In der digitalen Welt werden Sicherheitssysteme oft durch das schiere Volumen der Daten überfordert, die sie überwachen müssen. Jede Sekunde generieren Computer endlose Ströme von Datensätzen, die detaillieren, wer auf eine Datei zugegriffen hat, welches Programm ausgeführt wurde oder wohin eine Netzwerkverbindung hergestellt wurde. Jahrzehntelang haben Verteidiger versucht, Eindringlinge zu entdecken, indem sie nach spezifischen, bekannten bösartigen Verhaltensweisen suchten, wie etwa einem Einbrecher, der ein Schloss knackt. Doch eine neue Art von Bedrohung ist aufgetaucht, die überhaupt nicht wie ein Einbrecher aussieht. Dies sind Advanced Persistent Threats, oder APTs. Anstatt eines einzelnen, lauten Einbruchs ist ein APT eine langsame, leise Infiltration, die sich über Wochen oder Monate erstreckt. Die Angreifer verstecken ihre bösartigen Schritte im normalen, langweiligen Rauschen des täglichen Computerbetriebs, was es nahezu unmöglich macht, zwischen einer routinemäßigen Dateiaktualisierung und einem geheimen Datendiebstahl zu unterscheiden. Um diese heimlichen Feinde zu fangen, haben Forscher damit begonnen, die gesamte Historie der Computeraktivität in ein riesiges Geflecht von Verbindungen abzubilden, einen sogenannten Provenance-Graphen. In diesem Geflecht ist jeder Benutzer, jede Datei und jedes Programm ein Punkt, und jede Aktion, die sie ausführen, ist eine Linie, die sie verbindet. Das Ziel ist es, die winzigen, verdächtigen Muster zu finden, die in dieser massiven, komplexen Karte verborgen sind.

Lange Zeit stützten sich die besten Werkzeuge zum Lesen dieser Karten auf eine Technik namens selbstüberwachtes Lernen (Self-Supervised Learning). Stellen Sie sich einen Studenten vor, der versucht, die Regeln einer Sprache zu lernen, indem er ein Buch liest, in dem viele Wörter unkenntlich gemacht wurden. Der Student muss die fehlenden Wörter basierend auf dem Kontext der umgebenden Sätze erraten. Wenn er richtig rät, lernt er die Struktur der Sprache. In der Computersicherheit nutzen Forscher eine ähnliche Methode: Sie verbergen Teile der Computeraktivitätskarte und bitten die KI, die fehlenden Teile zu rekonstruieren. Wenn die KI gut darin ist, hat sie gelernt, wie „normales“ Verhalten aussieht. Wenn sie auf eine neue Karte stößt, bei der die fehlenden Teile nicht rekonstruiert werden können, weil das Muster falsch ist, markiert sie dies als potenziellen Angriff. Dieser Ansatz war effektiv, hatte aber einen Fehler. Die Standardmethode zum Verbergen von Teilen der Karte ist zufällig; sie deckt Wörter ab, ohne darüber nachzudenken, ob sie wichtig sind. In einem Computersystem sind einige Aktionen nur Hintergrundrauschen, wie etwa ein Programm, das die Uhrzeit prüft, während andere kritische Glieder in einer Ereigniskette sind, wie etwa ein Benutzer, der eine bestimmte Datei öffnet, bevor eine geheime Verbindung hergestellt wird. Das zufällige Abdecken der kritischen Verbindungen hinterlässt der KI eine gebrochene Geschichte, was es schwieriger macht, die wahre Gestalt eines Angriffs zu erlernen.

Ein Team von Forschern der Xi'an University of Technology hat einen neuen Weg entwickelt, diese Systeme zu lehren, der genau darauf achtet, was wichtig ist. Sie erkannten, dass nicht alle Teile der Computeraktivitätskarte gleichwertig sind. Einige Knoten, die bestimmte Dateien oder Programme repräsentieren, sind zentral für die Geschichte, während andere nur nebensächliche Details sind. Ihre neue Methode, genannt AMH-APT, ändert die Spielregeln. Anstatt Teile der Karte zufällig abzudecken, berechnet das System zuerst, wie wichtig jedes Stück ist. Es schaut nach, wie viele Verbindungen ein Teil hat und wie einzigartig seine Merkmale sind. Wenn ein Teil ein bedeutender Knotenpunkt im Netzwerk ist oder sehr distinkte Merkmale aufweist, entscheidet das System, es sichtbar zu lassen. Es verbirgt nur die weniger wichtigen, verrauschten Teile der Karte. Dies stellt sicher, dass die KI, wenn sie versucht, die fehlenden Informationen zu erraten, mit dem wichtigsten verfügbaren Kontext arbeitet und so das Skelett des Angriffspfads bewahrt, selbst während sie trainiert wird.

