FuseChain: Runtime Evidence Reconstruction for Software Supply-Chain Attacks

Sintesi Tecnica: FuseChain

Problematica

Gli attacchi alla supply-chain del software (SSC) sono sempre più caratterizzati da comportamenti multi-stadio, cross-source e temporalmente distribuiti. A differenza del tradizionale malware in fase di esecuzione, i moderni attacchi SSC frammentano le prove tra diverse sorgenti di telemetria: log dei pacchetti, esecuzione di processi, eventi di sistema, flussi DNS/TLS e traffico di rete. Le singole sorgenti contengono spesso solo tracce deboli o ambigue; ad esempio, una connessione di rete può apparire benigna senza il contesto del processo, o l'esecuzione di un processo può sembrare normale senza la provenienza del pacchetto.

I sistemi di rilevamento runtime esistenti analizzano tipicamente queste sorgenti in modo indipendente o si affidano a modelli grafici statici che non riescono a catturare la dinamica temporale degli eventi. Questa frammentazione rende difficile identificare evidenze di attacco a bassa frequenza o ricostruire il contesto temporale in cui esse appaiono. Inoltre, i sistemi di rilevamento delle intrusioni basati sulla provenienza spesso prendono di mira contesti APT aziendali con flussi di audit densi e centrati sull'host, che non si traducono bene nella natura sparsa, eterogenea e multi-sorgente della telemetria runtime SSC. Una sfida critica identificata è che l'ottimizzazione congiunta del rilevamento delle anomalie con la predizione degli stadi di attacco è inefficace sotto una supervisione degli stadi sparsa e sbilanciata, poiché le etichette degli stadi possono interferire con l'apprendimento delle rappresentazioni incentrate sulle anomalie.

Metodologia

FuseChain è un framework di rilevamento runtime progettato per allineare la telemetria eterogenea in un grafo di provenienza temporale unificato. La metodologia consiste in quattro componenti primari:

1. Grafo di Provenienza Temporale Multi-Sorgente

FuseChain normalizza la telemetria grezza (da gestori di pacchetti, host, reti e alert) in uno schema canonico di eventi temporali tipizzati. Ogni evento è rappresentato come una tupla contenente tempo dell'evento unificato, entità sorgente/destinazione, tipi di relazione, evidenza multi-attributo e l'identificatore della sorgente di telemetria. Questi eventi sono mappati su un asse temporale degli eventi unificato per costruire un grafo eterogeneo temporale. Il framework supporta sia archi osservati (direttamente dai log) che archi derivati (dipendenze temporali basate su regole) per arricchire il contesto del grafo senza introdurre nuove osservazioni.

2. Rilevamento delle Anomalie Auto-Supervisionato

Il cuore di FuseChain è un rilevatore di anomalie su grafi temporali auto-supervisionato basato su una Rete di Grafi Temporali (TGN).

• Protocollo di Addestramento: Il modello è addestrato su un prefisso storico cronologico di telemetria benigna utilizzando la predizione di link temporali. Impara a predire interazioni future basandosi sugli stati di memoria dei nodi storici.
• Indipendenza dalle Etichette: Fondamentalmente, il backbone delle anomalie è addestrato senza utilizzare annotazioni IOC o etichette degli stadi di attacco. Ciò evita che la supervisione sparsa e sbilanciata degli stadi corrompa l'apprendimento della rappresentazione comportamentale.
• Scoring: I punteggi di anomalia sono derivati dalla log-verosimiglianza negativa degli eventi osservati sotto la dinamica normale appresa. Gli eventi che sono difficili da predire ricevono punteggi più elevati.

3. Interpretazione degli Stadi Decoupled (Disaccoppiata)

Per affrontare la sfida delle etichette degli stadi scarse, FuseChain disaccoppia il rilevamento delle anomalie dall'interpretazione degli stadi.

• Backbone Congelato: Dopo l'addestramento, il backbone delle anomalie viene congelato.
• Decoder Leggero: Un decoder separato e leggero viene addestrato sopra il backbone congelato per predire gli stadi di attacco osservabili. Questo design tratta la ricostruzione dello stadio come un compito di interpretazione a valle, preservando la qualità delle rappresentazioni comportamentali apprese pur consentendo la classificazione a livello di stadio.

4. Recupero e Ricostruzione Adattiva

Per mitigare il problema in cui gli alti punteggi di anomalia sono concentrati in strutture benigne ripetute (evidenza ridondante), FuseChain impiega strategie di recupero adattivo. Queste strategie (ad esempio, PairDedupe, SourceQuota, Adaptive) selezionano gli eventi con il ranking più alto in base alla diversità in termini di sorgente, pattern o tuple di entità, piuttosto che sul solo punteggio grezzo. Ciò assicura che la catena di attacco ricostruata copra un set più ampio di stadi osservabili senza modificare il detector sottostante.

