Noise Contrastive Estimation-based Matching Framework for Low-Resource Security Attack Pattern Recognition
Dit artikel stelt een op Noise Contrastive Estimation gebaseerd neuraal matching-framework voor dat TTP-mapping herformuleert als een semantische gelijkenistaak om de uitdagingen van grote labelruimtes, scheve distributies en hiërarchische complexiteit bij de herkenning van aanvalspatronen in omgevingen met weinig middelen te overwinnen.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de digitale wereld fungeren cybersecurity-experts als de bewakers van onze informatie, die constant scannen op tekenen van indringing. Om dit effectief te doen, vertrouwen zij op een uitgebreide bibliotheek van bekende aanvallingsmethoden, een gestandaardiseerde catalogus genaamd Tactics, Techniques, and Procedures, of TTP's. Beschouw dit als de specifieke zetten in het speelboek van een crimineel: een tactiek is het doel, zoals het stelen van gegevens of het gijzelen van een systeem; een techniek is de methode die wordt gebruikt om dat doel te bereiken, zoals het versturen van een misleidende e-mail of het verbergen van een bestand; en een procedure is de exacte stapsgewijze uitvoering van die methode. Security-analisten lezen duizenden rapporten geschreven door andere experts, waarin wordt beschreven hoe hackers systemen hebben binnengedrongen. Hun taak is om deze narratieven te lezen en de beschreven acties te koppelen aan de juiste vermeldingen in de catalogus. Dit proces, bekend als TTP-mapping, is cruciaal omdat het verdedigers in staat stelt patronen te herkennen, toekomstige aanvallen te voorspellen en hun verdediging te versterken. De catalogus is echter enorm en bevat honderden technieken en duizenden variaties, en de rapporten zelf zijn vaak geschreven in complexe, ongestructureerde taal die niet expliciet de gebruikte technieken benoemt.
Jarenlang hebben onderzoekers geprobeerd computers te leren om deze koppelingsopdracht automatisch uit te voeren. De standaardaanpak is geweest om dit te behandelen als een meerkeuzetoets, waarbij de computer de juiste techniek moet kiezen uit een enorme lijst met mogelijkheden voor elke zin of alinea die hij leest. Deze methode loopt grote problemen op omdat de lijst met keuzes zo lang is en het aantal beschikbare voorbeelden voor training zo klein is. Het is alsof je een student vraagt een woordenboek uit het hoofd te leren en vervolgens het juiste woord voor een verhaal moet kiezen zonder het verhaal ooit eerder gezien te hebben. De computer raakt overweldigd door het enorme aantal opties en worstelt met het leren van de subtiele verschillen tussen hen, vooral voor zeldzame of ongebruikelijke aanvallingsmethoden die zelden in de trainingsdata voorkomen.
Een team van onderzoekers bij Huawei R&D in München heeft een andere manier voorgesteld om dit probleem op te lossen. In plaats van de computer te dwingen om uit een gigantische lijst met opties te kiezen, hebben ze de taak geherdefinieerd als een matchingsspel. In deze nieuwe aanpak probeert de computer niet elke mogelijke techniek te rangschikken tegen een tekst. In plaats daarvan leert het de mate te meten waarop de betekenis van een tekstfragment overeenkomt met de beschrijving van een specifieke techniek. Het systeem neemt een paragraaf uit een dreigingsrapport en vergelijkt deze direct met de geschreven beschrijving van een techniek uit de catalogus. Als de betekenissen vergelijkbaar zijn, wijst het systeem een hoge score toe; als ze verschillend zijn, wijst het een lage score toe. Dit verschuift de focus van het memoriseren van een enorme lijst naar het begrijpen van de relatie tussen twee stukken tekst.
Om dit werkend te krijgen met beperkte data, hebben de onderzoekers een slimme trainingsmethode ontwikkeld. Ze tonen de computer niet elke enkele techniek tegelijk, wat te traag en verwarrend zou zijn. In plaats daarvan presenteren ze een tekst en een paar willekeurige technieken om mee te vergelijken. Sommige van deze technieken zijn de juiste match, terwijl anderen onjuist zijn. De computer leert om de score van de juiste match hoger te maken en de scores van de onjuiste matches lager. De onderzoekers verfijnden dit proces met twee specifieke aanpassingen om de rommeligheid van echte data op te vangen. Ten eerste pasten ze de training aan om ervoor te zorgen dat de computer aandacht besteedt aan de totale groep onjuiste opties zonder in de war te raken door hun interne volgorde. Ten tweede leerden ze het systeem om vergevingsgezinder te zijn voor fouten in de trainingsdata. Omdat menselijke experts soms een techniek in een rapport missen bij het labelen, leerde het systeem om sommige "foute" antwoorden als potentieel correct te behandelen, waardoor het niet te rigide werd.
De resultaten van dit nieuwe framework werden getest tegenover verschillende bestaande methoden met behulp van echte cybersecurity-rapporten. De onderzoekers creëerden een nieuwe dataset van door experts geannoteerde paragrafen om een eerlijke test te garanderen, die meer labels per sample bevatte dan eerdere datasets. Toen ze de experimenten uitvoerden, presteerde hun matching-gebaseerde aanpak consequent beter dan de traditionele methoden die probeerden tekst in vaste categorieën te classificeren. Het nieuwe systeem was bijzonder goed in het identificeren van de juiste technieken, zelfs wanneer de rapporten complex waren of de technieken zeldzaam waren. Het slaagde erin de juiste matches vaker te vinden dan de oudere modellen, die de weg kwijtraakten in de enorme hoeveelheid mogelijkheden.
De studie onthulde ook dat de omvang van de trainingsdata minder belangrijk is dan de kwaliteit van de matching-logica. Zelfs met een relatief klein aantal gelabelde voorbeelden leerde het systeem goed te generaliseren naar nieuwe, ongeziene rapporten. Dit suggereert dat het vermogen om de semantische verbinding tussen een dreigingsbeschrijving en een techniek te begrijpen krachtiger is dan simpelweg het memoriseren van een grote lijst associaties. De onderzoekers ontdekten dat hun methode het beste werkte wanneer het de volledige paragraaf tekst kon bekijken in plaats van alleen geïsoleerde zinnen, waardoor de volledige context van de aanval werd gevangen. Door te focussen op de directe relatie tussen de tekst en de techniekbeschrijving, vermeed het systeem de valkuilen van het proberen te dwingen van een complex, genuanceerd probleem in een rigide classificatiebox.
Uiteindelijk biedt dit werk een efficiënter pad voor het automatiseren van de analyse van cyberdreigingen. Het demonstreert dat door de manier waarop het probleem wordt geformuleerd te veranderen — van een enorme selectietaak naar een directe vergelijkingstaak — computers complexe aanvallingspatronen kunnen herkennen, zelfs wanneer data schaars is. Deze aanpak verbetert niet alleen de snelheid van de analyse; het verbetert de nauwkeurigheid, waardoor beveiligingsteams kunnen vertrouwen op geautomatiseerde tools om de specifieke methoden te identificeren die aanvallers gebruiken. Naarmate cyberdreigingen blijven evolueren en complexer worden, zal het hebben van een systeem dat de subtiele connecties in dreigingsrapporten kan begrijpen, een essentiële tool zijn voor het beveiligen van digitale infrastructuur. De onderzoekers hebben hun nieuwe dataset en methoden beschikbaar gesteld aan de gemeenschap, in de hoop verdere vooruitgang in dit cruciale veld te stimuleren.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.