Network-Centric Ransomware Intrusion Detection Framework

Nel mondo digitale, un tipo specifico di minaccia si è evoluto da semplice fastidio in una crisi globale. Per decenni, i software malevoli noti come ransomware hanno preso in ostaggio i dati informatici, criptando i file e richiedendo un pagamento per il loro rilascio. Sebbene i software di sicurezza installati sui singoli computer possano spesso bloccare questi programmi prima che inizino, attaccanti astuti hanno imparato a nascondere le proprie azioni, eludendo queste difese. Quando un computer è già compromesso, l'unica visione rimanente di ciò che sta accadendo deriva spesso dal network stesso — il flusso di dati che si muove tra le macchine. È qui che risiede l'ultima linea di difesa. Osservando il traffico che scorre tra un computer e i server centrali dove vengono archiviati i dati, gli esperti di sicurezza sperano di individuare la firma unica di un attacco in corso, anche se il programma malevolo tenta di travestirsi.

Un team di ricercatori della La Trobe University in Australia ha sviluppato un nuovo modo per osservare questo traffico digitale, creando un framework progettato per intercettare il ransomware che ha già violato un sistema. Il loro approccio va oltre la semplice ricerca di attori malintenzionati noti e si concentra invece sul comportamento dei dati stessi. Hanno introdotto un metodo che chiamano "Traffic of Interest" (Traffico di Interesse), che agisce come un filtro per raggruppare specifici pacchetti di informazioni che raccontano una storia su ciò che un computer sta facendo. Invece di analizzare ogni singolo pezzo di dato che attraversa una rete, il che può essere travolgente e lento, questa tecnica isola i momenti critici in cui un computer legge, scrive o modifica file su un'unità condivisa. Concentrandosi su questi momenti cruciali, il sistema può distinguere tra un utente che sta semplicemente effettuando il backup del proprio lavoro e un programma malevolo che sta criptando tutto ciò che incontra.

I ricercatori hanno costruito un ambiente di test per vedere se questo metodo potesse funzionare nel mondo reale. Hanno allestito una rete virtuale con un server di file e diversi computer client, introducendo poi una vasta gamma di famiglie di ransomware, che spaziano dai ceppi più vecchi alle varianti più recenti scoperte tra il 2013 e il 2022. Fondamentalmente, non hanno testato questi attacchi solo contro un'attività informatica normale e tranquilla. Hanno anche eseguito applicazioni benigne che effettuano operazioni pesanti sui file, come la compressione di grandi cartelle, la criptazione di dati per la privacy o la copia di enormi quantità di file. Queste azioni legittime possono talvolta sembrare molto simili al ransomware, e molti sistemi di rilevamento precedenti hanno faticato a distinguerle, scatenando spesso falsi allarmi. Addestrando il loro sistema a riconoscere le sottili differenze tra un utente che comprime un file e un virus che ne cripta uno, i ricercatori miravano a creare un rilevatore che fosse allo stesso tempo sensibile alle minacce e calmo rispetto all'attività normale.

I risultati dei loro esperimenti sono stati sorprendenti. Quando il sistema è stato testato contro l'intero spettro degli attacchi, ha identificato correttamente il ransomware con una precisione di quasi il 99,64 percento. Forse la cosa più importante è che ha fallito nel rilevare un attacco ransomware solo una volta ogni mille tentativi, un tasso così basso da essere effettivamente zero. Ciò significa che il sistema raramente perde una minaccia. Allo stesso tempo, raramente dava il falso allarme; ha erroneamente segnalato un'applicazione innocua solo quattro volte ogni cento mila controlli. I ricercatori hanno anche dimostrato che questo rilevamento può avvenire molto presto in un attacco. Analizzando i primi decine di momenti di attività sospetta, il sistema poteva identificare l'intrusione con una precisione del 99,44 percento, spesso prima che il danno fosse compiuto. Questa capacità di preavviso precoce è vitale, poiché offre agli amministratori il tempo di fermare l'attacco prima che i dati critici vadano perduti.

Oltre al modello di machine learning che alimenta il rilevamento, il team ha anche scoperto un insieme di indizi comportamentali, noti come indicatori di compromissione, che sono unici per il ransomware. Questi non sono semplici elenchi di indirizzi o nomi di file dannosi, che gli attaccanti possono facilmente cambiare. Sono invece schemi nel modo in cui i dati si muovono. Ad esempio, i ricercatori hanno scoperto che il ransomware crea spesso un tipo specifico di file di messaggio con una dimensione costante per dire alla vittima cosa fare, e segue una sequenza molto specifica di comandi quando blocca i file. Questi schemi rimangono visibili anche quando gli attaccanti cercano di nascondere le proprie tracce. Il team ha raccolto questi schemi in un repository che può essere utilizzato come firma per le minacce note, offrendo un secondo livello di difesa che lavora in parallelo al modello di machine learning.

Lo studio sfida esplicitamente l'idea che i metodi di rilevamento precedenti fossero sufficienti. Gli autori sostengono che molti studi precedenti si basassero su dataset che non includevano applicazioni legittime che si comportano come il ransomware, portando a risultati eccessivamente ottimistici che non reggerebbero in un ufficio frenetico. Hanno inoltre notato che molti strumenti esistenti dipendono dalla visione di dati non criptati, il che sta diventando meno comune man mano che le reti adottano una crittografia più forte. Il loro framework, tuttavia, è stato testato utilizzando traffico sia criptato che non criptato, dimostrando di poter vedere attraverso il rumore indipendentemente dalle impostazioni di sicurezza. Concentrandosi sul comportamento effettivo delle operazioni sui file piuttosto che sul codice statico del virus, i ricercatori hanno fornito un modo più robusto per proteggere le reti. Il lavoro suggerisce che, sebbene il ransomware continuerà a evolversi, osservare il flusso di dati con un occhio attento a specifici schemi comportamentali offre una via affidabile per fermarlo.