GRASP -- Graph-Based Anomaly Detection Through Self-Supervised Classification

Riepilogo Tecnico: GRASP - Rilevamento delle Anomalie Basato su Grafi attraverso Classificazione Auto-Supervisionata

Enunciato del Problema

Gli attacchi di tipo Advanced Persistent Threat (APT) sono sempre più difficili da rilevare a causa della loro natura furtiva, della capacità di adattamento e del ricorso a tecniche "living-off-the-land" (LOTL), in cui gli aggressori sfruttano componenti legittimi del sistema. Sebbene i Sistemi di Rilevamento delle Intrusioni basati sulla Provenienza (PIDS) offrano una difesa promettente catturando relazioni granulari tra i componenti del sistema, le soluzioni attuali presentano limitazioni significative:

1. Dipendenza dalle Soglie: I sistemi esistenti si basano su soglie predefinite o determinate da sottoinsiemi per segnalare le anomalie. Questo approccio limita la stabilità del rilevamento, richiede un'ottimizzazione manuale e comporta il rischio di "data snooping".
2. Trascuratezza degli Esecutabili: Molte opere correlate trascurano il ruolo degli eseguibili dei processi, che sono i principali driver del comportamento del sistema poiché interagiscono con file, reti e altri processi.
3. Instabilità e Riproducibilità: I sistemi più recenti all'avanguardia (ad esempio ORTHRUS, VELOX) mostrano un'elevata instabilità tra una esecuzione e l'altra e spesso non riescono a riprodurre i risultati in modo coerente tra diverse esecuzioni o divisioni del dataset.
4. Copertura Limitata delle Anomalie: I metodi attuali filtrano spesso i "falsi positivi" che potrebbero effettivamente rappresentare attacchi non documentati o cambiamenti nel comportamento normale, portando a una copertura di rilevamento incompleta.

Metodologia: GRASP

Gli autori propongono GRASP (Rilevamento delle Anomalie basato su Grafi attraverso Classificazione Auto-Supervisionata), un PIDS che utilizza la classificazione auto-supervisionata mascherata su grafi di provenienza.

• Costruzione del Grafo: Il sistema trasforma i dati di provenienza (log di audit) in grafi in cui i nodi rappresentano soggetti (processi), file e flussi di rete, mentre gli archi rappresentano le interazioni (lettura, scrittura, esecuzione, ecc.). Il sistema utilizza un vicinato a due salti per catturare sia le dipendenze dirette che quelle indirette, bilanciando le informazioni contestuali con l'efficienza computazionale.
• Compito di Apprendimento Auto-Supervisionato: Invece di prevedere i tipi di arco o le etichette dei nodi basandosi su modelli di attacco, GRASP maschera le informazioni sull'eseguibile di un nodo processo target. Il modello (un encoder di rete di attenzione su grafi combinato con un decoder a perceptron multistrato) viene addestrato a inferire l'eseguibile mascherato basandosi esclusivamente sul contesto del vicinato a due salti del nodo.
• Meccanismo di Rilevamento delle Anomalie:
  • Addestramento: Il modello apprende i modelli di comportamento normale degli eseguibili all'interno dei loro specifici contesti di vicinato.
  • Inferenza: Durante l'inferenza, se il comportamento osservato di un processo si discosta significativamente dal modello appreso del suo eseguibile associato (risultando in una classificazione errata), viene segnalato come anomalia.
  • Clustering: Per gestire comportamenti indistinguibili (ad esempio, eseguibili simili o eventi rari), il sistema raggruppa le classificazioni errate osservate durante l'ultima epoca di addestramento. Questi cluster rappresentano permutazioni benigne, impedendo che vengano segnalate come anomalie durante l'inferenza.
• Ingegneria delle Caratteristiche: Per evitare il "data snooping" e gestire percorsi/IP a lunghezza variabile, il sistema impiega un autoencoder basato su transformer per la codifica della posizione e la codifica one-hot per i tipi di nodo/archo. Gli eseguibili sconosciuti nel vicinato sono rappresentati come vettori nulli.
• Reporting Finestrato nel Tempo: Il sistema elabora i dati utilizzando finestre scorrevoli, generando allarmi basati sul tempo anziché avvisi statici a livello di nodo, facilitando il tracciamento dell'evoluzione delle anomalie.