Die Forscher gingen auch ein zweites Problem an: die unterschiedlichen Arten von Dingen auf der Karte. Ein Computersystem enthält Benutzer, Dateien, Netzwerkverbindungen und Prozesse, die sich alle unterschiedlich verhalten. Frühere Methoden versuchten, all diese verschiedenen Typen in einen einzigen, einheitlichen Raum zu pressen, was ihre einzigartigen Eigenschaften verschwimmen ließ. Es war, als würde man versuchen, ein Auto, einen Vogel und einen Fisch mit nur einem einzigen Satz von Regeln für die Bewegung zu beschreiben. Der neue Ansatz gibt jedem Typus seinen eigenen, dedizierten Raum, um verstanden zu werden. Wenn das System eine Datei verbirgt, behandelt es sie als eine verborgene Datei und nicht nur als ein generisches verborgenes Objekt. Dies verhindert, dass die KI das Label des Objekts nutzt, um dessen Inhalt zu erraten. Indem das System die distinkten Identitäten von Benutzern, Dateien und Netzwerken getrennt hält, während es ihnen dennoch erlaubt, miteinander zu kommunizieren, baut das System ein viel klareres Bild dessen auf, was geschieht.

Um zu testen, ob diese Änderungen tatsächlich funktionierten, ließen die Forscher ihr neues System auf fünf verschiedenen Datensätzen der realen Welt laufen, die von kleinen simulierten Angriffen bis hin zu großen, komplexen Szenarien mit tausenden von Ereignissen reichten. Sie verglichen ihre Ergebnisse mit der bisher besten Methode, die auf zufälligem Verbergen basierte. Die Ergebnisse waren eindeutig. Das neue System fand konsistent mehr Angriffe und machte dabei weit weniger Fehler. In einem spezifischen Test mit einem großen Datensatz namens CADETS markierte die alte Methode fast 2.900 normale Aktivitäten fälschlicherweise als Angriffe, was zu vielen Fehlalarmen führte. Das neue System reduzierte diese Zahl auf etwas mehr als 1.100, wodurch es die Fehlalarme um mehr als die Hälfte senkte, während es gleichzeitig die böswilligen Akteure entdeckte. In einem anderen Test namens Wget verbesserte sich die Fähigkeit des Systems, Angriffe korrekt zu identifizieren, signifikant und stieg von einer Erfolgsquote von etwa 94,5 Prozent auf fast 98,1 Prozent. Diese Verbesserungen waren nicht bloß kleine Anpassungen; sie stellten einen fundamentalen Wandel dar, wie das System lernte, zwischen dem Rauschen des täglichen Lebens und den leisen Schritten eines ausgeklügelten Eindringlings zu unterscheiden.

Der Erfolg dieser Methode liegt in ihrer Fähigkeit, Schwierigkeit und Klarheit auszubalancieren. Die Forscher fanden heraus, dass das einfache Verbergen einer festen Menge an Daten nicht ausreichte. Stattdessen führten sie einen Zeitplan ein, der mit leichteren Aufgaben begann, also weniger Dinge verbarg, und die Schwierigkeit graduell erhöhte, während das System lernte. Dies ermöglichte es der KI, zuerst die lokalen Muster des normalen Verhaltens zu meistern, bevor sie herausgefordert wurde, die komplexen, weitreichenden Verbindungen zu verstehen, die einen Angriff definieren. Durch die Kombination dieser sorgfältigen Zeitplanung mit der Strategie, wichtige Knoten zu schützen und die einzigartige Natur verschiedener Datentypen zu respektieren, lernte das System, den Wald und die Bäume gleichzeitig zu sehen. Das Ergebnis ist ein Detektionswerkzeug, das sensibler für die subtilen Zeichen eines Einbruchs ist und weniger wahrscheinlich wegen harmloser Aktivitäten Alarm schlägt.

Diese Arbeit deutet darauf an, dass die Zukunft der Cybersicherheit weniger davon abhängen könnte, neue, komplexe Regeln zu finden, sondern vielmehr davon, Maschinen beizubringen, auf die richtigen Dinge zu achten. Durch das Verständnis, dass nicht alle Datenpunkte gleich sind und dass verschiedene Arten digitaler Objekte unterschiedliche Arten des Verständnisses erfordern, haben Forscher ein System geschaffen, das besser darin ist, das Unsichtbare aufzuspüren. Die Studie behauptet nicht, das Problem der Cyberbedrohungen vollständig gelöst zu haben, aber sie bietet eine leistungsstarke neue Linse, durch die wir das Chaos der digitalen Aktivität betrachten können. Sie zeigt, dass wir, indem wir verfeinern, wie wir Maschinen lehren, aus ihrer eigenen Geschichte zu lernen, sie schärfer, präziser und zuverlässiger als Wächter unserer digitalen Welt machen können. Der Weg nach vorn besteht darin, diese Methoden kontinuierlich zu verfeinern, um sicherzustellen, dass sie sich an die sich ständig ändernden Taktiken derjenigen anpassen können, die Schaden anrichten wollen, während sie die Fehlalarme niedrig genug halten, damit sich menschliche Verteidiger auf die realen Bedrohungen konzentrieren können.