From Telemetry to Techniques: Behavior-Centric MITRE ATT&CK Technique Classification Through Sysmon Event Correlation
Cet article propose un cadre centré sur le comportement qui reconstruit les événements Sysmon en séquences corrélées par GUID afin d'améliorer la classification des techniques MITRE ATT&CK, démontrant que la préservation du contexte au niveau du processus surpasse le regroupement temporel et qu'un modèle de base SecureBERT obtient des résultats supérieurs sans atténuation explicite du déséquilibre des classes.
Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez que vous êtes un détective tentant de résoudre un mystère dans une ville immense et chaotique. Cette ville est votre ordinateur, et les « suspects » sont des cybercriminels tentant de s'y introduire. Pendant longtemps, les détectives (les systèmes de sécurité) ont essayé d'attraper ces criminels en cherchant des affiches de « Recherché » spécifiques et pré-écrites. Ils vérifiaient si un criminel avait un visage spécifique (un hash) ou portait un chapeau spécifique (une adresse IP). Mais les criminels modernes sont astucieux ; ils changent constamment de visage et de chapeau, donc les anciennes affiches ne fonctionnent plus.
Cette étude suggère une nouvelle façon de les attraper : au lieu de regarder un instantané unique, nous devons observer toute l'histoire de ce qu'ils font.
Le livre de indices : Sysmon
Les chercheurs ont utilisé un carnet spécial appelé Sysmon. Considérez Sysmon comme un garde de sécurité hyper-observateur qui note tout ce qui se passe dans la ville informatique. Il enregistre quand un programme démarre, quand un fichier est créé, quand une connexion est établie avec Internet, et même quand quelqu'un essaie de modifier furtivement l'horodatage d'un fichier (comme un cambrioleur essuyant ses empreintes digitales sur une porte).
Le problème ? Le garde écrit trop de choses. C'est comme avoir un journal avec 427 774 entrées, mais la plupart ne sont que du bruit. Pour donner du sens à ce journal, les chercheurs ont dû nettoyer le journal et regrouper les entrées en histoires significatives.
Les deux façons de regrouper les indices
Les chercheurs ont testé deux méthodes différentes pour recoudre ces entrées de journal éparpillées en une histoire cohérente afin de voir laquelle aidait à identifier la « manœuvre » du criminel (appelée une technique MITRE ATT&CK).
1. La méthode de l'« Arbre Généalogique » (Corrélation basée sur le GUID)
Imaginez que chaque programme qui s'exécute sur l'ordinateur reçoit une carte d'identité permanente et immuable appelée GUID. Même si le programme se ferme et qu'un nouveau commence avec le même nom, il reçoit une nouvelle carte d'identité. L'ancienne carte d'identité reste avec l'« arbre généalogique » du programme.
- Comment ça marche : Les chercheurs ont lié tous les indices qui appartenaient à la même carte d'identité. Si un programme parent (comme
explorer.exe) lançait un programme enfant, et que ce programme enfant ouvrait un fichier puis passait un appel téléphonique, le système les liait tous ensemble parce qu'ils partageaient le même identifiant familial. - Le Résultat : Cette méthode était comme avoir un arbre généalogique complet des actions du criminel. Elle montrait exactement qui a fait quoi et dans quel ordre, préservant les relations entre les événements.
2. La méthode de l'« Horodatage » (Corrélation basée sur le temps)
Cette méthode ignorait les arbres généalogiques et regardait simplement l'horloge.
- Comment ça marche : Les chercheurs ont dit : « Si deux choses se sont produites à moins d'une seconde d'intervalle, elles doivent être liées. » Ils ont regroupé les événements qui se sont produits proches les uns des autres dans le temps.
- Le Résultat : C'était comme regarder une foule de personnes et supposer que quiconque se tient à côté de quelqu'un d'autre fait partie de la même équipe. Bien que ce soit parfois vrai, cela manquait les connexions plus profondes. Deux événements sans rapport pouvaient se produire au même moment par coïncidence, ou l'action d'un criminel pouvait être étalée sur quelques secondes, brisant la règle du « une seconde ».
Le verdict : L'Arbre Généalogique gagne
L'étude a mené une expérience massive, simulant des cyberattaques dans un laboratoire contrôlé à l'aide d'un outil appelé Atomic Red Team. Elles ont injecté ces « histoires » dans différents types de détectives (modèles d'apprentissage automatique) pour voir qui devinait le mieux la technique du criminel.
La grande découverte :
La méthode de l'« Arbre Généalogique » (basée sur le GUID) a systématiquement surpassé la méthode de l'« Horodatage » (basée sur le temps) sur toute la ligne.
- Le meilleur détective était une IA super intelligente appelée SecureBERT (un modèle de langage spécialisé pour la cybersécurité).
- Lorsque SecureBERT lisait les histoires de l'« Arbre Généalogique », elle atteignait une précision de 0,586 (ce qui signifie qu'elle avait raison environ 58,6 % du temps).
- Lorsque SecureBERT lisait les histoires de l'« Horodatage », sa précision tombait à 0,504.
L'article argumente explicitement contre l'idée que le simple regroupement d'événements par le temps soit suffisant. Il suggère que sans l'arbre généalogique (la lignée des processus), on perd le contexte crucial de la manière dont une action a mené à une autre. L'étude a également constaté que pour les modèles d'IA les plus avancés (les Transformers), essayer de « corriger » les données en inventant des exemples supplémentaires fictifs (une technique appelée SMOTE) rendait les choses pires ou n'aidait pas. La meilleure stratégie était de laisser l'IA apprendre à partir des histoires réelles et inaltérées de l'« Arbre Généalogique ».
Le « Qui » et le « Quoi »
Les chercheurs ont testé de nombreuses techniques criminelles (comme « T1059 : Command and Scripting Interpreter » ou « T1218 : System Binary Proxy Execution »).
- Les victoires faciles : Certaines techniques sont très faciles à repérer. Par exemple, T1588 (Obtain Capabilities) a été identifiée avec un score parfait de 1,00 (10 % de précision). C'est comme un criminel portant un panneau néon indiquant « Je suis un criminel ».
- Les cas difficiles : Certaines techniques sont presque impossibles à distinguer. T1553 (Subvert Trust Controls) a obtenu un score de 0,00, ce qui signifie que l'IA n'a trouvé aucune instance correcte. L'article note que de nombreuses techniques, en particulier celles impliquant l'évasion de défense (se cacher), sont si similaires dans les journaux que même la meilleure IA s'y perd. C'est comme essayer de distinguer deux jumeaux portant des masques identiques.
La conclusion
Cette étude ne prétend pas avoir résolu le cybercrime pour toujours. C'est une étude de simulation, pas un rapport provenant d'une zone de guerre réelle. Cependant, elle suggère fortement que si vous voulez comprendre ce qu'un hacker fait, vous ne devez pas simplement regarder une liste d'événements survenus à des moments proches. Vous devez reconstruire la lignée des processus — l'arbre généalogique du logiciel.
En utilisant la méthode basée sur le GUID pour lier les événements et en les soumettant à un modèle SecureBERT sans essayer d'équilibrer artificiellement les données, vous obtenez l'image la plus claire de l'attaque. C'est un rappel que dans le monde numérique, le contexte est roi, et savoir qui est lié à qui importe plus que de savoir simplement quand ils sont apparus.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.