Behavior-Specialized Anomaly Detection for Improving Alert Quality in Provenance-Based Intrusion Detection
Questo articolo introduce Targeter, un framework specializzato nel comportamento che suddivide i processi di sistema in categorie e addestra dedicati autoencoder grafici leggeri per ciascuna di esse, ottenendo così un rapporto precisione-richiamo superiore e una migliore qualità degli avvisi nel rilevamento delle intrusioni basato sulla provenienza, mantenendo al contempo un basso overhead computazionale.
Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Nel mondo digitale, ogni azione compiuta da un computer lascia una traccia, proprio come impronte nella neve. Quando un utente apre un file, esegue un programma o invia un messaggio, il sistema registra chi ha fatto cosa, quando e con quali strumenti. Gli esperti di sicurezza utilizzano questi registri per costruire una mappa di causa ed effetto, mostrando come un evento ne porti a un altro. Questa mappa è chiamata grafo di provenienza. Per anni, i ricercatori hanno cercato di usare queste mappe per individuare attacchi informatici, sperando di trovare i passaggi nascosti che un intruso compie per rubare dati o danneggiare un sistema. La sfida, tuttavia, è che queste mappe sono incredibilmente vaste e complesse. Un singolo computer può generare milioni di queste connessioni in breve tempo, e la maggior parte di esse è perfettamente normale. Quando un sistema di sicurezza cerca di trovare i malintenzionati in una folla così vasta, spesso si confonde. Potrebbe far scattare un allarme per un file innocuo solo perché appare leggermente insolito, oppure potrebbe mancare un processo pericoloso perché si nasconde tra milioni di processi ordinari. Il risultato è spesso un'ondata di falsi allarmi che travolgono gli analisti umani o, peggio, un fallimento silenzioso nel vedere un attacco che è già in corso.
Un team di ricercatori dell'Università Tecnica di Sharif in Iran ha proposto un nuovo modo per risolvere questo problema cambiando il modo in cui il computer osserva i dati. Invece di cercare di insegnare a un singolo, gigantesco programma per computer di comprendere ogni possibile tipo di attività su una macchina, hanno deciso di scomporre il problema in pezzi più piccoli e gestibili. Si sono resi conto che diversi tipi di programmi informatici si comportano in modi molto distinti. Un browser web, ad esempio, apre naturalmente connessioni di rete e legge tipi specifici di file. Uno strumento di sistema che gestisce l'orologio si comporta diversamente, e una shell a riga di comando utilizzata dagli amministratori ha il proprio ritmo unico. Quando un singolo modello di rilevamento cerca di apprendere il comportamento "normale" di tutti questi diversi programmi contemporaneamente, fatica a distinguere tra una variazione innocua e una vera minaccia.
Per affrontare questo problema, i ricercatori hanno creato un sistema che chiamano Targeter. Questo sistema prima classifica ogni programma in esecuzione su un computer in gruppi specifici basati su ciò che effettivamente fa. Un browser web viene inserito in un gruppo, un editor di testo in un altro e un servizio di sistema in un terzo. Una volta classificati i programmi, il sistema addestra un rilevatore separato e specializzato per ogni gruppo. Il rilevatore per i browser web impara solo cosa costituisce un comportamento normale di un browser. Il rilevatore per i servizi di sistema impara solo cosa costituisce un comportamento normale del sistema. Poiché ogni rilevatore è concentrato su un gruppo di attività ristretto e coerente, diventa molto più bravo a individuare quando qualcosa in quel gruppo si comporta in modo strano. Non sta cercando di essere un esperto di tutto; è un esperto di una cosa specifica.
I ricercatori hanno testato questo approccio utilizzando dati dal programma DARPA Transparent Computing, una collezione di log di sistema del mondo reale che includono sia attività normali che attacchi informatici sofisticati. Hanno confrontato il loro nuovo sistema con diversi metodi esistenti che sono attualmente considerati i migliori nel campo. I risultati hanno mostrato che Targeter ha trovato un migliore equilibrio tra il catturare attacchi reali ed evitare falsi allarmi. I sistemi precedenti spesso dovevano scegliere tra essere molto severi e perdere molti attacchi, o essere molto permissivi e segnalare migliaia di programmi innocenti come sospetti. Targeter è riuscito a catturare una porzione molto più ampia degli effettivi passaggi dell'attacco mantenendo il numero di falsi allarmi abbastanza basso da essere utile per gli investigatori umani. In un test che coinvolgeva un dataset con oltre un milione di eventi di sistema, il nuovo sistema ha identificato significativamente più nodi correlati all'attacco rispetto ai suoi concorrenti, senza sommergere l'analista di rumore.
Una parte chiave del successo è stata il modo in cui il sistema ha gestito i dati dopo il rilevamento iniziale. I ricercatori hanno aggiunto un passaggio finale in cui il sistema osserva le connessioni tra gli elementi sospetti trovati. Se individua un file sospetto che è collegato a un processo sospetto, aggiunge quel file alla lista delle cose da investigare, anche se il file stesso non sembrava strano di per sé. Questo aiuta a garantire che l'indagine copra l'intero percorso dell'attacco, piuttosto che solo frammenti isolati. Il team ha anche controllato quanta potenza di calcolo richiedesse questo nuovo metodo. Hanno scoperto che è veloce ed efficiente, funzionando fluidamente sui processori standard senza la necessità di hardware costoso e specializzato. Ciò suggerisce che l'approccio potrebbe essere pratico per l'uso nel mondo reale, non solo in un laboratorio di ricerca.
Lo studio suggerisce che la strada da seguire per rilevare gli attacchi informatici non è necessariamente costruire modelli più grandi e complessi, ma costruire modelli più intelligenti e focalizzati. Riconoscendo che un browser web e un'utility di sistema sono fondamentalmente diversi, e fornendo a ciascuno il proprio osservatore dedicato, il sistema ottiene una visione più chiara di ciò che è realmente sbagliato. I ricercatori hanno osservato che, sebbene il loro metodo funzioni bene, esso attualmente si affida agli esseri umani per definire le categorie di programmi. In futuro, sperano di sviluppare un modo affinché il sistema possa scoprire queste categorie da solo. Per ora, tuttavia, il lavoro dimostra che prestare attenzione alla natura specifica di ciò che un programma fa, piuttosto che solo alla sua forma in un grafo di dati, può portare ad avvisi di sicurezza molto più precisi e affidabili.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.