Nel mondo digitale, i team di sicurezza sono costantemente bombardati da flussi di dati provenienti da computer e server. Questi log registrano ogni azione compiuta da una macchina: l'apertura di un file, l'avvio di un programma, l'instaurazione di una connessione. Per anni, l'obiettivo della cybersicurezza è stato quello di ricomporre questi appunti sparsi per vedere il quadro generale di un attacco. La sfida è che gli appunti sono spesso incompleti. Gli attaccanti sono esperti nel nascondere le proprie tracce, eliminando i log o rimescolando l'ordine degli eventi. Inoltre, un singolo'azione di un computer può significare molte cose diverse a seconda del contesto; l'avvio di un programma potrebbe essere un aggiornamento innocuo o l'inizio di un furto. I metodi tradizionali cercano di risolvere questo problema cercando di far corrispondere modelli specifici a minacce note, ma spesso falliscono quando le prove sono disordinate o quando gli attaccanti usano strumenti familiari in modi nuovi e inaspettati.

Un team di ricercatori della Gachon University in Corea del Sud ha proposto un nuovo modo di pensare a questo problema. Chiamano il loro sistema SCOPE. Invece di cercare di forzare ogni singolo log in una scatola rigida, SCOPE tratta l'analisi come un processo di ragionamento sotto incertezza. Accetta che i dati ricevuti siano difettosi e incompleti, e costruisce un modello capace di gestire parti mancanti senza andare in crisi. I ricercatori hanno testato il loro sistema contro un insieme di trentacinque scenari di attacco noti dove la vera sequenza di eventi era già documentata. Hanno scoperto che SCOPE poteva ricostruire il percorso complessivo di un attacco con un'accuratezza molto superiore rispetto ai metodi esistenti, anche quando metà delle prove digitali era mancante. Ancora più importante, il sistema poteva identificare modelli di attacco complessi mai visti prima, a condizione che tali modelli fossero composti da blocchi costruttivi noti disposti in un nuovo ordine.

La difficoltà principale nell'analizzare questi log è che i singoli eventi sono troppo piccoli per raccontare una storia da soli. Un singolo log potrebbe mostrare la creazione di un file, ma non spiega il perché. Per risolvere questo problema, i ricercatori prima raggruppano eventi correlati in blocchi più grandi e significativi. Cercano eventi che accadono vicini nel tempo, che coinvolgono gli stessi processi informatici o che toccano gli stessi file e connessioni di rete. Questo crea un "gruppo di comportamento" che rappresenta un passaggio coerente di un attacco, come un hacker che cerca di rubare password, piuttosto che un semplice elenco di isolati cambiamenti di file. Questo raggruppamento è progettato per essere robusto; se alcuni eventi nel mezzo mancano o vengono eliminati, il sistema può comunque riconoscere il gruppo perché i pezzi rimanenti sono collegati dal loro contesto condiviso.

Una volta formati questi gruppi, il sistema affronta la sfida successiva: decidere cosa rappresenti effettivamente ciascun gruppo. In passato, i sistemi cercavano di assegnare un'unica etichetta a un gruppo, come "Furto di Password". Se quell'etichetta era errata, l'intera analisi si interrompeva. SCOPE evita questa trappola mantenendo aperte più possibilità contemporaneamente. Per ogni gruppo di comportamento, genera un elenco di potenziali etichette con diversi livelli di probabilità. Non forza una decisione finale immediatamente. Al contrario, mantiene queste opzioni in uno stato di incertezza, permettendo al sistema di considerare l'intero quadro prima di arrivare a una risposta. Questo approccio riconosce che la stessa azione può sembrare cose diverse a seconda di ciò che accade successivamente.

L'ultimo passaggio consiste nel collegare questi gruppi in una catena completa. I ricercatori utilizzano un metodo che valuta quanto bene un comportamento segua un altro basandosi su due fattori principali: il flusso logico di un attacco e la connessione fisica tra di essi. Sanno che certi tipi di azioni avvengono solitamente in un ordine specifico, come ottenere l'accesso a un sistema prima di rubare i dati. Cercano anche legami fisici, come un file creato in un passaggio che viene utilizzato nel successivo. Combinando questi indizi logici e fisici, il sistema può colmare le lacune dove le prove mancano. Se un passaggio è mancante, il sistema non si ferma; semplicemente collega i passaggi sopravvissuti, riconoscendo che il salto è più grande del solito ma comunque possibile. Ciò consente al sistema di ricostruire una storia continua anche quando parti della cronologia sono state cancellate.

