From Threat Intelligence to Detection: Knowledge-driven Enrichment and Template-based Rule Grounding for Automated Sigma Rule Generation
Questo articolo introduce AUTOSIGMA, un framework automatizzato che trasforma l'intelligence sulle minacce cyber non strutturata in regole Sigma azionabili combinando l'arricchimento guidato dalla conoscenza, il grounding basato su template e la validazione basata su LLM per superare i limiti di scalabilità e accuratezza della creazione manuale delle regole.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nel mondo ad alta posta in gioco della cybersecurity, i difensori si trovano spesso a reagire agli attacchi molto tempo dopo che sono iniziati. Le informazioni su questi attacchi arrivano solitamente sotto forma di rapporti dettagliati scritti da esperti di intelligence. Questi documenti descrivono come gruppi criminali sofisticati, noti come Advanced Persistent Threats (APT), si infiltrano nelle reti, si muovono all'interno e rubano dati. Tuttavia, questi rapporti sono scritti in linguaggio naturale, ricchi di dettagli narrativi e contesto umano, il che li rende difficili da leggere e da elaborare immediatamente da parte dei computer. Per fermare un attacco in tempo reale, i sistemi di sicurezza hanno bisogno di istruzioni specifiche chiamate regole di rilevamento (detection rules). Queste regole agiscono come filtri precisi, scansionando milioni di eventi digitali per trovare i pattern esatti di una specifica minaccia. Creare queste regole manualmente è un processo lento e soggetto a errori che richiede una profonda competenza, e nel momento in cui un analista umano finisce di scrivere una regola per una nuova minaccia, gli attaccanti potrebbero aver già cambiato i loro metodi.
La sfida principale risiede nel colmare il divario tra un racconto scritto da un essere umano su un attacco e il codice tecnico rigido di cui un computer ha bisogno per dare la caccia alla minaccia. I team di sicurezza hanno bisogno di un modo per tradurre automaticamente queste narrazioni non strutturate in logica di rilevamento azionabile senza perdere la sfumatura che rende reale la minaccia. Se questa traduzione potesse essere automatizzata, le organizzazioni potrebbero implementare le difese nel momento stesso in cui una nuova minaccia viene scoperta, invece di dover attendere giorni o settimane per l'analisi manuale. Questo è il problema che un team di ricercatori ha cercato di risolvere sviluppando un nuovo sistema progettato per leggere i rapporti sulle minacce e generare istantaneamente le necessarie salvaguardie digitali.
I ricercatori hanno creato un sistema chiamato AUTOSIGMA, che funge da traduttore automatico tra l'intelligence umana e la difesa delle macchine. Invece di chiedere semplicemente a un computer di indovinare le regole basandosi su una descrizione testuale, il sistema segue un processo meticoloso e multi-fase che imita il modo in cui ragionerebbe un esperto umano, ma con la velocità di una macchina. Per prima cosa, il sistema legge il rapporto grezzo sulla minaccia e lo scompone, identificando i protagonisti chiave, gli strumenti utilizzati e i passaggi specifici compiuti dagli attaccanti. Successivamente, va oltre consultando vasti database esterni di vulnerabilità note e tecniche di attacco per colmare eventuali dettagli mancanti. Se un rapporto menziona una specifica falla del software ma non spiega come funzioni, il sistema cerca quella falla in un database globale per comprenderne appieno il comportamento. Ciò garantisce che il sistema abbia un quadro completo dell'attacco, anche se il rapporto originale era vago o incompleto.
Una volta compreso l'intero ambito dell'attacco, il sistema lo suddivide in piccoli passaggi individuali. Un singolo attacco potrebbe coinvolgere decine di azioni, e cercare di catturarle tutte in un'unica regola sarebbe inefficace. Separando l'attacco in parti atomiche, il sistema può creare una regola specifica per ogni passaggio, rendendo il rilevamento molto più preciso. La fase successiva è quella in cui il sistema attinge all'esperienza collettiva della comunità di sicurezza. Cerca attraverso una libreria massiccia e costantemente aggiornata di regole di rilevamento esistenti per trovare quelle simili ai passaggi appena identificati. Pensate a un maestro costruttore che osserva una libreria di progetti collaudati prima di costruire una nuova casa; il sistema utilizza questi modelli esistenti e verificati come fondamenta. Questo evita che il sistema inventi regole da zero che potrebbero essere difettose o mancare l'obiettivo, assicurando che le nuove regole siano basate su una logica che è già stata testata dagli esperti.
Con una solida base e una chiara comprensione della minaccia, il sistema genera quindi la regola di rilevamento effettiva. Tuttavia, non si ferma qui. I ricercatori hanno progettato un meccanismo di controllo unico in cui due modelli di intelligenza artificiale lavorano insieme in un ciclo. Un modello agisce come il creatore, scrivendo la regola basata sui dettagli della minaccia e sul modello scelto. Il secondo modello agisce come un giudice severo, revisionando la regola per vedere se ha senso, se segue il corretto formato tecnico e se riuscirà effettivamente a catturare la minaccia senza causare falsi allarmi. Se il giudice trova un errore, rimanda la regola al creatore con un feedback specifico su come correggerla. Questo ciclo si ripete finché la regola non è perfetta. Questo processo di scambio è fondamentale perché intercetta errori che un singolo modello potrebbe mancare, come un dettaglio mancante o una lacuna logica, garantendo che l'output finale sia abbastanza affidabile da essere utilizzato nei sistemi di sicurezza reali.
I ricercatori hanno testato questo sistema utilizzando rapporti del mondo reale provenienti da alcuni dei più famosi gruppi di criminalità informatica della storia, tra cui APT41, APT28 e APT29. Hanno confrontato le regole generate da AUTOSIGMA con quelle prodotte da altri strumenti automatizzati e con gli output di modelli linguistici avanzati utilizzati autonomamente. I risultati hanno dimostrato che il loro sistema è stato significativamente migliore nel produrre regole che fossero tecnicamente corrette e pertinenti alle specifiche minacce descritte. È riuscito a coprire una maggiore quantità di tecniche di attacco note ed è stato più robusto nel gestire rapporti scarsamente formattati o privi di dettagli. Lo studio suggerisce che combinando l'intelligence esterna, i modelli di regole esistenti e un rigoroso processo di auto-controllo, è possibile automatizzare la creazione di regole di rilevamento di alta qualità. Questo approccio non solo velocizza il processo, ma migliora la qualità della difesa, permettendo ai team di sicurezza di rispondere alle minacce in evoluzione con un livello di precisione e velocità che i metodi manuali non possono eguagliare.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.