LLMs for Zero-Shot Threat Detection via Structured Risk Indicators
Questo articolo propone un framework LLM a due stadi che sfrutta la generazione aumentata dal recupero per creare indicatori di rischio strutturati e interpretabili dalle timeline delle attività degli utenti, raggiungendo lo stato dell'arte nel rilevamento zero-shot di minacce interne e APT dimostrando che la qualità di tali indicatori è il principale motore delle prestazioni.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nelle fortezze digitali delle moderne organizzazioni, i sistemi di sicurezza osservano costantemente alla ricerca di intrusi. Alcuni di questi sistemi scansionano il traffico che scorre tra i computer, cercando modelli sospetti nel flusso di dati. Altri siedono direttamente sui computer stessi, monitorando ciò che accade all'interno: chi accede, quali file vengono aperti, quali dispositivi vengono collegati e quali email vengono inviate. Questo monitoraggio interno è cruciale perché le minacce più pericolose provengono spesso dall'interno. Quando un attaccante ruba una password legittima o convince un dipendente ad agire contro l'azienda, può muoversi attraverso il sistema apparendo esattamente come un utente normale. Per catturarli, i team di sicurezza devono distinguere tra una persona che lavora fino a tardi su un progetto e qualcuno che sta silenziosamente rubando dati sensibili, un compito che richiede la comprensione dell'intera storia del comportamento di una persona nel tempo, non solo di un singolo momento.
Un team di ricercatori dell'Università del Queensland ha sviluppato un nuovo modo per aiutare i computer a fare questa distinzione senza dover necessitare di anni di addestramento su esempi specifici di cattiva condotta. Invece di chiedere a un computer di guardare un ammasso disordinato di log di sicurezza grezzi e gridare immediatamente "minaccia" o "sicuro", hanno costruito un sistema a due fasi che agisce più come un attento analista. Per prima cosa, il sistema organizza l'attività di un utente in una linea temporale e chiede a un potente modello linguistico di tradurre quella linea temporale in un elenco chiaro e strutturato di fattori di rischio. Chiede al modello di identificare cose specifiche che potrebbero essere errate, come l'accesso a file in orari insoliti o la connessione a server strani. Successivamente, un secondo modello osserva la sequenza di questi elenchi di rischio nel tempo per individuare modelli che suggeriscono che un attacco si stia sviluppando. Questo approccio consente al sistema di rilevare sia le minacce interne, dove un dipendente fidato diventa malevolo, sia le minacce persistenti avanzate, dove un sofisticato attaccante esterno si nasconde nella rete per molto tempo.
I ricercatori hanno testato questo metodo su due diversi set di dati di sicurezza. Un dataset simulava uno scenario di minaccia interna coinvolgendo quasi cento dipendenti nell'arco di diciotto mesi, catturando tutto, dagli scambi di email ai trasferimenti di file. L'altro dataset simulava un attacco esterno furtivo su una rete, tracciando migliaia di connessioni tra computer. In entrambi i casi, il nuovo sistema ha superato significativamente il precedente miglior metodo che si basava su modelli linguistici. Sui dati della minaccia interna, il nuovo approccio ha migliorato la capacità di identificare correttamente gli attacchi riducendo al contempo i falsi allarmi di oltre undici punti percentuali. Sui dati dell'attacco alla rete, il miglioramento è stato ancora più drammatico, con un salto di oltre trentuno punti percentuali. La chiave di questo successo non è stata solo l'uso di un cervello informatico più grande, ma il cambiamento del modo in cui le informazioni venivano elaborate. Costringendo il primo modello a scomporre i log complessi in indicatori di rischio semplici e interpretabili prima di prendere un giudizio finale, il sistema è diventato molto più bravo a individuare le sottili differenze tra il lavoro normale e l'attività malevola.
Una delle scoperte più interessanti è stata come il sistema abbia gestito la necessità di contesto. I ricercatori hanno scoperto che, per i modelli linguistici più piccoli e meno potenti, fornire un riassunto del comportamento passato dell'utente aiutava a generare indicatori di rischio molto migliori. Era come se il modello avesse bisogno di vedere la storia dell'utente per capire cosa fosse insolito nel momento presente. Tuttavia, per i modelli più grandi e capaci, questo contesto storico aggiuntivo faceva poca differenza; erano già in grado di generare indicatori di rischio di alta qualità autonomamente. Ciò suggerisce che la qualità della valutazione del rischio iniziale è il fattore più importante per catturare queste minacce. Se il primo passo del processo produce un'immagine chiara e accurata del pericolo, il secondo passo può facilmente riconoscere il modello di attacco. Se il primo passo è vago o confuso, il sistema fatica, indipendentemente da quanto sia potente il classificatore finale.
Lo studio ha anche rivelato che il modo in cui i dati vengono raggruppati conta immensamente. Il sistema funziona meglio quando osserva tutte le attività di una singola persona come una storia continua, piuttosto che guardare eventi isolati o connessioni tra macchine. Quando i ricercatori hanno provato a raggruppare i dati per la connessione tra due computer invece che per la persona che li utilizzava, le prestazioni del sistema sono scese significativamente. Questo perché il comportamento di un attaccante è definito dalle sue azioni attraverso molti strumenti e log diversi, e solo guardando l'immagine completa il sistema può vedere l'intera portata della minaccia. I ricercatori hanno notato che, mentre il sistema era eccellente nel individuare le minacce interne nel primo dataset, il secondo dataset, che coinvolgeva attacchi di rete molto furtivi, presentava una sfida più difficile in cui i segnali erano molto più deboli. Eppure, l'approccio strutturato ha comunque fornito una solida base per il rilevamento, provando che scomporre i dati di sicurezza complessi in pezzi gestibili e interpretabili è una strategia potente.
In definitiva, questo lavoro dimostra che il futuro del rilevamento automatizzato delle minacce potrebbe non risiedere nell'addestrare i computer a memorizzare ogni possibile attacco, ma nell'insegnare loro a ragionare sul comportamento in modo strutturato. Usando i modelli linguistici per tradurre i dati grezzi in chiari indicatori di rischio e poi analizzando tali indicatori nel tempo, i sistemi di sicurezza possono diventare più accurati e affidabili. Le scoperte suggeriscono che la configurazione più efficace dipende dal tipo specifico di minaccia che si sta cacciando e dalle capacità dei modelli utilizzati, ma il principio fondamentale rimane lo stesso: la chiarezza nei passaggi intermedi porta a decisioni migliori nel risultato finale. Questo approccio offre una strada promettente per proteggere le organizzazioni sia contro l'insider che si volta contro di loro, sia contro l'esterno che cerca di nascondersi in piena vista.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.