From Telemetry to Techniques: Behavior-Centric MITRE ATT&CK Technique Classification Through Sysmon Event Correlation
Questo articolo propone un framework incentrato sul comportamento che ricostruisce gli eventi Sysmon in sequenze correlate tramite GUID per migliorare la classificazione delle tecniche MITRE ATT&CK, dimostrando che la preservazione del contesto a livello di processo supera il raggruppamento temporale e che un modello baseline SecureBERT ottiene risultati superiori senza una mitigazione esplicita dello squilibrio delle classi.
Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immagina di essere un detective che cerca di risolvere un mistero in una città enorme e caotica. La città è il tuo computer, e i "sospettati" sono i criminali informatici che cercano di entrarvi. Per molto tempo, i detective (i sistemi di sicurezza) hanno cercato di catturare questi criminali cercando specifici "poster dei ricercati" pre-scritti. Controllavano se un criminale aveva un volto specifico (un hash) o indossava un cappello specifico (un indirizzo IP). Ma i criminali moderni sono astuti; cambiano i volti e i cappelli costantemente, quindi i vecchi poster non funzionano più.
Questo articolo suggerisce un nuovo modo per catturarli: invece di guardare un singolo scatto fotografico, dobbiamo osservare l'intera storia di ciò che fanno.
Il Libro degli Indizi: Sysmon
I ricercatori hanno utilizzato un quaderno speciale chiamato Sysmon. Pensa a Sysmon come a una guardia giurata iper-osservatrice che annota tutto ciò che accade nella città del computer. Registra quando un programma parte, quando un file viene creato, quando viene fatta una connessione a internet e persino quando qualcuno cerca di cambiare furtivamente l'orario di un file (come un ladro che cancella le proprie impronte digitali da una porta).
Il problema? La guardia scrive troppo. È come avere un diario con 427.774 voci, ma la maggior parte di esse è solo rumore. Per dare un senso a tutto ciò, i ricercatori hanno dovuto pulire il diario e raggruppare le voci in storie significative.
I due modi per raggruppare gli indizi
I ricercatori hanno testato due diversi modi per cucire insieme queste voci sparse di un diario in una storia coerente, per vedere quale aiutasse a identificare la "mossa" del criminale (chiamata una tecnica MITRE ATT&CK).
1. Il Metodo dell'Albero Genealogico (Correlazione basata su GUID)
Immagina che ogni programma che viene eseguito sul computer riceva una tessera d'identità permanente e immutabile chiamata GUID. Anche se il programma si chiude e ne inizia uno nuovo con lo stesso nome, riceve una nuova tessera. La vecchia tessera rimane con l'albero genealogico del programma.
- Come funziona: I ricercatori hanno collegato tutti gli indizi che appartenevano allo stesso ID card. Se un programma genitore (come
explorer.exe) avviava un programma figlio, e quel figlio apriva un file e poi chiamava un numero di telefono, il sistema collegava tutto insieme perché condividevano lo stesso ID familiare. - Il Risultato: Questo metodo era come avere un albero genealogico completo delle azioni del criminale. Mostrava esattamente chi ha fatto cosa e in quale ordine, preservando le relazioni tra gli eventi.
2. Il Metodo del "Timestamp" (Correlazione basata sul tempo)
Questo metodo ignorava gli alberi genealogici e guardava semplicemente l'orologio.
- Come funziona: I ricercatori hanno detto: "Se due cose sono accadute entro un secondo l'una dall'altra, devono essere correlate". Hanno raggruppato gli eventi accaduti vicini nel tempo.
- Il Risultato: Questo era come guardare una folla di persone e assumere che chiunque si trovi vicino a qualcun altro sia parte della stessa squadra. Sebbene a volte sia vero, questo metodo mancava le connessioni più profonde. Due eventi non correlati potrebbero accadere contemporaneamente per coincidenza, o l'azione di un criminale potrebbe essere distribuita su alcuni secondi, rompendo la regola del "un secondo".
Il Verdetto: Gli Alberi Genealogici vincono
L'articolo ha testato un enorme esperimento, simulando attacchi informatici in un laboratorio controllato utilizzando uno strumento chiamato Atomic Red Team. Hanno fornito queste "storie" a diversi tipi di detective (modelli di machine learning) per vedere chi riusciva a indovinare meglio la tecnica del criminale.
La Grande Scoperta:
Il metodo dell' "Albero Genealogico" (basato su GUID) ha costantemente superato il metodo del "Timestamp" (basato sul tempo) in ogni ambito.
- Il miglior detective è stato un'IA super intelligente chiamata SecureBERT (un modello linguistico specializzato per la cybersecurity).
- Quando SecureBERT leggeva le storie dell' "Albero Genealogico", raggiungeva un'accuratezza di 0,586 (il che significa che dava la risposta corretta circa il 58,6% delle volte).
- Quando leggeva le storie del "Timestamp", la sua accuratezza scendeva a 0,504.
L'articolo argomenta esplicitamente contro l'idea che basti raggruppare gli eventi per tempo. Suggerisce che senza l' "albero genealogico" (la linea di discendenza dei processi), si perde il contesto cruciale di come un'azione abbia portato a un'altra. L'articolo ha anche scoperto che per i modelli di IA più avanzati (i Transformer), cercare di "correggere" i dati creando esempi falsi aggiuntivi (una tecnica chiamata SMOTE) in realtà peggiorava le cose o non aiutava. La strategia migliore era lasciare che l'IA imparasse dalle storie reali e non alterate dell' "Albero Genealogico".
Il "Chi" e il "Cosa"
I ricercatori hanno testato molte diverse tecniche criminali (come "T1059: Command and Scripting Interpreter" o "T1218: System Binary Proxy Execution").
- Le Vittorie Facili: Alcune tecniche erano super facili da individuare. Ad esempio, T1588 (Obtain Capabilities) è stata identificata con un punteggio perfetto di 1,00 (accuratezza del 100%). È come un criminale che indossa un'insegna al neon con scritto "Sono un criminale".
- I Casi Difficili: Alcune tecniche erano quasi impossibili da distinguere. T1553 (Subvert Trust Controls) ha ottenuto un punteggio di 0,00, il che significa che l'IA non è riuscita a trovare un singolo caso corretto. L'articolo nota che molte tecniche, specialmente quelle che riguardano l' "Evasione della Difesa" (nascondersi), appaiono così simili nei log che anche la migliore IA si confonde. È come cercare di distinguere due gemelli che indossano maschere identiche.
La Conclusione
Questo articolo non sostiene di aver risolto il crimine informatico per sempre. È uno studio di simulazione, non un rapporto da una vera zona di guerra. Tuttavia, suggerisce fortemente che se volete capire cosa sta facendo un hacker, non dovete limitarti a guardare un elenco di eventi accaduti vicini nel tempo. Dovete ricostruire la linea di discendenza dei processi — l'albero genealogico del software.
Utilizzando il metodo basato sui GUID per collegare gli eventi e fornendo loro a un modello SecureBERT senza cercare di bilanciare artificialmente i dati, si ottiene l'immagine più chiara dell'attacco. È un promemoria del fatto che nel mondo digitale, il contesto è fondamentale, e sapere chi è imparentato con chi conta più di sapere semplicemente quando si sono presentati.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.