Behavior-Specialized Anomaly Detection for Improving Alert Quality in Provenance-Based Intrusion Detection
Dieses Paper stellt Targeter vor, ein verhaltensspezialisiertes Framework, das Systemprozesse in Kategorien unterteilt und für jede dedizierte, leichtgewichtige Graph-Autoencoder trainiert, wodurch ein überlegener Präzisions-Recall-Trade-off sowie eine verbesserte Alarmqualität bei der auf Provenienz basierenden Intrusion Detection erreicht wird, während gleichzeitig ein geringer Rechenaufwand beibehalten wird.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der digitalen Welt hinterlässt jede Aktion eines Computers eine Spur, ganz ähnlich wie Fußabdrücke im Schnee. Wenn ein Benutzer eine Datei öffnet, ein Programm ausführt oder eine Nachricht sendet, zeichnet das System auf, wer was, wann und mit welchen Werkzeugen getan hat. Sicherheitsexperten nutzen diese Aufzeichnungen, um eine Karte von Ursache und Wirkung zu erstellen, die zeigt, wie ein Ereignis zum nächsten führt. Diese Karte wird als Provenance-Graph bezeichnet. Jahrelang haben Forscher versucht, diese Karten zu nutzen, um Cyberangriffe aufzuspüren, in der Hoffnung, die verborgenen Schritte eines Eindringlings zu finden, der versucht, Daten zu stehlen oder ein System zu beschädigen. Die Herausforderung besteht jedoch darin, dass diese Karten unglaublich riesig und komplex sind. Ein einzelner Computer kann in kurzer Zeit Millionen dieser Verbindungen erzeugen, und die meisten davon sind vollkommen normal. Wenn ein Sicherheitssystem versucht, die böswilligen Akteure in einer solch gewaltigen Menge zu finden, gerät es oft durcheinander. Es könnte Alarm wegen einer harmlosen Datei schlagen, nur weil diese etwas ungewöhnlich aussieht, oder es könnte einen gefährlichen Prozess übersehen, weil dieser sich unter Millionen gewöhnlicher Prozesse versteckt. Das Ergebnis ist oft eine Flut von Fehlalarmen, die menschliche Analysten überfordert, oder schlimmer noch, ein stilles Versagen, einen Angriff zu erkennen, der bereits im Gange ist.
Ein Team von Forschern an der Sharif University of Technology im Iran hat einen neuen Weg vorgeschlagen, um dieses Problem zu lösen, indem sie die Art und Weise ändern, wie der Computer die Daten betrachtet. Anstatt zu versuchen, einem einzelnen, riesigen Computerprogramm beizubringen, jede mögliche Art von Aktivität auf einer Maschine zu verstehen, entschieden sie sich, das Problem in kleinere, handhabbarere Teile zu zerlegen. Sie erkannten, dass verschiedene Arten von Computerprogrammen sich auf sehr unterschiedliche Weise verhalten. Ein Webbrowser beispielsweise öffnet natürlicherweise Netzwerkverbindungen und liest bestimmte Arten von Dateien. Ein Systemwerkzeug, das die Uhr verwaltet, verhält sich anders, und eine Command-Line-Shell, die von Administratoren genutzt wird, hat ihren eigenen, einzigartigen Rhythmus. Wenn ein einzelnes Detektionsmodell versucht, das „normale“ Verhalten all dieser verschiedenen Programme gleichzeitig zu erlernen, fällt es ihm schwer, zwischen einer harmlosen Variation und einer echten Bedrohung zu unterscheiden.
