Riepilogo Tecnico: PHANTOM – Adattamento Polimorfico degli Honeytoken con Mimetismo Organizzativo Su Misura Narrativa

1. Enunciato del Problema

Gli honeytoken – asset digitali esca progettati per rilevare accessi non autorizzati – sono un primitivo consolidato nella deception informatica. Tuttavia, gli strumenti esistenti di generazione (ad esempio Canarytokens, HoneyBadger) si basano su metodi statici e basati su modelli che mancano di specificità organizzativa. Sebbene questi token siano spesso sintatticamente validi, sono semanticamente vuoti. Attaccanti esperti e scanner automatizzati (come trufflehog, gitleaks e classificatori basati su ML) possono identificarli facilmente perché non riescono a mimetizzare i nomi di dominio specifici, le convenzioni di denominazione dei servizi, gli idiomi dello stack tecnologico e le distribuzioni dei valori segreti di un'organizzazione target.

Il documento individua tre lacune critiche negli approcci attuali:

1. Contesto Mancante: Le credenziali reali sono profondamente incorporate nel contesto organizzativo (ad esempio, nomi di ruoli IAM che corrispondono ad architetture di servizi specifiche), assente nei modelli generici.
2. Il Divario Semantico: Evidenze empiriche suggeriscono che, mentre i token basati su modelli raggiungono un'alta validità sintattica, falliscono significativamente nella coerenza semantica, che è il principale fattore differenziante tra credenziali reali e esche.
3. Resistenza al Rilevamento: Anche i token ricchi di contesto falliscono se gli scanner automatizzati li segnalano prima che un attaccante li incontri. Gli strumenti attuali non evadono adeguatamente le euristiche moderne di rilevamento basate su statistiche e machine learning.

2. Metodologia: Il Framework PHANTOM

PHANTOM (Polymorphic Honeytoken Adaptation with Narrative-Tailored Organisational Mimicry) è un framework che genera honeytoken contestualmente convincenti codificando conoscenze specifiche dell'organizzazione in una pipeline di generazione multi-componente.

2.1 Profilo Organizzativo

Il sistema opera su un Profilo Organizzativo ($O$) strutturato contenente:

• Nomi di dominio e nomi brevi.
• Elenco dei servizi e tipi/ospiti di database.
• Regioni cloud e dettagli dell'organizzazione Git.
• Emittenti e destinatari JWT.

2.2 Pipeline di Generazione Contestuale

A differenza dei generatori statici, PHANTOM impiega generatori dedicati ($G_t$) per otto diversi tipi di token (inclusi chiavi AWS, file di ambiente, JWT e token di bot Slack). Il principio di progettazione fondamentale è l'iniezione di contesto a livello di valore:

• Ogni campo denominato (nomi utente IAM, nomi di database, hostnames Redis, URL remoti Git) è derivato direttamente dal profilo organizzativo.
• La pipeline evita chiamate API esterne, garantendo che possa essere distribuita in ambienti isolati o classificati.
• Progettazione Consapevole degli Scanner: I generatori sono esplicitamente ingegnerizzati per eludere tre euristiche primarie degli scanner:
  • Regex/Pattern ($S_1$): Sostituisce le stringhe generiche a bandiera rossa (ad esempio "example.com") con valori derivati dall'organizzazione.
  • Analisi dell'Entropia ($S_2$): Mimetizza il profilo di entropia mista dei file reali (secret ad alta entropia accanto a valori leggibili dall'uomo a bassa entropia) piuttosto che un'entropia alta uniforme.
  • Classificatori ML ($S_3$): Incorpora impronte digitali specifiche dell'organizzazione (domini, nomi di servizi) per contrastare i classificatori addestrati a rilevare la mancanza di contesto.

2.3 Metriche di Valutazione

Il documento formalizza la qualità del token attraverso un Punteggio di Credibilità ($B$) e un Punteggio Composito dell'Honeytoken ($H$):

• Punteggio di Credibilità ($B$): Un composito ponderato di quattro componenti:
  1. Validità Sintattica ($S_v$): Formato corretto per il tipo di token.
  2. Coerenza Semantica ($S_c$): Adattamento contestuale al profilo organizzativo.
  3. Normalità Statistica ($S_n$): Proprietà di entropia e distributive che corrispondono alle credenziali reali.
  4. Accettazione Umana ($S_h$): Frazione di valutatori esperti che classificano il token come genuino.
• Resistenza al Rilevamento ($DR$): Definita come $1 - P_d$, dove $P_d$ è la probabilità di rilevamento da parte di un ensemble ponderato di modelli di scanner ($S_1, S_2, S_3$).
• Punteggio Composito ($H$): Bilancia credibilità e resistenza al rilevamento ($H = B^\lambda \cdot DR^\mu$).

