🤖 machine learning

MINES: Explainable Anomaly Detection through Web API Invariant Inference

Het artikel stelt MINES voor, een uitlegbaar anomaliedetectiesysteem dat API-invarianten afleidt uit databaseschema's met behulp van LLM's en normale logs om runtime-verificatiecode te genereren, waarmee een staat-van-de-kunst prestatie wordt bereikt met een hoge recall en bijna nul foutpositieven door de beperkingen van ruisgevoelige loggebaseerde benaderingen te overwinnen.

Oorspronkelijke auteurs: Wenjie Zhang, Yun Lin, Chun Fung Amos Kwok, Xiwen Teoh, Xiaofei Xie, Frank Liauw, Hongyu Zhang, Jin Song Dong

Gepubliceerd 2026-06-02

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Wenjie Zhang, Yun Lin, Chun Fung Amos Kwok, Xiwen Teoh, Xiaofei Xie, Frank Liauw, Hongyu Zhang, Jin Song Dong

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat jij de beveiligingsbeambte bent van een enorm, druk kantoorgebouw (een webapplicatie). Jouw taak is om indringers of mensen op te sporen die dingen doen die ze niet zouden mogen doen.

De meeste moderne beveiligingsbeambten (bestaande software) kijken alleen naar het logboek. Elke keer als iemand door een deur loopt of een lift gebruikt, wordt er een regel in het boek geschreven. Als de bewaker een patroon ziet dat vreemd lijkt vergeleken met het verleden, slaat hij alarm.

Het Probleem:
De tekst legt uit dat deze "alleen logboek"-aanpak een fatale fout heeft.

De "Look-Alike" Truc: Een crimineel kan door de deur lopen en zich in het logboek zo presenteren dat het exact lijkt op een normale werknemer. Er staat in het logboek: "John is om 9:00 uur de lobby binnengekomen." Maar in werkelijkheid heeft John misschien een gestolen toegangspas vast, of is de deur geforceerd. Het logboek laat de dwang niet zien, het laat alleen het resultaat zien.
De Ruis: Soms is het logboek slordig. Er kan staan: "John is binnengekomen", maar het vertelt je niet of John daadwerkelijk een ticket had om die specifieke kamer te betreden. De beveiligingsbeambte raakt in de war door al deze vergelijkbare inzendingen en mist het echte gevaar.

De Oplossing: MINES
De auteurs stellen een nieuw systeem voor genaamd MINES. In plaats van alleen naar het logboek te staren, kijkt MINES naar de blauwdrukken van het gebouw en de regels van hoe het gebouw zou moeten werken.

Denk hierover als volgt:

Oude Manier (Log Learning): De bewaker leert dat "John meestal de lobby binnenkomt en dan naar de 3e verdieping gaat." Als John de lobby binnenkomt en naar de 3e verdieping gaat, denkt de bewaker: "Alles in orde."
MINES Manier (Blueprint Inference): MINES kijkt naar de blauwdrukken en zegt: "Wacht eens even. Volgens het ontwerp van het gebouw kun je alleen naar de 3e verdieping gaan als je een 'Betaald Ticket' in je zak hebt, en dat ticket moet gekoppeld zijn aan een specifieke stoel in de database."

MINES leest niet alleen het logboek; het controleert het logboek tegen de database (het hoofdsysteem van het gebouw over wie wat bezit) en de omgeving (wie er daadwerkelijk is ingelogd).

Hoe MINES werkt (Het 3-stappenproces):

De Blauwdruk Vertalen: MINES neemt de technische "blaufdrukken" (API-signatures en database-tabellen) en verandert deze in een gigantische, verbonden kaart. Het behandelt elke API-call (zoals "Bestelling Annuleren") als een personage in een verhaal en elke database-tabel (zoals "Bestellingen") als een locatie.
Vragen aan de AI-detective: Het gebruikt een slimme AI (een Large Language Model) om naar deze kaart te kijken en te vragen: "Wat moet er waar zijn om dit verhaal logisch te maken?"
- Voorbeeld: De AI kan afleiden: "Voor een 'Bestelling Annuleren'-gebeurtenis die echt is, moet er een bijbehorende 'Bestelling' in de database zijn, en die bestelling moet de status 'Betaald' hebben."
- Dit is alsof de bewaker de blauwdruk controleert om te zien of de regels kloppen, in plaats van alleen maar te gissen op basis van eerdere logs.
De Realiteitscheck: De AI kan een foutieve gok maken (hallucineren). Daarom draait MINES deze nieuwe regels tegen een stapel bekende "goede" logs. Als een regel zegt "John mag de lobby niet binnenkomen" maar John kwam de lobby wel normaal binnen, dan gooit MINES die regel eruit. Het houdt alleen de regels over die 100% accuraat zijn.

