Semantic-Aware Advanced Persistent Threat Detection Using Autoencoders on LLM-Encoded System Logs

Sintesi Tecnica: Rilevamento di APT Semanticamente Consapevole mediante Autoencoder su Log di Sistema Codificati tramite LLM

Definizione del Problema
Le Advanced Persistent Threats (APT) rappresentano una sfida critica per la sicurezza informatica a causa della loro natura furtiva, a lungo termine e "low-and-slow". Gli attaccanti spesso utilizzano tecniche di "living off the land", sfruttando strumenti di sistema legittimi (ad esempio, PowerShell, WMI) per mescolare le attività malevole con normali compiti amministrativi. I metodi di rilevamento tradizionali, inclusi gli approcci statistici e le tecniche di machine learning superficiali come Isolation Forest (IForest), One-Class Support Vector Machines (OC-SVM) e Principal Component Analysis (PCA), si affidano pesantemente sulla frequenza dei token o sulle proprietà statistiche. Questi metodi "superficiali" non riescono a catturare l'intento semantico e le relazioni contestuali all'interno dei log di sistema. Di conseguenza, faticano a distinguere tra azioni amministrative benigne e attacchi sofisticati quando la probabilità statistica delle voci di log è simile. Inoltre, l'enorme volume di log di sistema non strutturati rende impossibile l'analisi manuale, rendendo necessario un rilevamento automatico delle anomalie che comprenda il significato dietro i dati piuttosto che solo la loro frequenza.

Metodologia: Il Framework MPNet-AE
Il documento propone MPNet-AE, un framework di rilevamento delle anomalie non supervisionato che colma il divario tra i log di sistema grezzi e la comprensione semantica. La metodologia procede attraverso tre fasi primarie:

1. Provenienza dei Dati e Conversione Testuale:
   Il framework utilizza il dataset DARPA Transparent Computing (TC), che contiene tracce di provenienza granulari (esecuzione di processi, chiamate di sistema, accessi ai file, comunicazioni di rete). Questi log grezzi vengono normalizzati e trasformati in descrizioni in linguaggio naturale strutturato. Ad esempio, un record di processo viene convertito in una frase come: "Processo 1054 ha avviato /bin/bash e si è connesso al socket 192.168.1.5:80 e ha modificato /etc/passwd." Questa conversione cattura le relazioni contestuali (ad esempio, collegamenti padre-figlio tra processi, interazioni di rete) che vanno perse nei formati di log grezzi.

2. Generazione di Embedding Semantici:
   Invece di utilizzare caratteristiche basate su token standard o varianti precedenti di BERT, il sistema impiega il modello pre-addestrato all-mpnet-base-v2 (basato sull'architettura MPNet di Microsoft). Questo modello, che combina il Masked Language Modeling (MLM) e il Permuted Language Modeling (PLM) con il fine-tuning contrastivo, codifica le frasi generate in linguaggio naturale in vettori densi semantici ad alta dimensionalità (768 dimensioni). Questi embedding rappresentano la semantica comportamentale di alto livello delle attività di sistema piuttosto che semplici parole chiave superficiali.

3. Rilevamento delle Anomalie tramite Autoencoder:
   Gli embedding semantici vengono inseriti in un Autoencoder (AE) vanilla. L'AE è addestrato esclusivamente su embedding derivati da comportamenti di sistema benigni (normali). L'architettura consiste in un encoder che comprime l'input a 768 dimensioni nello spazio latente a 128 dimensioni, e un decoder che ricostruisce l'input originale.

   • Meccanismo di Rilevamento: Durante l'inferenza, il modello calcola l'errore di ricostruzione (Mean Squared Error) per ogni campione. Poiché l'AE è addestrato solo su dati normali, ricostruisce i pattern benigni con un errore basso. Le attività malevole o anomale, che possiedono strutture semantiche diverse, risultano in errori di ricostruzione elevati. Viene applicata una soglia a questi errori per classificare i campioni come anomalie.

Contributi Chiave

1. Framework Innovativo: Gli autori propongono una transizione dal rilevamento delle anomalie statistico a quello semantico, integrando modelli transformer pre-addestrati (specificamente MPNet) con autoencoder per rilevare le APT basandosi sulle differenze semantiche piuttosto che sulla frequenza.
2. Valutazione Comparativa: Lo studio fornisce una rigorosa valutazione comparativa rispetto a tre baseline non supervisionate consolidate: Isolation Forest, OC-SVM e PCA.
3. Utilizzo di Dataset: La ricerca sfrutta i dataset del progetto DARPA TC (inclusi gli scenari 5DIR, CADETS, CLEARSCOPE, THEIA e TRACE), che sono benchmark riconosciuti contenenti scenari di attacco APT realistici e altamente sbilanciati generati da red team.

Risultati Sperimentali
Il framework è stato valutato su cinque distinti contesti di provenienza (ProcessEvent, ProcessExec, ProcessParent, ProcessNetflow e ProcessAll) attraverso molteplici sistemi operativi (BSD, Windows, Linux, Android).

• Metriche di Performance: La performance è stata misurata tramite l'Area Under the Receiver Operating Characteristic Curve (AUC-ROC), una metrica adatta per dati altamente sbilanciati dove gli eventi malevoli costituiscono meno dello 0,004% dei record.
• Vantaggio Comparativo: L'approccio MPNet-AE ha superato costantemente le baseline tradizionali (IForest, OC-SVM, PCA). In 11 casi su 23 condizioni sperimentali, il modello ha raggiunto punteggi AUC superiori a 0,95.
• Robustezza: Le visualizzazioni tramite t-SNE hanno confermato che le attività normali formano cluster compatti, mentre le anomalie appaiono come punti isolati nello spazio semantico. Il modello ha dimostrato particolare robustezza in scenari complessi e rumorosi (ad esempio, TRACE ProcessNetflow), dove i metodi tradizionali come OC-SVM hanno subito cali di performance.
• Convergenza: Le curve di addestramento hanno indicato una rapida convergenza con un minimo overfitting, validando la capacità del modello di generalizzare i pattern di comportamento normale.

Significatività e Rivendicazioni
Il documento afferma che l'integrazione della comprensione semantica con la modellazione basata sulla ricostruzione offre un vantaggio decisivo nel rilevamento delle APT. Catturando l'intento e il contesto delle attività di sistema, il framework MPNet-AE può identificare comportamenti di attacco sottili, non lineari e furtivi che spesso sfuggono alle tecniche convenzionali basate sulle proprietà statistiche. Gli autori sostengono che questo approccio affronti efficacemente i limiti dell'apprendimento "superficiale" di fronte a minacce sofisticate e a bassa frequenza.

Lo studio conclude che, sebbene l'attuale framework sia efficace, il lavoro futuro dovrebbe concentrarsi sul fine-tuning di modelli linguistici specificamente sui log di cybersecurity, sull'esplorazione di dipendenze temporali e basate su grafi per attacchi multi-stadio, e sull'integrazione di meccanismi di spiegabilità per l'implementazione pratica in ambienti aziendali reali.