3. Setup Sperimentale

• Dataset: 32 token PHANTOM e 32 token di base basati su modelli generati attraverso 8 tipi di token e 4 contesti organizzativi (FinTech, Sanità, Difesa, E-commerce).
• Baseline: Un generatore di modelli statico che utilizza valori segreti casuali ma nessun contesto organizzativo (equivalente a Canarytokens).
• Valutazione:
  • Automatizzata: Tre modelli di scanner (Regex, Entropia, Classificatore ML) applicati a tutti i token.
  • Umana: Valutatori esperti hanno classificato i token come genuini o esche.
  • Statistica: Test t di Welch a due campioni con correzione di Bonferroni; le dimensioni dell'effetto sono riportate come $d$ di Cohen.

4. Risultati Chiave

PHANTOM supera significativamente la baseline basata su modelli in tutte le metriche primarie:

Metrica	Baseline Modello	PHANTOM	$\Delta$	Significatività
Credibilità ($B$)	$0.576 \pm 0.058$	$0.778 \pm 0.057$	$+0.203$	$p < 0.001$ ($d=3.52$)
Validità Sintattica ($S_v$)	$0.842$|$0.876$|$+0.034$	Non Significativa
Coerenza Semantica ($S_c$)	$0.396$|$0.705$|$+0.309$|$p < 0.001$($d=4.52$)
Accettazione Umana ($S_h$)	$6.2\%$	$100.0\%$	$+93.8\%$	$p < 0.001$
**Resistenza al Rilevamento ($DR$)** |$0.609$|$0.870$|$+0.261$|$p < 0.001$($d=7.49$)

• Coerenza Semantica come Motore: Il miglioramento più grande è stato nella coerenza semantica ($\Delta S_c = +0.309$), confermando che il contesto organizzativo è l'ingrediente critico mancante. La validità sintattica non ha mostrato differenze significative, indicando che la correttezza del formato è una condizione necessaria ma insufficiente per la deception.
• Accettazione Umana: Il 100% dei token PHANTOM ha superato la soglia degli esperti umani ($B \ge 0.65$), rispetto al solo 6.2% dei modelli.
• Resistenza al Rilevamento: I token PHANTOM sono stati significativamente più difficili da rilevare in tutti e tre i modelli di scanner, con il miglioramento più drammatico contro i classificatori basati su ML (la probabilità di rilevamento è scesa dal 54.1% al 16.2%).
• Ottimalità Pareto: Il 100% dei token PHANTOM è rientrato nella "zona ideale" ($B \ge 0.70$ e $DR \ge 0.70$), mentre solo il 6.2% dei token modello lo ha fatto.

5. Significato e Affermazioni

Il documento afferma che PHANTOM affronta la limitazione fondamentale della generazione attuale di honeytoken: l'assenza di specificità organizzativa.

• Contributo Primario: L'introduzione di un framework formale del Punteggio di Credibilità che integra dimensioni sintattiche, semantiche, statistiche e umane, dimostrando che la coerenza semantica è il motore dominante della qualità della deception.
• Vantaggio Operativo: Operando senza chiamate API esterne, PHANTOM è completamente distribuibile in ambienti isolati (ad esempio, reti governative classificate, sistemi di controllo industriale) dove l'accesso alle API cloud è proibito, offrendo un livello di qualità paragonabile agli approcci basati su LLM senza la dipendenza dalla rete.
• Impatto Strategico: Il framework fornisce il componente "esca" di alta qualità necessario per una pipeline completa di deception e attribuzione post-esfiltrazione, complementando sistemi esistenti come Passive Hack-Back e sistemi di re-identificazione longitudinale.

Gli autori concludono che i futuri sforzi per la qualità dei generatori devono spostare il focus dalla correttezza del formato (validità sintattica) all'incorporamento semantico, poiché quest'ultimo è il fattore primario che determina se un honeytoken è indistinguibile da una credenziale legittima.