Het Resultaat:
Wanneer er een aanval plaatsvindt (zoals iemand die probeert een ticket twee keer terug te laten betalen), missen de oude bewakers (LogRobust, LogFormer) dit omdat de log er normaal uitziet. Maar MINES controleert de database en zegt: "Wacht even, deze bestelling is al gerestitueerd! De database zegt dat de status 'Geannuleerd' is, maar de log zegt 'Gerestitueerd'. Dat overtreedt de blauwdruk!"

Waarom dit een groot ding is:

Het is slimmer: Het vangt aanvallen die er op papier perfect uitzien, maar in de werkelijkheid nep zijn.
Het is schoon: Het raakt niet in de war door slordige logs. Het focust op de regels van het systeem.
Het is snel: Het kan miljoens logs per seconde controleren.
Het is uitlegbaar: Als het een crimineel vangt, kan het precies aanwijzen welke regel is overtreden (bijv. "De status in de database kwam niet overeen met het verzoek"), in plaats van alleen te zeggen: "Dit ziet er vreemd uit."

Kortom: MINES probeert niet te raden wat normaal is door een slordig dagboek te lezen. In plaats daarvan leert het de natuurwetten van de applicatie en vangt het iedereen die deze wetten breekt, zelfs als ze proberen zich in de logs te verbergen.

Technische Samenvatting: MINES – Uitlegbare Anomaliedetectie door Web API Invariant-inferentie

Probleemstelling

Moderne webapplicaties, die dienen als kritieke infrastructuur voor overheden en ondernemingen, vertrouwen steeds vaker op geëxposeerde web-API's (bijv. RESTful, SOAP, WebSockets). Deze API's zijn frequente doelwitten van intentionele aanvallen en onbedoelde illegale toegang, wat leidt tot abnormaal systeemgedrag. Bestaande loggebaseerde methoden voor anomaliedetectie kampen met twee fundamentele uitdagingen:

Observabiliteit voorbij logs (C1): Ware systeemnormaliteit hangt vaak af van informatie die niet in ruwe logs wordt vastgelegd, zoals specifieke databasestoestanden (bijv. een bestelling moet "betaald" zijn voordat annulering kan plaatsvinden) of sessie-omgevingsinformatie. Het uitsluitend vertrouwen op geïnstrumenteerde logs mist deze cruciale causale factoren.
Ware invarianten uit ruisgevoelige log-instanties (C2): Uitgebreide logging introduceert vaak ruis. Op basis van ruwe log-instanties getrainde leermodellen kunnen spuriose correlaties vastleggen (bijv. een specifieke sequentie van API-aanroepen) in plaats van causale relaties, wat leidt tot vals-positieven of vals-negatieven. Bovereven leiden bestaande regel-lerende benaderingen vaak tot oppervlakkige regels uit logpatronen die falen wanneer cruciale context ontbreekt in de logs.

Huidige state-of-the-art oplossingen, of het nu gaat om model-lerend (bijv. LogRobust, LogFormer) of regel-lerend (bijv. WebNorm), hebben moeite om onderscheid te maken tussen normale en aanvallende logs wanneer de aanvallende logs tekstueel vergelijkbaar zijn met normale logs, maar de onderliggende systeeminvarianten schenden (bijv. databasebeperkingen).

Methodologie: MINES

De auteurs stellen MINES voor (Mining Invariants for aNomaly dEtection via Schema), een techniek die uitlegbare API-invarianten afleidt van het schemaniveau (API-signatures en databaseschema's) in plaats van gedetailleerde ruwe log-instanties. MINES behandelt anomaliedetectie als een specificatie-mining probleem.

