Elke dag wisselen miljarden apparaten gegevens uit over het internet, waardoor een uitgestrekt, onzichtbaar web van communicatie ontstaat. Het grootste deel van dit verkeer is onschadelijk en stroomt als een gestage rivier van routinematige verzoeken en reacties. Echter, verborgen binnen deze stroom bevinden zich kwaadwillende actoren die proberen systemen te doorbreken, informatie te stelen of diensten te verstoren. Het vangen van deze indringers is een constante uitdaging voor beveiligingsteams omdat de aanvallers slim zijn; ze veranderen hun tactieken frequent en bootsen vaak normaal gedrag na om detectie te vermijden. Traditionele beveiligingsinstrumenten vertrouwen op het precies weten hoe een aanval eruitziet, waarbij nieuw verkeer wordt vergeleken met een bibliotheek van bekende dreigingen. Deze aanpak werkt goed voor bekende gevaren, maar faalt wanneer er een nieuw, onbekend type aanval verschijnt. Om dit op te lossen, zijn onderzoekers begonnen met het hanteren van een andere strategie: computers leren begrijpen wat "normaal" is, zodat een afwijking onmiddellijk opvalt, vergelijkbaar met een beveiligingsbeambte die het regelmatige ritme van een gebouw kent en direct merkt wanneer iemand zich op een onbekende manier beweegt.

In een recente studie heeft een team onderzoekers uit Frankrijk een nieuw systeem voorgesteld genaamd GraphIDS om dit probleem aan te pakken. In plaats van te proberen specifieke aanvalspatronen te onthouden, leert hun systeem de natuurlijke structuur van gezond netwerkverkeer. Ze behandelen het netwerk niet als een lijst van geïsoleerde berichten, maar als een levende kaart waar computers de locaties zijn en de gegevens die tussen hen stromen de wegen zijn. Door deze kaart te bestuderen, kan het systeem zien hoe apparaten gewoonlijk met elkaar communiceren. De onderzoekers ontdekten dat ze, door twee krachtige soorten kunstmatige intelligentie te combineren, een model konden bouwen dat dit normale gedrag leert zonder dat daarvoor voorbeelden van aanvallen nodig zijn om op te trainen. Het systeem werkt door te proberen de patronen van het normale verkeer dat het heeft gezien, te recreëren. Wanneer het een stuk verkeer tegenkomt dat vreemd of verdacht is, heeft het moeite om dit te recreëren, en deze strijd signaleert een potentiële dreiging.

De kern van deze nieuwe methode ligt in de manier waarop de onderzoekers de gegevens hebben georganiseerd. Ze namen de ruwe gegevens van het netwerkverkeer, bekend als NetFlow-gegevens, en zetten deze om in een graaf. In deze graaf is elke computer op het netwerk een punt, en elke verbinding tussen twee computers is een lijn. Elke lijn draagt details over het gesprek, zoals hoeveel pakketten er zijn verzonden of wat voor soort gegevens er zijn overgedragen. Het eerste deel van hun systeem, een graph neural network, fungeert als een lokale waarnemer. Het kijkt naar een specifieke verbinding en onderzoekt de directe buren van de computers die betrokken zijn. Het stelt vragen als: "Met wie praat deze computer op dit moment nog meer?" en "Is dit gesprek typerend voor deze groep?" Dit stelt het systeem in staat om de lokale context van een enkele gegevensstroom te begrijpen, waarbij de kleinschalige patronen die het routinematige gedrag definiëren, worden gevangen.

Zodra het systeem deze lokale details heeft begrepen, geeft het de informatie door aan een tweede deel, een transformer-gebaseerde engine die naar het grotere plaatje kijkt. Deze component groepeert veel verbindingen en analyseert hoe zij zich tot elkaar verhouden over het gehele netwerk. Het leert de globale gewoonten van het systeem, zoals welke groepen computers de neiging hebben om frequent met elkaar te communiceren of hoe het verkeer gewoonlijk stroomt tijdens verschillende tijdstippen. Om dit systeem te onderwijzen, gebruikten de onderzoekers een techniek genaamd een masked autoencoder. Stel je voor dat je het systeem een volledige afbeelding van normaal verkeer laat zien, maar dan kleine stukjes ervan verbergt. De taak van het systeem is om te raden hoe de verborgen stukjes eruit zouden moeten zien op basis van de rest van de afbeelding. Omdat het alleen is getraind op veilig, normaal verkeer, wordt het erg goed in het voorspellen van hoe een gezonde verbinding eruit zou moeten zien. Het leert de regels van het spel zo goed dat het de gaten kan invullen voor elke normale stroom die het tegenkomt.

