Network-Centric Ransomware Intrusion Detection Framework

In der digitalen Welt hat sich eine bestimmte Art von Bedrohung von einer Unannehmlichkeit zu einer globalen Krise entwickelt. Seit Jahrzehnten hält die als Ransomware bekannte Schadsoftware Computerdaten als Geisel, verschlüsselt Dateien und fordert für deren Freigabe eine Zahlung. Während auf einzelnen Computern installierte Sicherheitssoftware diese Programme oft stoppen kann, bevor sie überhaupt aktiv werden, haben clevere Angreifer gelernt, ihre Handlungen zu verbergen und so die Abwehrmechanismen zu umgehen. Wenn ein Computer bereits kompromittiert ist, stammt die einzige verbleibende Sichtweise auf das Geschehen oft aus dem Netzwerk selbst – dem Datenstrom, der zwischen Maschinen fließt. Hier liegt die letzte Verteidigungslinie. Indem sie den Datenverkehr beobachten, der zwischen einem Computer und den zentralen Dateiservern, auf denen die Daten gespeichert sind, fließt, hoffen Sicherheitsexperten, die einzigartige Signatur eines laufenden Angriffs zu erkennen, selbst wenn das bösartige Programm versucht, sich zu tarnen.

Ein Forschungsteam der La Trobe University in Australien hat eine neue Methode entwickelt, diesen digitalen Verkehr zu beobachten, und ein Framework geschaffen, das darauf ausgelegt ist, Ransomware abzufangen, die bereits in ein System eingedrungen ist. Ihr Ansatz geht über das bloße Suchen nach bekannten bösen Akteuren hinaus und konzentriert sich stattdessen auf das Verhalten der Daten selbst. Sie führten eine Methode ein, die sie „Traffic of Interest“ (Interessensverkehr) nennen, die wie ein Filter wirkt, um spezifische Informationspakete zusammenzufassen, die eine Geschichte darüber erzählen, was ein Computer gerade tut. Anstatt jeden einzelnen Datenfetzen zu analysieren, der ein Netzwerk überquert – was überwältigend und langsam sein kann –, isoliert diese Technik die entscheidenden Momente, in denen ein Computer Dateien auf einem gemeinsamen Laufwerk liest, schreibt oder modifiziert. Durch die Konzentration auf diese kritischen Momente kann das System zwischen einem Benutzer, der lediglich seine Arbeit sichert, und einem bösartigen Programm, das alles in Sichtweite verschlüsselt, unterscheiden.

Die Forscher bauten eine Testumgebung auf, um zu sehen, ob diese Methode in der realen Welt funktionieren kann. Sie richteten ein virtuelles Netzwerk mit einem Dateiserver und mehreren Client-Computern ein und führten eine Vielzahl von Ransomware-Familien ein, die von älteren Stämmen bis hin zu den jüngsten zwischen 2013 und 2022 entdeckten Varianten reichten. Entscheidend war, dass sie diese Angriffe nicht nur gegen normale, ruhige Computeraktivitäten testeten. Sie ließen auch harmlose Anwendungen laufen, die schwere Dateioperaionen durchführen, wie etwa das Komprimieren großer Ordner, das Verschlüsseln von Daten zur Wahrung der Privatsphäre oder das Kopieren massiver Datenmengen. Diese legitimen Aktionen können einem Ransomware-Angriff sehr ähnlich sehen, und viele bisherige Erkennungssysteme hatten Schwierigkeiten, den Unterschied zu erkennen, was oft zu Fehlalarmen führte. Durch das Training ihres Systems, die subtilen Unterschiede zwischen einem Benutzer, der eine Datei komprimiert, und einem Virus, der eine Datei verschlüsselt, zu erkennen, zielten die Forscher darauf ab, einen Detektor zu schaffen, der sowohl sensibel gegenüber Bedrohungen als auch gelassen gegenüber normalen Aktivitäten ist.

Die Ergebnisse ihrer Experimente waren beeindruckend. Als das System gegen das volle Spektrum der Angriffe getestet wurde, identifizierte es die Ransomware mit einer Präzision von fast 99,64 Prozent. Vielleicht am wichtigsten ist, dass es einen Ransomware-Angriff nur einmal in tausend Versuchen nicht erkannte – eine Rate, die so niedrig ist, dass sie effektiv bei Null liegt. Das bedeutet, dass das System eine Bedrohung selten übersieht. Gleichzeitig schlug es selten Fehlalarm, indem es eine harmlose Anwendung nur viermal pro hunderttausend Überprüfungen fälschlicherweise als bösartig einstufte. Die Forscher demonstrierten zudem, dass diese Erkennung sehr früh in einem Angriff erfolgen kann. Durch die Analyse der ersten paar Dutzend Momente verdächtiger Aktivitäten konnte das System den Einbruch mit einer Genauigkeit von 99,44 Prozent identifizieren, oft noch bevor der Schaden angerichtet wurde. Diese Frühwarnfähigkeit ist lebenswichtig, da sie Administratoren die Zeit gibt, den Angriff zu stoppen, bevor kritische Daten verloren gehen.

Über das maschinelle Lernmodell, das die Erkennung antreibt, deckte das Team auch eine Reihe von Verhaltenshinweisen auf, die als „Indicators of Compromise“ (Indikatoren für eine Kompromittierung) bekannt sind und die einzigartig für Ransomware sind. Dies sind nicht bloß einfache Listen von schlechten Adressen oder Dateinamen, die Angreifer leicht ändern können. Stattdessen sind diese Indikatoren Muster in der Art und Weise, wie sich die Daten bewegen. Beispielsweise fanden die Forscher heraus, dass Ransomware oft eine spezifische Art von Nachrichtendatei mit einer konsistenten Größe erstellt, um dem Opfer mitzuteilen, was zu tun ist, und dass sie eine sehr spezifische Sequenz von Befehlen befolgt, wenn sie Dateien sperrt. Diese Muster bleiben sichtbar, selbst wenn die Angreifer versuchen, ihre Spuren zu verwischen. Das Team fasste diese Muster in einem Repository zusammen, das als Signatur für bekannte Bedrohungen verwendet werden kann und so eine zweite Verteidigungsebene bietet, die neben dem maschinellen Lernmodell arbeitet.

Die Studie stellt die Vorstellung explizit in Frage, dass bisherige Erkennungsmethoden ausreichend gewesen seien. Die Autoren argumentieren, dass viele frühere Studien auf Datensätzen basierten, die keine legitimen Anwendungen enthielten, die sich wie Ransomware verhalten, was zu übermäßig optimistischen Ergebnissen führte, die in einem geschäftigen Büro nicht standhalten würden. Sie merkten auch an, dass viele bestehende Werkzeuge darauf angewiesen sind, unverschlüsselte Daten zu sehen, was immer seltener vorkommt, da Netzwerke eine stärkere Verschlüsselung einführen. Ihr Framework hingegen wurde sowohl mit verschlüsselter als auch mit unverschlüsselter Kommunikation getestet, was bewies, dass es das Rauschen unabhängig von den Sicherheitseinstellungen durchschauen kann. Durch die Konzentration auf das tatsächliche Verhalten der Dateioperaionen anstatt nur auf den statischen Code des Virus haben die Forscher einen robusteren Weg zum Schutz von Netzwerken aufgezeigt. Die Arbeit legt nahe, dass, während sich Ransomware weiterentwickeln wird, das Beobachten des Datenflusses mit einem scharfen Auge für spezifische Verhaltensmuster einen zuverlässigen Weg zu ihrer Bekämpfung bietet.