Building a Robust Risk-Based Access Control System to Combat Ransomware's Capability to Encrypt

1. Il Problema

La minaccia del ransomware è in continua evoluzione, basandosi sulla capacità di crittografare dati in modo non autorizzato per estorcere riscatti. Le soluzioni di sicurezza tradizionali spesso falliscono perché:

• Sono basate su modelli di controllo degli accessi statici (DAC, RBAC) che non si adattano dinamicamente al rischio.
• Si affidano a tecniche di rilevamento post-evento o a sandboxing, che introducono un elevato overhead computazionale e ritardi nella risposta.
• Mancano di granularità: molte soluzioni si basano solo su tracciamento di chiamate di sistema (syscall) o hypervisor, perdendo dettagli cruciali sul comportamento interno del kernel.

L'obiettivo è creare un sistema in grado di identificare e bloccare l'attività di crittografia malevola in tempo reale, prima che i dati vengano danneggiati, senza interrompere le operazioni legittime di crittografia (es. backup o uso di OpenSSL).

2. Metodologia

Gli autori propongono un'architettura di Controllo degli Accessi Basato sul Rischio (Risk-Based Access Control - RiskBAC) integrata nativamente in Linux tramite SELinux. Il sistema opera su due livelli principali:

A. Raccolta Dati e Tracciamento (ftrace)

Invece di utilizzare eBPF o sandbox, il sistema sfrutta il framework nativo di tracciamento del kernel Linux, ftrace, specificamente il function graph tracer.

• Granularità: Cattura l'esecuzione delle funzioni a livello di kernel, fornendo una visibilità molto più fine rispetto alle sole syscall.
• Dataset: È stato costruito un dataset specializzato tracciando l'esecuzione di applicazioni benigne, strumenti crittografici legittimi (OpenSSL, GnuPG) e campioni di ransomware.
• Feature: I dati includono contatori di risorse (CPU, memoria RSS/VMS, I/O), metriche grafiche (betweenness, clustering coefficient) e frequenze di chiamate a funzioni specifiche del kernel.

B. Rilevamento a Doppio Strato (Dual-Layer Detection)

Il sistema utilizza due rilevatori che consumano lo stesso vettore di 36 feature:

1. Livello Regole ($E_{RULE}$): Un albero decisionale semplice e interpretabile estratto da un modello Random Forest. È progettato per essere veloce e auditable (verificabile).
2. Livello Modello ($E_{ML}$): Un classificatore XGBoost addestrato per massimizzare la precisione nel rilevamento di pattern complessi e sfumati.

C. Integrazione con SELinux e Politiche di Rischio

Il cuore dell'esecuzione è l'integrazione con SELinux (Mandatory Access Control):

• Calcolo del Rischio: Il rischio $R$ è calcolato come $R(x, ctx) = P_{enc}(x) \cdot I(ctx)$, dove $P_{enc}$ è la probabilità di crittografia e $I$ è l'impatto basato sul contesto (utente, applicazione, percorso, tipo di file).
• Meccanismo di Blocco: Due booleani di SELinux (rule_block e ml_block) fungono da "choke point". Se uno dei rilevatori segnala un rischio superiore a una soglia ($\tau$), i daemon in user-space impostano questi booleani, revocando immediatamente i permessi di scrittura/append per i processi nel dominio encryption_t.
• Whitelisting: Il sistema supporta liste bianche contestuali (es. permettere a user1 di usare openssl solo nella sua home directory, ma bloccare lo stesso binario se usato da un altro utente o su percorsi condivisi).

