An End-to-End Framework for Functionality-Embedded Provenance Graph Construction and Threat Interpretation

1. El Problema

Los gráficos de procedencia (provenance graphs) son fundamentales para la detección de Amenazas Persistentes Avanzadas (APT), ya que modelan las interacciones causales entre entidades del sistema (procesos, archivos, red) a partir de registros (logs). Sin embargo, los enfoques existentes presentan tres limitaciones críticas:

• Fragilidad en la Construcción: La construcción de estos gráficos depende en gran medida de reglas de expresiones regulares (regex) diseñadas manualmente. Estas reglas son laboriosas de crear, no escalan ante la heterogeneidad de los formatos de logs y se vuelven obsoletas rápidamente cuando los sistemas evolucionan o cambian los formatos de registro.
• Falta de Contexto Funcional: Los detectores de anomalías basados en gráficos existentes a menudo representan los nodos mediante nombres crudos o tipos generales (ej. "proceso"). Esto carece del contexto de funcionalidad (ej. "editor de documentos" vs. "servicio del sistema"). Sin este contexto, es difícil distinguir entre comportamientos maliciosos y benignos que son estructuralmente similares pero funcionalmente distintos.
• Interpretación Limitada para Analistas: Las alertas generadas suelen ser gráficos de ataque complejos y de bajo nivel que son difíciles de interpretar. La falta de resúmenes en lenguaje natural que expliquen la intención del atacante y mapeen las acciones a tácticas conocidas (como MITRE ATT&CK) dificulta la investigación humana.

2. Metodología: Auto-Prov

El artículo propone Auto-Prov, un marco adaptativo de extremo a extremo que utiliza Modelos de Lenguaje Grande (LLMs) para automatizar la construcción de gráficos de procedencia, enriquecerlos con contexto funcional y resumir las amenazas. El flujo de trabajo consta de cinco componentes principales:

1. Descubrimiento Automático de Tipos de Logs:

   • Auto-Prov agrupa los logs entrantes en tiempo real basándose en su similitud estructural (usando embeddings de RoBERTa y el algoritmo de clustering en streaming DBStream).
   • Esto permite identificar nuevos formatos de logs sin conocimiento previo, agrupando logs similares para procesarlos con las mismas reglas de extracción.

2. Extractor de Procedencia Candidata (CPE):

   • Utiliza un LLM potente (GPT-4o) en un modo zero-shot sobre una muestra pequeña de logs representativos de cada tipo.
   • El LLM realiza tareas de razonamiento para extraer entidades, tipos, nombres, direcciones de interacción y tipos de interacción (lectura, escritura, ejecución), generando gráficos de procedencia de referencia de alta calidad.

3. Generador de Reglas:

   • Para escalar el proceso a flujos de logs masivos, un LLM más pequeño y de código abierto (LLaMA-3) "distila" el comportamiento de extracción del CPE.
   • Genera automáticamente reglas de expresiones regulares (regex) que replican las extracciones del CPE. Estas reglas se aplican a todos los logs en tiempo real, permitiendo la construcción escalable de gráficos.

4. Enriquecimiento de Nodos con Funcionalidad (Node Enricher):

   • Para abordar la falta de contexto, Auto-Prov infiere etiquetas funcionales (ej. "navegador web", "controlador de sistema") para cada entidad.
   • Para entidades conocidas: Usa un LLM para inferir la función basándose en el nombre y la ruta.
   • Para entidades desconocidas: Utiliza un clasificador de comportamiento que compara los patrones de interacción de una entidad desconocida con los de entidades conocidas (basado en firmas de comportamiento de un solo salto) para estimar su función.
   • Estas etiquetas se incrustan como atributos en los nodos del gráfico.

5. Asistente de Gráficos (Graph Assistant):

   • Una vez que un detector de anomalías identifica nodos o bordes maliciosos, este componente convierte el gráfico de ataque en un resumen en lenguaje natural.
   • Utiliza un LLM para narrar la secuencia de actividades sospechosas y mapearlas a tácticas de APT (MITRE ATT&CK), proporcionando un razonamiento sobre por qué las acciones coinciden con una táctica específica.

3. Contribuciones Clave

• Marco Adaptativo: Auto-Prov es el primer enfoque que automatiza completamente la construcción de gráficos de procedencia desde logs heterogéneos y evolutivos sin intervención manual.
• Representación Funcional: Introduce un nuevo esquema de representación de nodos que combina inferencia basada en LLM y estimación basada en comportamiento para capturar la funcionalidad del sistema, superando las limitaciones de los embeddings de nombres crudos.
• Interpretación Orientada al Analista: Proporciona un mecanismo para traducir gráficos de ataque complejos en resúmenes narrativos y mapeos de tácticas, mejorando la utilidad operativa para los analistas de seguridad.
• Escalabilidad: Utiliza una arquitectura híbrida donde un LLM grande genera reglas de referencia y un LLM más pequeño genera las reglas de ejecución, haciendo el sistema viable para entornos de alto volumen.

4. Resultados Experimentales

Los autores evaluaron Auto-Prov en conjuntos de datos heterogéneos (DARPA E3 THEIA y ATLAS) que cubren múltiples plataformas (Linux, Windows, DNS, Firefox) y seis ataques reales. Se probaron cuatro detectores de anomalías de última generación (Flash, MAGIC, OCR-APT, Kairos).

• Mejora en la Detección: Auto-Prov mejoró consistentemente el rendimiento de todos los detectores.
  • Aumentó el AUC-ROC promedio en 0.23 en el conjunto de datos THEIA y en 0.15 en ATLAS.
  • Mejoró significativamente la Precisión de Detección de Ataques (ADP), asegurando que los ataques sigilosos (con pocos nodos maliciosos) no se pasen por alto.
• Robustez ante Entidades Desconocidas: El sistema logró inferir funcionalidades para entidades nuevas mediante el clasificador de comportamiento, manteniendo un rendimiento estable incluso cuando los LLMs no reconocían los nombres de las entidades.
• Calidad del Resumen: El Asistente de Gráficos demostró una alta precisión en la inferencia de tácticas (αTC > 0.8 en la mayoría de los casos) y mantuvo la coherencia de los resúmenes incluso bajo ataques de "envenenamiento" de nombres de entidades (donde los nombres reales se reemplazan por cadenas aleatorias).
• Análisis de Componentes: Se demostró que los gráficos generados por Auto-Prov son superiores a los construidos manualmente, y que las características funcionales son esenciales para mejorar la detección, especialmente cuando el gráfico subyacente es rico en relaciones causales.

5. Significado e Impacto

Este trabajo representa un avance significativo hacia la despliegue práctico de la detección de anomalías basada en gráficos de procedencia en entornos del mundo real.

• Superación de la Barrera de Mantenimiento: Elimina la necesidad de ingeniería manual de reglas, que es el principal cuello de botella para la adopción de estas tecnologías en sistemas dinámicos.
• Mejora de la Inteligencia de Amenazas: Al integrar el contexto funcional y la interpretación semántica, Auto-Prov cierra la brecha entre la detección automatizada y la comprensión humana, permitiendo a los analistas priorizar y entender las amenazas de manera más rápida y precisa.
• Adaptabilidad Futura: El enfoque demuestra que los LLMs pueden utilizarse de manera efectiva no solo para generar texto, sino para razonar sobre estructuras de datos complejas y no estructuradas (logs) en tareas de ciberseguridad, abriendo nuevas vías para la automatización de la defensa.

En resumen, Auto-Prov transforma la detección de APTs de un proceso rígido y dependiente de expertos a un sistema adaptativo, rico en contexto y centrado en el analista.