Kernworkflow

Schema Parsing en Augmentatie:
- MINES parseert API-signatures, databaseschema's en omgevingsinformatie (bijv. sessiegegevens).
- Het converteert API-signatures naar entiteitstypen, waarbij de API-naam de entiteit is en parameters/retourwaarden de attributen zijn.
- Deze API-entiteiten worden geïntegreerd met database-tabellen en omgevingsentiteiten om een Augmented Entity-Relationship (ER) Diagram te vormen.
Relatie-inferentie (Fase 1):
- Met behulp van Large Language Models (LLMs) leidt MINES relaties af tussen de geaugmenteerde entiteiten:
  - API-DB Relaties: Foreign key-beperkingen die API-parameters koppelen aan databasekolommen.
  - API-API Relaties: Temporele afhankelijkheden tussen verschillende API-aanroepen.
  - API-Env Relaties: Koppelingen tussen API-aanroepen en sessie-/omgevingsgegevens.
- Heuristische regels (bijv. drempelwaarden voor overlap van waarden, Hidden Markov Models voor sequentiekans) worden toegepast om valse relaties te filteren.
Invariant Generatie (Fase 2):
- Op basis van de afgeleide relaties voegt MINES de relevante entiteitstabellen samen.
- LLM's worden geprompt om kandidaat-invarianten (beperkingen) te genereren op deze samengevoegde tabellen. Deze invarianten dekken vijf categorieën: common-sense beperkingen, formaatbeperkingen, databasebeperkingen, omgevingsbeperkingen en gerelateerde API-beperkingen.
- De afgeleide beperkingen worden vertaald naar uitvoerbare Python-code.
Invariant Verfijning:
- Om LLM-hallucinaties en vals-positieven te mitigeren, worden de gegenereerde invarianten gevalideerd tegen een collectie bekende normale logs.
- Als een invariant een vals alarm veroorzaakt op normale data, wordt de fout teruggekoppeld naar de LLM om de invariant te herzien of te verwijderen. Deze iteratieve lus gaat door totdat de invariant standhoudt voor alle normale logs.
Runtime Verificatie:
- Offline Detectie: Het systeem werkt op een offline wijze. Een log-collector verzamelt runtime-logs, waarna een offline checker de geleerde Python-invarianten uitvoert tegen deze logs.
- Binair Log-tracking: Om de uitdaging van dynamische database-toestanden aan te pakken, speelt MINES de database binary logs af om de historische database-toestand op het moment van elke API-aanroep te reconstrueren, wat een nauwkeurige evaluatie van invarianten garandeert.

Belangrijkste Bijdragen

Methodologie: Een schema-gebaseerde specificatie-mining techniek die API-signatures, databaseschema's en sessie-informatie verenigt om causale invarianten af te leiden, waarmee de beperkingen van log-alleen benaderingen worden aangepakt.
Tool: Een framework-implementatie voor Java-gebaseerde webapplicaties die enkel API-signatures en databaseschema's vereist, wat implementatie in de echte wereld vergemakkelijkt.
Benchmark: Een nieuwe web-tamper attack dataset bestaande uit 31 soorten aanvallen over Train-Ticket en NiceFish, met dynamische en reproduceerbare scripts om zowel normale als abnormale logs te genereren.
Evaluatie: Uitgebreide evaluatie tegen state-of-the-art baselines (LogRobust, LogFormer, WebNorm) en generalisatietests op populaire industriële applicaties (Gitea, Mastodon, NextCloud).

Resultaten

De evaluatie toont aan dat MINES een nieuwe state-of-the-art bereikt in web-anomaliedetectie:

Hoge Recall en Precisie: Op de Train-Ticket en NiceFish benchmarks behaalde MINES een precisie van 100% en recalls van respectievelijk 94,8% en 91,7%. Dit vertegenwoordigt een verbetering in recall van meer dan 14% ten opzichte van LogRobust, LogFormer en WebNorm.
Zero False Positives: Het verfijningsproces heeft vals-positieven succesvol geëlimineerd, wat resulteerde in bijna nul vals-positieven.
Efficiëntie: MINES verwerkt logs met een doorvoer van $4,0 \times 10^5$ logs/seconde op Train-Ticket, aanzienlijk sneller dan model-lerende baselines.
Robuustheid:
- LLM Onafhankelijkheid: De benadering behoudt een hoge prestatie over verschillende LLM's (GPT-4o, Claude 3.7, DeepSeek-V3), hoewel kleinere modellen zoals GPT-4o-mini een iets lagere prestatie lieten zien in codegeneratie.
- Generalisatie: MINES generaliseerde succesvol naar populaire open-source applicaties (Gitea, Mastodon, NextCloud), waarbij een hoge precisie en recall werd behaald.
- Ablatie-studies: Het verwijderen van schema-gebaseerde deductie of specifieke relatietypes (API-DB, API-Env) verminderde de recall aanzienlijk, wat de noodzaak van schema-niveau inferentie en contextuele informatie bevestigt.

Betekenis

Het artikel beweert dat MINES een nieuwe state-of-the-art vestigt voor het exploiteren van webapplicaties door het paradigma te verschuiven van leren van ruisgevoelige log-instanties naar het afleiden van specificaties uit abstracte schema's. Door gebruik te maken van de structurele integriteit tussen API's en databases, kan MINES anomalieën detecteren die onzichtbaar zijn voor log-alleen modellen, zoals aanvallen die misbruik maken van inconsistenties in de database-toestand. De benadering biedt hoge uitlegbaarheid (via uitvoerbare Python-code die invarianten representeert) en hoge nauwkeurigheid met minimale vals-positieven, wat het geschikt maakt voor betrouwbaar onderhoud van webservices. De auteurs merken op dat hoewel de methode afhankelijk is van betekenisvolle naamgevingsconventies, deze robuust blijft tegen gangbare engineeringpraktijken en verder kan worden verbeterd met minimale documentatie.