De ware kracht van deze aanpak blijkt naar voren te komen wanneer het systeem iets nieuws tegenkomt. Als een kwaadaardige stroom verschijnt, breekt deze de regels die het systeem heeft geleerd. Wanneer het systeem probeert te voorspellen hoe deze vreemde stroom eruit zou moeten zien op basis van zijn training, faalt het. De voorspelling is slecht, en het verschil tussen wat het systeem verwachtte en wat er daadwerkelijk gebeurde, is groot. De onderzoekers noemen dit verschil een reconstructiefout. In hun testen ontdekten ze dat deze fout een betrouwbaar signaal voor intrusie was. Stromen die deel uitmaakten van een aanval produceerden consequent hoge fouten, terwijl normaal verkeer lage fouten produceerde. Dit stelde het systeem in staat om potentiële dreigingen te signaleren zonder dat het tijdens de trainingsfase ook maar één voorbeeld van een aanval had gezien.

Het team testte hun systeem op twee grote, real-world datasets die miljoenen netwerkstromen uit verschillende omgevingen bevatten. Eén dataset kwam van een kleiner netwerk, terwijl de andere een veel grotere, complexere infrastructuur vertegenwoordigde. In beide gevallen presteerde het systeem met opmerkelijke nauwkeurigheid. Op de kleinere dataset identificeerde het bijna alle aanvallen terwijl het een zeer laag aantal valse alarmen behield. Op de grotere, meer uitdagende dataset presteerde het nog steeds aanzienlijk beter dan bestaande methoden, waarbij het scores behaalde die in sommige maten de perfectie benaderden. De onderzoekers vergeleken hun werk met andere geavanceerde systemen die ook proberen anomalieën te detecteren zonder gelabelde aanvalsdata. Hun systeem rangschikte consequent hoger, wat bewees dat het combineren van het lokale perspectief van het graph neural network met het globale perspectief van de transformer effectiever was dan het gebruik van slechts één van beide benaderingen alleen.

Een van de belangrijkste bevindingen was dat het systeem niet verteld hoefde te worden wat een aanval was om te leren hoe het een aanval kon herkennen. Door zich volledig te concentreren op het reconstrueren van normaal gedrag, leerde het model van nature alles af te wijzen wat daar niet aan voldeed. Dit is een cruciaal voordeel omdat aanvallers in de echte wereld altijd nieuwe trucjes verzinnen, en beveiligingsteams vaak niet genoeg gelabelde data hebben om een computer elke mogelijke variatie van een dreiging te leren. Het GraphIDS-systeem omzeilt dit probleem door de vorm van veiligheid te leren. Als het verkeer er veilig uitziet, kan het systeem het gemakkelijk recreëren. Als het er gevaarlijk uitziet, struikelt het systeem, en die struikeling is het alarm.

De onderzoekers verkenden ook wat er gebeurde als ze bepaalde delen van hun systeem zouden verwijderen. Wanneer ze het grafencomponent weghaalden en het systeem alleen ruwe gegevens voedden, daalde de prestatie, vooral op het grotere, complexere netwerk. Dit toonde aan dat het begrijpen van de verbindingen tussen apparaten essentieel was voor het opsporen van subtiele aanvallen. Op dezelfde manier, wanneer ze de geavanceerde transformer-engine vervingen door een simpelere, werkte het systeem nog steeds goed, maar was het minder consistent en iets minder nauwkeurig. Deze tests bevestigden dat zowel de lokale context als de globale patronen noodzakelijk waren om het systeem zijn volledige potentieel te laten bereiken. De studie sugggeert dat de beste manier om intrusies te detecteren is door een model te bouwen dat de structuur en gewoonten van het netwerk diepgaand begrijpt, in plaats van alleen een lijst met slecht gedrag te memoriseren.

Hoewel de resultaten veelbelovend zijn, erkennen de onderzoekers dat geen enkel systeem perfect is. Hun model gaat ervan uit dat het netwerk relatief consistent gedraagt over de tijd. Als het netwerk drastisch verandert, zoals tijdens een grote upgrade of een plotselinge verschuiving in gebruikersgedrag, kan het systeem in de war raken en valse alarmen geven. Ze suggereren dat toekomstig werk erop gericht kan zijn om het systeem continu te laten adapteren naarmate het netwerk evolueert, in plaats van een volledige hertraining te vereisen. Ze merkten ook op dat in scenario's waarin slechts één apparaat wordt gemonitord, het systeem minder informatie heeft om mee te werken omdat het de bredere netwerkcontext niet kan zien. Ondanks deze beperkingen toont de studie een significante stap voorwaarts in hoe we digitale infrastructuur kunnen beschermen. Door het bestuderen van lokale verbindingen te verenigen met globale patronen, biedt het GraphIDS-systeem een robuuste, zelfgesuperviseerde manier om netwerken veilig te houden, waarbij het het ritme van normaliteit leert kennen zodat het de dissonantie van een indringer kan horen.