Structural Leakage in Host Intrusion Alert Corpora: An Evaluation Framework for ATT&CK Technique and Tactic Mapping
Cet article introduit un cadre d'évaluation sensible aux fuites de données pour la correspondance des alertes d'intrusion d'hôtes Wazuh aux tactiques et techniques de MITRE ATT&CK, démontrant que les méthodes d'évaluation standard surestiment la performance en raison de fuites de données structurelles provenant des identifiants de règles et des modèles d'alertes, tout en montrant que la prédiction au niveau des tactiques reste robuste lorsque ces biais sont contrôlés.
Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le monde numérique, chaque ordinateur et chaque serveur laisse derrière lui une trace d'empreintes numériques chaque fois que quelqu'un interagit avec lui. Ces empreintes sont appelées des alertes, et elles sont le principal moyen pour les équipes de sécurité de savoir que quelque chose d'inhabituel se produit. Imaginez un bâtiment doté de centaines de caméras de sécurité ; chaque fois qu'une porte s'ouvre ou qu'une lumière vacille, une caméra envoie un message à un moniteur central. Dans le domaine cybernétique, ces messages sont générés par des logiciels qui surveillent les activités suspectes, comme une tentative de deviner un mot de passe ou le déplacement de fichiers que l'on ne devrait pas toucher. Pour donner du sens à ce flux d'informations, les experts en sécurité utilisent un langage commun appelé MITRE ATT&CK. Il ne s'agit pas d'un logiciel, mais d'un catalogue massif de comportements criminels connus, organisé comme une bibliothèque où chaque entrée décrit une tactique spécifique qu'un attaquant pourrait utiliser et la technique qu'il emploie pour y parvenir. L'objectif est de traduire les messages informatiques bruts et confus en récits clairs sur ce qu'un attaquant tente de faire, permettant ainsi aux défenseurs de comprendre la menace et de l'arrêter.
Cependant, une nouvelle étude suggère que la manière dont les chercheurs ont testé leur capacité à traduire ces messages pourrait être fondamentalement erronée. Emad Sherif, un chercheur de l'Université de De Montfort, a cherché à savoir si des programmes informatiques pouvaient associer avec succès ces alertes de sécurité brutes au catalogue de comportements criminels. L'étude a été menée dans un « Cyber Range », un environnement numérique contrôlé qui imite un véritable réseau d'entreprise mais qui est isolé du monde extérieur. À l'intérieur de ce bac à sable numérique, le chercheur a mis en place une simulation où un attaquant se déplaçait à travers le réseau, effectuant des actions telles que la recherche de failles, le vol de mots de passe et la dissimulation de ses traces. Le logiciel de sécurité, connu sous le nom de Wazuh, a enregistré chaque alerte générée lors de cette attaque, créant un ensemble de données de plus de deux mille messages. Le défi consistait à voir si une intelligence artificielle pouvait examiner ces messages et identifier correctement quel comportement du catalogue ils représentaient.
Le chercheur a découvert que les tentatives précédentes pour résoudre ce problème reposaient probablement sur des raccourcis involontaires, bien qu'involontaires. Dans de nombreuses expériences informatiques, les données sont divisées de manière aléatoire en un groupe d'entraînement et un groupe de test. L'ordinateur apprend à partir du groupe d'entraînement, puis est testé sur le groupe de test inédit pour voir comment il généralise. Dans ce type spécifique de données de sécurité, cependant, les alertes ne sont pas des phrases uniques écrites par des humains ; elles sont générées par des règles fixes. Si une règle stipule « alerter lorsqu'un mot de passe échoue », elle produira exactement le même texte à chaque fois que cet événement se produit. L'étude a révélé que, dans l'ensemble de données, le texte de l'alerte et la règle qui l'a créée étaient si parfaitement liés au comportement criminel spécifique qu'un ordinateur pouvait simplement mémoriser la règle et deviner la réponse avec une grande précision. C'était comme un étudiant passant un examen où la question elle-même contient la réponse. Si la même règle apparaissait à la fois dans les groupes d'entraînement et de test, l'ordinateur n'apprenait pas réellement à reconnaître le comportement ; il reconnaissait simplement le modèle de la règle.
Pour corriger cela, le chercheur a modifié les règles de l'expérience. Au lieu de diviser les données de manière aléatoire, il a regroupé les alertes par la règle spécifique qui les a générées. Cela signifiait que si une règle particulière était utilisée pour entraîner l'ordinateur, cette même règle était totalement interdite lors de la phase de test. L'ordinateur devait apprendre la signification sous-jacente du comportement sans pouvoir compter sur le raccourci de la reconnaissance du modèle de la règle elle-même. Lorsque ce test plus strict a été appliqué, la performance de l'ordinateur a chuté de manière significative, révélant que les scores élevés précédents étaient effectivement gonflés. Les résultats ont montré que, si l'ordinateur pouvait toujours identifier des catégories larges d'attaques, telles que le « vol d'identifiants » ou la « dissimulation de preuves », il peinait à identifier les techniques précises et détaillées lorsqu'il ne pouvait plus s'appuyer sur la mémorisation des modèles de règles.
L'étude a conclu que traduire les alertes de sécurité brutes en une image claire du comportement criminel est possible, mais seulement si l'évaluation est faite avec un soin extrême pour prévenir ces raccourcis structurels. L'ordinateur était plus performant pour identifier l'objectif général d'une attaque, comme le fait qu'un attaquant tente de voler des données ou de perturber des services, que pour identifier la méthode précise utilisée. Cela suggère que pour les équipes de sécurité, ces alertes sont plus utiles pour comprendre l'intention globale d'un intrus que les détails minutieux de ses outils. La recherche sert d'avertissement crucial pour le domaine : sans contrôler ces motifs cachés dans les données, les outils conçus pour protéger les réseaux pourraient paraître bien plus capables qu'ils ne le sont réellement. La voie à suivre consiste à construire des systèmes capables de comprendre le contexte d'une alerte au-delà de son texte répétitif, garantissant que lorsqu'une équipe de sécurité voit un avertissement, celui-ci est basé sur des preuves réelles d'une menace plutôt que sur un artefact statistique de la manière dont les données ont été collectées.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.