3. Contributi Chiave

1. Tracciamento a livello di Funzione per la Sicurezza: Prima ricerca che trasforma sistematicamente le tracce delle funzioni del kernel (function graph) in decisioni di controllo degli accessi guidate dall'ML.
2. Architettura a Doppio Strato: Combina la velocità e l'interpretabilità delle regole estratte con la potenza predittiva dei modelli ensemble, offrendo un compromesso ottimale tra latenza e accuratezza.
3. Selezione delle Feature e Utility del Difensore: Sviluppo di pipeline di selezione delle feature che bilanciano l'overhead e l'accuratezza, utilizzando una metrica di utilità che penalizza pesantemente i falsi negativi (perdita di dati) rispetto ai falsi positivi.
4. Integrazione Pratica con SELinux: Implementazione di un modulo CIL (Common Intermediate Language) minimale e auditable che permette il blocco dinamico delle scritture senza modificare il kernel Linux.
5. Dataset e Valutazione: Creazione di un dataset basato su ftrace e valutazione su ransomware reali (zero-day rispetto al training) e scenari di stress.

4. Risultati Sperimentali

Le sperimentazioni sono state condotte su un workstation Linux con kernel 6.14, confrontando il prototipo con baseline basate su eBPF e sandbox (Cuckoo).

• Efficacia di Rilevamento:
  • Il sistema a doppio strato (OR logic) ha raggiunto un F1-score di 0.98 e un'Utility del difensore di 2050.
  • Ha rilevato ransomware reali non presenti nel set di addestramento, dimostrando capacità di generalizzazione.
• Latenza e Blocco Precoce:
  • Il rilevamento avviene entro 10-30 ms e dopo pochi kilobyte (10-20 KB) di dati scritti, permettendo un blocco "early-block" prima che la crittografia di massa completi.
  • Il livello regole è più veloce (mediana ~16 ms) rispetto al modello (mediana ~28 ms), ma il modello copre casi complessi che le regole potrebbero perdere.
• Overhead:
  • Il prototipo attuale (in user-space) ha un footprint significativo (RAM ~31-35 GB, picchi CPU al 100% durante I/O intensi) a causa del parsing delle tracce. Tuttavia, gli autori sottolineano che questo è un limite dell'implementazione di prova (POC) e non strutturale; un'implementazione nel kernel (modulo C o eBPF) ridurrebbe drasticamente questo costo.
  • Il tasso di falsi positivi su carichi di lavoro benigni è basso (0.5% - 2%), gestibile tramite le liste bianche contestuali.
• Confronto con Baseline:
  • Rispetto alle sandbox, il sistema offre una latenza di fine-to-fine molto inferiore.
  • Rispetto alle soluzioni eBPF pure, offre una visibilità più ricca (grafi di chiamata) e un'integrazione di policy più flessibile (whitelisting per utente/percorso), pur con una latenza leggermente superiore (ms vs ns), ma accettabile per la difesa in tempo reale.

5. Significato e Implicazioni

Questo lavoro rappresenta un passo avanti significativo nella difesa contro il ransomware:

• Cambio di Paradigma: Sposta la difesa da un approccio puramente reattivo o basato su sandbox a un controllo degli accessi dinamico, probabilistico e integrato nel sistema operativo.
• Bilanciamento Sicurezza/Usabilità: Dimostra che è possibile bloccare l'attività malevola senza interrompere i flussi di lavoro legittimi, grazie al contesto (utente, percorso) e alla probabilità.
• Scalabilità: Sebbene il prototipo richieda ottimizzazioni per l'ambiente enterprise (riduzione dell'overhead di CPU/RAM), l'architettura dimostra la fattibilità di un sistema di difesa "defense-in-depth" che combina tracciamento profondo, intelligenza artificiale e policy di sicurezza native.
• Futuro: Il lavoro apre la strada a implementazioni nel kernel (moduli C o eBPF avanzati) per eliminare l'overhead del user-space, rendendo il sistema pronto per il deployment su larga scala in ambienti critici.

In sintesi, il paper propone una soluzione pratica, spiegabile e adattiva che trasforma il tracciamento del kernel in un meccanismo di enforcement attivo, offrendo una difesa robusta contro la capacità fondamentale del ransomware: la crittografia non autorizzata.