Behavior-Specialized Anomaly Detection for Improving Alert Quality in Provenance-Based Intrusion Detection
Cet article introduit Targeter, un cadre spécialisé par comportement qui partitionne les processus système en catégories et entraîne des auto-encodeurs de graphes légers dédiés pour chacun, atteignant ainsi un compromis précision-rappel supérieur et une meilleure qualité d'alerte dans la détection d'intrusions basée sur la provenance, tout en maintenant une faible surcharge de calcul.
Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Dans le monde numérique, chaque action effectuée par un ordinateur laisse une trace, tout comme des empreintes dans la neige. Lorsqu'un utilisateur ouvre un fichier, exécute un programme ou envoie un message, le système enregistre qui a fait quoi, quand et avec quels outils. Les experts en sécurité utilisent ces enregistrements pour construire une carte de cause à effet, montrant comment un événement mène à un autre. Cette carte est appelée un graphe de provenance. Depuis des années, des chercheurs tentent d'utiliser ces cartes pour repérer les cyberattaques, espérant trouver les étapes cachées qu'un intrus emprunte pour voler des données ou endommager un système. Le défi, cependant, est que ces cartes sont incroyablement vastes et complexes. Un seul ordinateur peut générer des millions de ces connexions en un court laps de temps, et la plupart d'entre elles sont parfaitement normales. Lorsqu'un système de sécurité tente de trouver les acteurs malveillants au sein d'une telle foule immense, il s'embrouille souvent. Il peut déclencher une alerte pour un fichier inoffensif simplement parce qu'il semble légèrement inhabituel, ou il peut manquer un processus dangereux parce qu'il se cache parmi des millions d'autres processus ordinaires. Le résultat est souvent un déluge de fausses alertes qui submergent les analystes humains, ou pire, un échec silencieux à voir une attaque qui est déjà en cours.
Une équipe de chercheurs de l'Université de technologie de Sharif en Iran a proposé une nouvelle façon de résoudre ce problème en changeant la manière dont l'ordinateur analyse les données. Au lieu d'essayer d'apprendre à un seul programme informatique géant à comprendre chaque type possible d'activité sur une machine, ils ont décidé de diviser le problème en morceaux plus petits et plus gérables. Ils ont réalisé que différents types de programmes informatiques se comportent de manières très distinctes. Un navigateur Web, par exemple, ouvre naturellement des connexions réseau et lit des types de fichiers spécifiques. Un outil système qui gère l'horloge se comporte différemment, et un shell de ligne de commande utilisé par les administrateurs possède son propre rythme unique. Lorsqu'un modèle de détection unique tente d'apprendre le comportement « normal » de tous ces différents programmes à la fois, il peine à faire la distinction entre une variation inoffensive et une véritable menace.
Pour remédier à cela, les chercheurs ont créé un système qu'ils appellent Targeter. Ce système commence par trier chaque programme exécutant sur un ordinateur dans des groupes spécifiques basés sur ce qu'il fait réellement. Un navigateur Web va dans un groupe, un éditeur de texte dans un autre, et un service système dans un troisième. Une fois les programmes triés, le système entraîne un détecteur spécialisé et distinct pour chaque groupe. Le détecteur pour les navigateurs Web apprend uniquement à quoi ressemble un comportement normal de navigateur. Le détecteur pour les services système apprend uniquement à quoi ressemble un comportement système normal. Parce que chaque détecteur est concentré sur un groupe d'activités étroit et cohérent, il devient bien meilleur pour repérer lorsqu'un élément de ce groupe agit de manière étrange. Il ne cherche pas à être un expert en tout ; il est un expert sur une chose spécifique.
Les chercheurs ont testé cette approche en utilisant des données du programme DARPA Transparent Computing, une collection de journaux système réels comprenant des activités normales et des cyberattaques sophistiquées. Ils ont comparé leur nouveau système à plusieurs méthodes existantes qui sont actuellement considérées comme les meilleures dans le domaine. Les résultats ont montré que Targeter trouvait un meilleur équilibre entre la capture des attaques réelles et l'évitement des fausses alertes. Les systèmes précédents devaient souvent choisir entre être très stricts et manquer de nombreuses attaques, ou être très lâches et signaler des milliers de programmes innocents comme suspects. Targeter a réussi à capturer une plus grande partie des étapes d'attaque réelles tout en maintenant le nombre de fausses alertes à un niveau suffisamment bas pour être utile aux enquêteurs humains. Dans un test impliquant un ensemble de données de plus d'un million d'événements système, le nouveau système a identifié nettement plus de nœuds liés à des attaques que ses concurrents sans noyer l'analyste sous le bruit.
Un aspect clé du succès a été la manière dont le système traite les données après la détection initiale. Les chercheurs ont ajouté une étape finale où le système examine les connexions entre les éléments suspects trouvés. S'il repère un fichier suspect qui est lié à un processus suspect, il ajoute ce fichier à la liste des éléments à investiguer, même si le fichier lui-même ne semblait pas étrange en soi. Cela aide à garantir que l'enquête couvre l'intégralité du chemin de l'attaque, plutôt que de simples fragments isolés. L'équipe a également vérifié la puissance de calcul requise par cette nouvelle méthode. Ils ont constaté qu'elle était rapide et efficace, fonctionnant de manière fluide sur des processeurs d'ordinateurs standards sans nécessiter de matériel spécialisé coûteux. Cela suggère que l'approche pourrait être pratique pour une utilisation dans le monde réel, et pas seulement dans un laboratoire de recherche.
L'étude suggère que la voie à suivre pour la détection des cyberattaques n'est pas nécessairement de construire des modèles plus grands et plus complexes, mais de construire des modèles plus intelligents et plus ciblés. En reconnaissant qu'un navigateur Web et un utilitaire système sont fondamentalement différents, et en dotant chacun de son propre observateur dédié, le système obtient une vue plus claire de ce qui ne va pas réellement. Les chercheurs ont noté que bien que leur méthode fonctionne bien, elle repose actuellement sur l'intervention humaine pour définir les catégories de programmes. À l'avenir, ils espèrent développer un moyen pour que le système découvre ces catégories par lui-même. Pour l'instant, cependant, ce travail démontre que prêter attention à la nature spécifique de ce que fait un programme, plutôt qu'à sa simple forme dans un graphe de données, peut mener à des alertes de sécurité beaucoup plus précises et fiables.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.