Structural Leakage in Host Intrusion Alert Corpora: An Evaluation Framework for ATT&CK Technique and Tactic Mapping
Dieses Paper führt ein Leakage-bewusstes Evaluierungs-Framework zur Abbildung von Wazuh-Host-Intrusion-Alerts auf MITRE ATT&CK Taktiken und Techniken ein, wobei nachgewiesen wird, dass Standard-Evaluierungsmethoden die Performance aufgrund von strukturellem Daten-Leakage durch Regel-Identifikatoren und Alert-Templates überschätzen, während gleichzeitig gezeigt wird, dass die Vorhersage auf Taktik-Ebene robust bleibt, wenn diese Biases kontrolliert werden.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der digitalen Welt hinterlässt jeder Computer und Server eine Spur digitaler Fußabdrücke, wann immer jemand mit ihm interagiert. Diese Fußabdrücke werden als Alarme bezeichnet und sind der primäre Weg, auf dem Sicherheitsteams erfahren, dass etwas Ungewöhnliches geschieht. Stellen Sie sich ein Gebäude mit hunderten von Sicherheitskameras vor; jedes Mal, wenn sich eine Tür öffnet oder ein Licht flackert, sendet eine Kamera eine Nachricht an einen zentralen Monitor. In der Cyber-Welt werden diese Nachrichten von Software generiert, die nach verdächtigen Aktivitäten Ausschau hält, wie etwa dem Versuch, ein Passwort zu erraten, oder dem Verschieben von Dateien, die man nicht anfassen dürfte. Um dieses Fluten an Informationen sinnvoll zu interpretieren, nutzen Sicherheitsexperten eine gemeinsame Sprache namens MITRE ATT&CK. Dies ist keine Software, sondern ein massiver Katalog bekannter krimineller Verhaltensweisen, organisiert wie eine Bibliothek, in der jeder Eintrag eine spezifische Taktik beschreibt, die ein Angreifer anwenden könnte, sowie die Technik, die er nutzt, um sie zu erreichen. Das Ziel ist es, rohe, verwirrende Computernachrichten in klare Geschichten darüber zu übersetzen, was ein Angreifer zu tun versucht, damit Verteidiger die Bedrohung verstehen und sie stoppen können.
Eine neue Studie deutet jedoch darauf an, dass die Art und Weise, wie Forscher ihre Fähigkeit getestet haben, diese Nachrichten zu übersetzen, grundlegend fehlerhaft sein könnte. Emad Sherif, ein Forscher an der De Montfort University, untersuchte, ob Computerprogramme erfolgreich in der Lage sind, diese rohen Sicherheitsalarme dem Katalog krimineller Verhaltensweisen zuzuordnen. Die Studie wurde in einer „Cyber Range“ durchgeführt, einer kontrollierten digitalen Umgebung, die ein echtes Unternehmensnetzwerk nachahmt, aber von der Außenwelt isoliert ist. In diesem digitalen Sandkasten richtete der Forscher eine Simulation ein, in der sich ein Angreifer durch das Netzwerk bewegte und Aktionen ausführte, wie das Scannen nach Schwachstellen, das Stehlen von Passwörtern und das Vertuschen seiner Spuren. Die Sicherheitssoftware, bekannt als Wazuh, zeichnete jeden einzelnen Alarm auf, der während dieses Angriffs generiert wurde, und erstellte so einen Datensatz von über zweitausend Nachrichten. Die Herausforderung bestand darin, zu sehen, ob eine künstliche Intelligenz in der Lage ist, sich diese Nachrichten anzusehen und korrekt zu identifizieren, welches Verhalten aus dem Katalog sie repräsentieren.
Der Forscher entdeckte, dass frühere Versuche, dieses Problem zu lösen, wahrscheinlich auf unbeabsichtigten Abkürzungen beruhten, wenn auch unbeabsichtigt. In vielen Computerexperimenten werden Daten zufällig in eine Trainingsgruppe und eine Testgruppe aufgeteilt. Der Computer lernt aus der Trainingsgruppe und wird dann an der ungesehenen Testgruppe getestet, um zu sehen, wie gut er generalisiert. Bei dieser speziellen Art von Sicherheitsdaten sind die Alarme jedoch keine einzigartigen, von Menschen geschriebenen Sätze; sie werden durch feste Regeln generiert. Wenn eine Regel besagt „Alarm, wenn ein Passwort fehlschlägt“, erzeugt sie jedes Mal, wenn dieses Ereignis eintritt, exakt denselben Text. Die Studie fand heraus, dass der Text des Alarms und die Regel, die ihn erzeugte, so perfekt mit dem spezifischen kriminellen Verhalten verknüpft waren, dass ein Computer einfach die Regel memorieren und die Antwort mit hoher Genauigkeit erraten konnte. Es war wie ein Schüler, der eine Prüfung ablegt, bei der die Frage selbst die Antwort enthält. Wenn dieselbe Regel sowohl in der Trainings- als auch in der Testgruppe vorkam, lernte der Computer nicht, das Verhalten zu erkennen, sondern er erkannte lediglich die Regelvorlage.
Um dies zu korrigieren, änderte der Forscher die Regeln des Experiments. Anstatt die Daten zufällig aufzuteilen, gruppierte er die Alarme nach der spezifischen Regel, die sie generierte. Dies bedeutete, dass, wenn eine bestimmte Regel verwendet wurde, um den Computer zu trainieren, dieselbe Regel für die Testphase komplett verboten war. Der Computer musste die zugrunde liegende Bedeutung des Verhaltens lernen, ohne sich auf die Abkürzung der Erkennung der Regel selbst verlassen zu können. Als dieser strengere Test angewendet wurde, sank die Leistung des Computers signifikant, was offenbarte, dass die früheren hohen Punktzahlen tatsächlich überhöht waren. Die Ergebnisse zeigten, dass der Computer zwar in der Lage war, breite Kategorien von Angriffen zu identifizieren, wie etwa „Stehlen von Zugangsdaten“ oder „Vertuschen von Spuren“, er jedoch Schwierigkeiten hatte, die spezifischen, feingliedrigen Techniken zu bestimmen, wenn er sich nicht auf das Auswendiglernen der Regelvorlagen verlassen konnte.
Die Studie kam zu dem Schluss, dass die Übersetzung von rohen Sicherheitsalarmen in ein klares Bild krimineller Verhaltensweisen möglich ist, aber nur, wenn die Evaluierung mit äußerster Sorgfalt erfolgt, um diese strukturellen Abkürzungen zu verhindern. Der Computer war besser darin, das allgemeine Ziel eines Angriffs zu identifizieren, wie etwa ob der Angreifer versuchte, Daten zu stehlen oder Dienste zu stören, als die präzise Methode zu bestimmen, die verwendet wurde. Dies deutet darauf hin, dass diese Alarme für Sicherheitsteams am nützlichsten sind, um die breite Absicht eines Eindringlings zu verstehen, statt der kleinteiligen Details seiner Werkzeuge. Die Forschung dient als entscheidende Warnung an das Fachgebiet: Ohne die Kontrolle dieser verborgenen Muster in den Daten könnten die Werkzeuge, die darauf ausgelegt sind, Netzwerke zu schützen, weitaus fähiger erscheinen, als sie es tatsächlich sind. Der Weg nach vorn besteht darin, Systeme zu bauen, die den Kontext eines Alarms über seinen repetitiven Text hinaus verstehen können, um sicherzustellen, dass eine Warnung, die ein Sicherheitsteam sieht, auf echten Beweisen einer Bedrohung basiert und nicht auf einem statistischen Artefakt der Art und Weise, wie die Daten erhoben wurden.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.