Um dies zu adressieren, entwickelten die Forscher ein System, das sie Targeter nennen. Dieses System sortiert zunächst jedes auf einem Computer laufende Programm in spezifische Gruppen ein, basierend darauf, was es tatsächlich tut. Ein Webbrowser kommt in eine Gruppe, ein Texteditor in eine andere und ein Systemdienst in eine dritte. Sobald die Programme sortiert sind, trainiert das System einen separaten, spezialisierten Detektor für jede Gruppe. Der Detektor für die Webbrowser lernt nur, wie normales Browserverhalten aussieht. Der Detektor für die Systemdienste lernt nur, wie normales Systemverhalten aussieht. Da jeder Detektor auf eine enge, konsistente Gruppe von Aktivitäten fokussiert ist, wird er viel besser darin, zu erkennen, wenn etwas in dieser Gruppe sich seltsam verhält. Er versucht nicht, ein Experte für alles zu sein; er ist ein Experte für eine ganz bestimmte Sache.
Die Forscher testeten diesen Ansatz unter Verwendung von Daten aus dem DARPA Transparent Computing Programm, einer Sammlung von realen Systemprotokollen, die sowohl normale Aktivitäten als auch raffinierte Cyberangriffe enthalten. Sie verglichen ihr neues System mit mehreren bestehenden Methoden, die derzeit als die besten auf ihrem Gebiet gelten. Die Ergebnisse zeigten, dass Targeter eine bessere Balance zwischen dem Erraten echter Angriffe und dem Vermeiden von Fehlalarmen fand. Frühere Systeme mussten oft zwischen der Wahl, sehr streng zu sein und viele Angriffe zu verpassen, oder sehr locker zu sein und tausende unschuldige Programme als verdächtig zu melden, entscheiden. Targeter gelang es, einen viel größeren Teil der tatsächlichen Angriffsschritte zu erfassen, während es die Anzahl der Fehlalarme niedrig genug hielt, um für menschliche Ermittler nützlich zu sein. In einem Test mit einem Datensatz von über einer Million Systemereignissen identifizierte das neue System signifikant mehr angriffsbezogene Knoten als seine Konkurrenten, ohne den Analysten in Rauschen zu ertränken.
Ein wesentlicher Teil des Erfolgs war, wie das System die Daten nach der initialen Detektion behandelte. Die Forscher fügten einen letzten Schritt hinzu, bei dem das System die Verbindungen zwischen den gefundenen verdächtigen Elementen betrachtet. Wenn es eine verdächtige Datei entdeckt, die mit einem verdächtigen Prozess verknüpft ist, fügt es diese Datei der Liste der zu untersuchenden Dinge hinzu, selbst wenn die Datei selbst nicht verdächtig aussah. Dies hilft sicherzustellen, dass die Untersuchung den gesamten Pfad des Angriffs abdeckt und nicht nur isolierte Fragmente. Das Team prüfte auch, wie viel Rechenleistung diese neue Methode erforderte. Sie fanden heraus, dass sie schnell und effizient ist und reibungslos auf Standard-Computerprozessoren läuft, ohne teure, spezialisierte Hardware zu benötigen. Dies deutet darauf hin, dass der Ansatz für den praktischen Einsatz in der realen Welt geeignet sein könnte, nicht nur für ein Forschungslabor.
Die Studie legt nahe, dass der Weg nach vorn zur Erkennung von Cyberangriffen nicht unbedingt darin besteht, größere, komplexere Modelle zu bauen, sondern intelligentere, fokussiertere Modelle. Indem sie anerkennt, dass ein Webbrowser und ein Systemwerkzeug fundamental unterschiedlich sind und indem sie jedem seinen eigenen dedizierten Beobachter gibt, gewinnt das System eine klarere Sicht darauf, was wirklich falsch läuft. Die Forscher merkten an, dass ihre Methode zwar gut funktioniert, aber derzeit darauf angewiesen ist, dass Menschen die Kategorien der Programme definieren. In Zukunft hoffen sie, einen Weg zu entwickeln, mit dem das System diese Kategorien selbstständig entdecken kann. Für den Moment jedoch zeigt die Arbeit, dass das Beachten der spezifischen Natur dessen, was ein Programm tut – statt nur seiner Form in einem Datengraphen –, zu viel präziseren und zuverlässigeren Sicherheitsalarmen führen kann.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.