Contributi Chiave

1. Framework FuseChain: Un framework di rilevamento SSC runtime che unifica diverse sorgenti di telemetria in un grafo di provenienza temporale per la modellazione delle evidenze cross-source.
2. Apprendimento delle Anomalie Auto-Supervisionato: Un detector di grafi temporali che apprende rappresentazioni incentrate sulle anomalie da telemetria con prefisso benigno senza fare affidamento su etichette di stadi di attacco durante la fase di addestramento.
3. Architettura Disaccoppiata: Dimostrazione empirica che la ricostruzione degli stadi di attacco implementabile è più efficace quando trattata come un compito a valle su un backbone di anomalie congelato, piuttosto che come un obiettivo ottimizzato congiuntamente.
4. Tracciabilità IOC e Ricostruzione: Introduzione di meccanismi per il recupero della catena di attacco rivolti all'analista, inclusi collegamenti espliciti tra le interazioni del grafo e i record di telemetria originali, e la ricostruzione degli stadi di attacco osservabili.
5. Valutazione Comprensiva: Valutazione attraverso sette scenari di attacco SSC nel dataset SynthChain, mostrando miglioramenti significativi nella ricostruzione degli stadi e nelle prestazioni di rilevamento.

Risultati Sperimentali

Gli autori hanno valutato FuseChain su sette scenari di attacco SSC utilizzando il dataset SynthChain, che contiene telemetria runtime multi-sorgente con evidenze di attacco multi-stadio sparse.

• Prestazioni di Rilevamento: FuseChain ha superato i baseline a singola sorgente (solo audit, solo rete, solo alert) e i baseline di grafi multi-sorgente statici (GraphSAGE, RGCN) in termini di AUROC media macro, AUPRC e Precision@500.
• Ricostruzione degli Stadi:
  • Joint vs. Decoupled: L'ottimizzazione congiunta del rilevamento delle anomalie e della predizione degli stadi ha prodotto un Stage Recall@500 di 0.369. Al contrario, l'approccio disaccoppiato con un decoder a backbone congelato ha raggiunto un Stage Recall@500 di 0.881.
  • Recupero Adattivo: L'applicazione di strategie di recupero adattivo agli eventi con il ranking più alto ha aumentato il recall degli stadi osservabili dallo 0.524 (baseline by_k) allo 0.655 senza modificare il detector.
• Generalizzazione: In una valutazione cross-scenario Leave-One-Scenario-Out (LOSO), FuseChain ha mantenuto segnali di ranking delle anomalie utili, suggerendo che i pattern di provenienza temporale possono trasferirsi tra diversi scenari SSC.
• Robustezza: L'aggiornamento di regole deboli (ad esempio, l'aggiunta di regole per l'esecuzione di setup.py) ha aumentato la copertura di comportamenti specifici senza causare regressioni significative nel rilevamento.

Significato e Asserzioni

Il paper afferma che una difesa efficace della SSC runtime richiede il ragionamento temporale su evidenze eterogenee distribuite su più sorgenti. Il significato primario di FuseChain risiede nella separazione architettonica tra l'apprendimento delle anomalie comportamentali e l'interpretazione degli stadi di attacco implementabile.

Gli autori sostengono che le etichette degli stadi sparse e sbilanciate interferiscono con l'apprendimento di rappresentazioni delle anomalie robuste quando utilizzate congiuntamente. Congelando il backbone delle anomalie e trattando la predizione degli stadi come un compito a valle, FuseChain preserva la qualità del rilevamento migliorando significativamente la capacità di ricostruire gli stadi di attacco osservabili. I risultati evidenziano che il disaccoppiamento di questi compiti è essenziale per gestire la scarsità e la diversità inerenti alla telemetria reale della supply-chain del software.

Il lavoro si pone come un complemento, piuttosto che un sostituto, degli strumenti di analisi statica e di scansione delle dipendenze, concentrandosi specificamente sulla fase di rilevamento runtime dopo il deployment. Gli autori notano che la qualità della ricostruzione è limitata dalla disponibilità della telemetria; gli stadi senza evidenze supportate da IOC nei log raccolti rimangono inosservabili, e il sistema è progettato per fondere sensori complementari runtime piuttosto che agire come un detector standalone specifico per una singola sorgente.