Contributi Chiave

1. Classificazione Basata sugli Esecutabili: Un approccio innovativo che tratta la previsione dell'eseguibile del processo come compito auto-supervisionato primario, modellando direttamente il comportamento dei processi come nucleo dell'attività di sistema.
2. Rilevamento Senza Soglie: Il sistema elimina la necessità di ottimizzare le soglie o di soglie dipendenti da un set di validazione, affidandosi invece alla distribuzione appresa dal modello e al clustering delle classificazioni errate.
3. Robustezza e Riproducibilità: Gli autori dimostrano che GRASP fornisce risultati coerenti su più esecuzioni, affrontando i problemi di instabilità prevalenti nelle opere correlate recenti.
4. Copertura Migliorata delle Anomalie: Non filtrando le deviazioni che non corrispondono a modelli di attacco noti, GRASP identifica comportamenti potenzialmente maligni non documentati nei dati di verità fondamentale (GT), inclusi i cambiamenti nel comportamento normale.

Risultati e Valutazione

Gli autori hanno valutato GRASP sui dataset DARPA Transparent Computing (TC) e Operationally Transparent Cyber (OpTC), confrontandolo con i sistemi all'avanguardia ORTHRUS e VELOX.

• Rilevamento degli Attacchi: GRASP ha rilevato coerentemente tutti gli attacchi documentati nei dataset in cui il comportamento dell'eseguibile era apprendibile (ad esempio Cadets, OpTC), raggiungendo un Recall degli Attacchi (Arecall) di 1,00 nella maggior parte dei casi.
• Confronto con lo Stato dell'Arte: Mentre ORTHRUS e VELOX spesso ottenevano alta precisione sopprimendo gli allarmi (a volte mancando completamente gli attacchi o affidandosi a singoli veri positivi), GRASP ha segnalato un numero significativamente maggiore di allarmi. Tuttavia, questi allarmi aggiuntivi corrispondevano a deviazioni genuine, inclusi comportamenti anomali non documentati.
• Analisi dei Falsi Positivi: Il sistema ha identificato che una porzione significativa dei "falsi positivi" nelle opere correlate era in realtà costituita da anomalie non documentate. Nel dataset Theia E3, ad esempio, il 39% degli allarmi di GRASP era attribuibile a nuovi eseguibili.
• Studio sugli Attacchi LOTL: In uno scenario modificato in cui gli eseguibili sconosciuti sono stati rimossi per simulare un attacco LOTL puro, GRASP ha mantenuto le capacità di rilevamento, sebbene le prestazioni siano variate in base alla capacità intrinseca di apprendimento del dataset.
• Limitazioni: Il sistema ha avuto difficoltà con il dataset Clearscope (basato su Android) a causa del predominio di singoli eseguibili nei batch e della bassa distinguibilità dei vicinati, risultando in bassi punteggi Macro-F1 durante l'addestramento.

Significato e Affermazioni

Il documento afferma che GRASP rappresenta un cambiamento nella progettazione dei PIDS, spostandosi dai modelli di previsione dei tipi di arco dipendenti dalle soglie verso l'apprendimento auto-supervisionato focalizzato sugli eseguibili. Gli autori affermano che:

• Operatività senza soglie rende il sistema più robusto contro le interferenze e adattabile ad attività sconosciute senza ottimizzazione manuale.
• La previsione degli eseguibili cattura il comportamento del sistema in modo più efficace rispetto alla previsione dei tipi di arco, poiché i processi sono i principali agenti di interazione.
• La riproducibilità è un contributo critico, poiché il sistema fornisce risultati stabili su più esecuzioni, a differenza di lavori precedenti che richiedevano esecuzioni "fortunate" o ottimizzazione di iperparametri specifica per il dataset.
• Utilità Pratica: Sebbene il sistema generi più allarmi rispetto ai concorrenti basati su soglie, riduce il carico di lavoro dell'analista da centinaia di migliaia di eventi grezzi a un numero gestibile di deviazioni ad alta fiducia, molte delle quali rivelano cambiamenti di sistema non documentati o potenziali minacce.

Gli autori concludono che, sebbene il metodo non sia una soluzione miracolosa (in particolare per i dataset con scarsa distinguibilità degli eseguibili), offre un approccio più completo e stabile per il rilevamento degli APT e del comportamento anomalo del sistema.