indem es gleichzeitig mehrere Möglichkeiten offen hält. Für jede Verhaltensgruppe erstellt es eine Liste potenzieller Labels mit unterschiedlichen Wahrscheinlichkeitsstufen. Es trifft nicht sofort eine endgültige Entscheidung. Stattdessen hält es diese Optionen in einem Zustand der Unsicherheit und ermöglicht es dem System, das Gesamtbild zu betrachten, bevor es sich auf eine Antwort festlegt. Dieser Ansatz erkennt an, dass dieselbe Aktion je nach dem, was als Nächstes geschieht, unterschiedliche Dinge bedeuten kann.

Der letzte Schritt besteht darin, diese Gruppen zu einer vollständigen Kette zu verbinden. Die Forscher verwenden eine Methode, die bewertet, wie gut ein Verhalten auf ein anderes folgt, basierend auf zwei Hauptfaktoren: dem logischen Fluss eines Angriffs und der physischen Verbindung zwischen ihnen. Sie wissen, dass bestimmte Arten von Aktionen normalerweise in einer spezifischen Reihenfolge ablaufen, wie etwa der Zugriff auf ein System, bevor Daten gestohlen werden. Sie suchen auch nach physischen Verbindungen, wie etwa einer Datei, die in einem Schritt erstellt und im nächsten verwendet wird. Durch die Kombination dieser logischen und physischen Hinweise kann das System die Lücken füllen, in denen Beweise fehlen. Wenn ein Schritt fehlt, stoppt das System nicht; es verbindet einfach die überlebenden Schritte und erkennt dabei an, dass der Sprung größer als üblich, aber dennoch möglich ist. Dies ermöglicht es dem System, eine kontinuierliche Geschichte zu rekonstruieren, selbst wenn Teile der Zeitlinie gelöscht wurden.

Die Forscher testeten diesen Ansatz unter Verwendung eines Datensatzes von fünfunddreißig Angriffsszenarien, die Ground-Truth-Aufzeichnungen darüber enthielten, was genau passiert ist. Sie verglichen SCOPE mit mehreren anderen führenden Methoden, einschließlich regelbasierter Systeme, die nach spezifischen Mustern suchen, graphenbasierter Systeme, die Verbindungen abbilden, und Systemen, die große Sprachmodelle nutzen, um die Geschichte zu erraten. SCOPE übertraf sie alle. Es identifizierte die spezifischen Techniken der Angriffe in etwa 84 % der Fälle korrekt, wenn man die obersten fünf Vermutungen betrachtete. Bei der Messung, wie gut es die gesamte Sequenz der Ereignisse rekonstruierte, erreichte es einen Wert von 0,68, was signifikant höher war als beim nächstbesten Verfahren.

Vielleicht war die bedeutendste Erkenntnis, wie das System mit fehlenden Daten umging. Die Forscher simulierten eine Situation, in der bis zu 50 % der Log-Ereignisse zufällig entfernt wurden, um ein Szenario nachzubilden, in dem ein Angreifer erfolgreich seine Spuren verwischt hat. Während die Leistung anderer Systeme drastisch sank, sobald Daten verschwanden, blieb SCOPE stabil. Selbst als die Hälfte der Beweise fehlte, hielt es eine Rekonstruktionsrate von etwa 0, 57 aufrecht, was immer noch höher war als der beste Wert, den andere Methoden bei Vorhandensein aller Daten erzielten. Dies deutet darauf hin, dass die Fähigkeit des Systems, über Unsicherheit zu schlussfolgern und die überlebenden Beweisstücke zu verknüpfen, es wesentlich widerstandsfähiger gegenüber realem Datenverlust macht.

Das System demonstrierte auch die Fähigkeit, neuartige Angriffskombinationen zu erkennen. In der Cybersicherheit nutzen Angreifer oft bekannte Werkzeuge auf neue Weise. Traditionelle Systeme scheitern hier oft, weil sie nur auf spezifische, bekannte Sequenzen trainiert sind. SCOPE hingegen stützt sich nicht auf das Auswendiglernen spezifischer Sequenzen. Stattdessen versteht es die Kompatibilität verschiedener Angriffsschritte. In den Tests rekonstruierte es erfolgreich kohärente Ketten bekannter Techniken, die in den Trainingsdaten nie zusammen aufgetreten waren. Es erreichte eine „Kohärenz-Neuheit-Rate“ von 0,83, was bedeutet, dass es diese neuen Kombinationen in 83 % der Fälle, in denen sie auftraten, korrekt identifizieren und verknüpfen konnte. Dies deutet darauf hin, dass das System sein Wissen auf ungesehene Bedrohungen generalisieren kann, sofern die einzelnen Komponenten bekannt sind.

Eine entscheidende Designentscheidung in SCOPE ist die Art und Weise, wie es künstliche Intelligenz nutzt. Die Forscher verwendeten ein großes Sprachmodell, einen Typ von KI, der in der Lage ist, natürliche Sprache zu verstehen, aber nur für eine ganz spezifische Aufgabe: die Beschreibung der Verhaltensgruppen in Klartext. Das Modell trifft nicht die endgültigen Entscheidungen darüber, was der Angriff ist oder wie die Teile zusammenpassen. Diese Entscheidungen werden durch einen deterministischen, mathematischen Prozess getroffen, der die Verbindungen zwischen den Schritten bewertet. Diese Trennung stellt sicher, dass das System nicht „halluziniert“ oder Details erfindet, die nicht durch die Daten gestützt werden. Das Sprachmodell fungiert lediglich als Übersetzer, der Rohprotokolle in eine Beschreibung umwandelt, die das Bewertungssystem verstehen kann, während das Bewertungssystem der strenge Richter über die endgültige Kette bleibt.

Die Forscher räumen ein, dass ihre Arbeit auf einem kontrollierten Datensatz basiert und dass reale Unternehmensumgebungen viel komplexer sind. Sie merken an, dass ihr System kein Ersatz für Low-Level-Detection-Trigger ist, sondern vielmehr ein Werkzeug, um die Daten sinnvoll zu interpretieren, die diese Trigger produzieren. Das System ist darauf ausgelegt, mit der unvollständigen und verrauschten Natur echter Protokolle umzugehen, und bietet eine Möglichkeit, die Erzählung eines Angriffs wiederherzustellen, selbst wenn die Beweise fragmentiert sind. Indem sie die Angriffsanalyse als ein Problem des Schlussfolgerns unter Unsicherheit statt als einfaches Musterabgleichen behandeln, haben die Forscher einen Rahmen geschaffen, der robuster gegenüber den Tricks ist, die Angreifer anwenden, um ihre Spuren zu verwischen. Die Ergebnisse legen nahe, dass die Zukunft der Angriffsanalyse nicht darin liegen könnte, mehr Daten zu finden, sondern darin, effektiver mit den Daten zu schlussfolgern, die übrig bleiben.