From Threat Intelligence to Detection: Knowledge-driven Enrichment and Template-based Rule Grounding for Automated Sigma Rule Generation
Cet article présente AUTOSIGMA, un cadre automatisé qui transforme l'intelligence sur les cybermenaces non structurée en règles Sigma exploitables en combinant l'enrichissement fondé sur la connaissance, l'ancrage basé sur des modèles et la validation par LLM afin de surmonter les limites de scalabilité et de précision de la création manuelle de règles.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le monde à enjeux élevés de la cybersécurité, les défenseurs se retrouvent souvent à réagir aux attaques bien après qu'elles ont commencé. Les informations concernant ces attaques arrivent généralement sous la forme de rapports détaillés rédigés par des experts en renseignement. Ces documents décrivent comment des groupes criminels sophistiqués, connus sous le nom de menaces persistantes avancées (APT), s'introduisent dans les réseaux, se déplacent et volent des données. Cependant, ces rapports sont rédigés en langage courant, riches en détails narratifs et en contexte humain, ce qui les rend difficiles à lire et à exploiter immédiatement par un ordinateur. Pour arrêter une attaque en temps réel, les systèmes de sécurité ont besoin d'instructions spécifiques appelées règles de détection. Ces règles agissent comme des filtres précis, scannant des millions d'événements numériques pour trouver les motifs exacts d'une menace spécifique. La création de ces règles à la main est un processus lent et sujet aux erreurs qui nécessite une expertise approfondie, et au moment où un analyste humain finit d'écrire une règle pour une nouvelle menace, les attaquants peuvent déjà avoir changé de méthodes.
Le défi central réside dans le comblement du fossé entre un récit écrit par un humain sur une attaque et le code technique rigide dont un ordinateur a besoin pour la traquer. Les équipes de sécurité ont besoin d'un moyen de traduire automatiquement ces récits non structurés en une logique de détection exploitable sans perdre la nuance qui rend la menace réelle. Si cette traduction peut être automatisée, les organisations pourraient déployer des défenses dès qu'une nouvelle menace est découverte, plutôt que d'attendre des jours ou des semaines pour une analyse manuelle. C'est le problème que une équipe de chercheurs s'est donné pour résoudre en développant un nouveau système conçu pour lire les rapports de menace et générer instantanément les sauvegardes numériques nécessaires.
Les chercheurs ont créé un système appelé AUTOSIGMA, qui agit comme un traducteur automatique entre l'intelligence humaine et la défense machine. Au lieu de simplement demander à un ordinateur de deviner les règles basées sur une description textuelle, le système suit un processus méticuleux en plusieurs étapes qui imite la façon dont un expert humain réfléchirait, mais avec la vitesse d'une machine. D'abord, le système lit le rapport de menace brut et le décompose, identifiant les acteurs clés, les outils utilisés et les étapes spécifiques suivies par les attaquants. Il va ensuite plus loin en consultant de vastes bases de données externes de vulnérabilités connues et de techniques d'attaque pour combler les détails manquants. Si un rapport mentionne une faille logicielle spécifique mais n'explique pas comment elle fonctionne, le système recherche cette faille dans une base de données mondiale pour comprendre pleinement son comportement. Cela garantit que le système possède une image complète de l'attaque, même si le rapport d'origine était vague ou incomplet.
Une fois que le système comprend toute l'étendue de l'attaque, il décompose le scénario complexe en petites étapes individuelles. Une seule attaque peut impliquer des dizaines d'actions, et essayer de les capturer toutes dans une seule règle serait inefficace. En séparant l'attaque en parties atomiques, le système peut créer une règle spécifique pour chaque étape, rendant la détection beaucoup plus précise. La phase suivante est celle où le système s'appuie sur l'expérience collective de la communauté de la sécurité. Il parcourt une bibliothèque massive et constamment mise à jour de règles de détection existantes pour trouver celles qui sont similaires aux étapes qu'il vient d'identifier. Imaginez cela comme un maître constructeur regardant une bibliothèque de plans éprouvés avant de construire une nouvelle maison ; le système utilise ces modèles existants et vérifiés comme fondation. Cela empêche le système d'inventer des règles à partir de zéro qui pourraient être défectueuses ou passer à côté de leur cible, garantissant que les nouvelles règles sont ancrées dans une logique qui a déjà été testée par des experts.
Avec une base solide et une compréhension claire de la menace, le système génère ensuite la règle de détection réelle. Cependant, il ne s'arrête pas là. Les chercheurs ont conçu un mécanisme de vérification unique où deux modèles d'intelligence artificielle travaillent ensemble en boucle. Un modèle agit comme le créateur, écrivant la règle basée sur les détails de la menace et le modèle choisi. Le second modèle agit comme un juge strict, examinant la règle pour voir si elle fait sens, si elle respecte le format technique correct et si elle parviendra réellement à capturer la menace sans causer de fausses alertes. Si le juge trouve une erreur, il renvoie la règle au créateur avec des commentaires spécifiques sur la façon de la corriger. Ce cycle se répète jusqu'à ce que la règle soit parfaite. Ce processus de va-et-vient est crucial car il permet de détecter les erreurs qu'un seul modèle pourrait manquer, comme un détail manquant ou une lacune logique, garantissant que le résultat final est assez fiable pour être utilisé dans des systèmes de sécurité réels.
Les chercheurs ont testé ce système en utilisant des rapports du monde réel provenant de certains des groupes de cybercriminels les plus notoires de l'histoire, notamment APT41, APT28 et APT29. Ils ont comparé les règles générées par AUTOSIGMA à celles produites par d'autres outils automatisés et aux résultats de modèles de langage avancés utilisés de leur côté. Les résultats ont montré que leur système était nettement meilleur pour produire des règles qui étaient à la fois techniquement correctes et pertinentes par rapport aux menaces spécifiques décrites. Il a réussi à couvrir davantage de techniques d'attaque connues et s'est montré plus robuste face à des rapports mal formatés ou manquant de détails. L'étude suggère qu'en combinant des connaissances externes, des modèles de règles existants et un processus d'auto-vérification rigoureux, il est possible d'automatiser la création de règles de détection de haute qualité. Cette approche ne fait pas que accélérer le processus ; elle améliore la qualité de la défense, permettant aux équipes de sécurité de répondre aux menaces évolutives avec un niveau de précision et de rapidité que les méthodes manuelles ne peuvent égaler.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.