I ricercatori hanno testato questo approccio utilizzando un dataset di trentacinque scenari di attacco che includeva registrazioni della verità fondamentale (ground-truth) su ciò che è accaduto esattamente. Hanno confrontato SCOPE con diversi altri metodi all'avanguardia, inclusi i sistemi basati su regole che cercano modelli specifici, i sistemi basati su grafi che mappano le connessioni e i sistemi che utilizzano grandi modelli linguistici per indovinare la storia. SCOPE ha superato tutti loro. Ha identificato correttamente le tecniche specifiche utilizzate negli attacchi circa l'84% delle volte esaminando le prime cinque ipotesi. Misurando quanto bene ricostruiva l'intera sequenza di eventi, ha ottenuto un punteggio di 0,68, significativamente più alto del secondo miglior metodo.

Forse il risultato più significativo è stato il modo in cui il sistema ha gestito i dati mancanti. I ricercatori hanno simulato una situazione in cui fino al 50% degli eventi dei log veniva rimosso casualmente, imitando uno scenario in cui un attaccante riesce a cancellare le proprie tracce. Mentre le prestazioni degli altri sistemi diminuivano drasticamente man mano che i dati sparivano, SCOPE rimaneva stabile. Anche con metà delle prove scomparse, manteneva un punteggio di ricostruzione di circa 0,57, che era comunque superiore al miglior punteggio ottenuto da qualsiasi altro metodo con tutti i dati presenti. Ciò suggerisce che la capacità del sistema di ragionare sull'incertezza e collegare i pezzi di evidenza sopravvissuti lo rende molto più resiliente alla perdita di dati nel mondo reale.

Il sistema ha anche dimostrato la capacità di riconoscere combinazioni di attacchi inediti. Nella cybersicurezza, gli attaccanti spesso prendono strumenti noti e li usano in modi nuovi. I sistemi tradizionali spesso falliscono in questo, poiché sono addestrati solo su sequenze specifiche e note. SCOPE, invece, non si affida alla memorizzazione di sequenze specifiche. Al contrario, comprende la compatibilità di diversi passaggi di attacco. Nei test, ha ricostruito con successo catene coerenti di tecniche note che non erano mai apparse insieme nei dati di addestramento. Ha raggiunto un tasso "coerente-nuovo" di 0,83, il che significa che poteva identificare e collegare correttamente queste nuove combinazioni nell'83% dei casi in cui si verificavano. Ciò indica che il sistema può generalizzare la sua conoscenza verso minacce non viste, a condizione che i componenti individuali siano familiari.

Una scelta di progettazione chiave in SCOPE è come utilizza l'intelligenza artificiale. I ricercatori hanno utilizzato un grande modello linguistico, un tipo di IA capace di comprendere il linguaggio naturale, ma solo per un compito specifico: descrivere i gruppi di comportamento in testo semplice. Il modello non prende le decisioni finali su quale sia l'attacco o su come i pezzi si incastrino. Queste decisioni sono prese da un processo deterministico e matematico che valuta le connessioni tra i passaggi. Questa separazione assicura che il sistema non "allucini" o inventi dettagli che non siano supportati dai dati. Il modello linguistico funge solo da traduttore, trasformando i log grezzi del computer in una descrizione che il sistema di valutazione può comprendere, mentre il sistema di valutazione rimane il giudice rigoroso della catena finale.

I ricercatori riconoscono che il loro lavoro si basa su un dataset controllato e che gli ambienti aziendali del mondo reale sono molto più complessi. Notano che il loro sistema non è un sostituto dei trigger di rilevamento a basso livello, ma piuttosto uno strumento per dare senso ai dati che tali trigger producono. Il sistema è progettato per lavorare con la natura incompleta e rumorosa dei log reali, offrendo un modo per recuperare la narrazione di un attacco anche quando le prove sono frammentate. Trattando l'analisi dell'attacco come un problema di ragionamento sotto incertezza piuttosto che come un semplice abbinamento di modelli, i ricercatori hanno creato un framework che è molto più robusto rispetto ai trucchi che gli attaccanti usano per nascondere le proprie tracce. I risultati suggeriscono che il futuro dell'analisi degli attacchi potrebbe non risiedere nel trovare più dati, ma nel ragionare più efficacemente con i dati rimasti.