💻 computer science

Operational Runtime Behavior Mining for Open-Source Supply Chain Security

Dit artikel presenteert HeteroGAT-Rank, een op de industrie gerichte systeem dat gebruikmaakt van op attentie gebaseerd grafenleren op runtime-uitvoeringsgedrag om interpreteerbare, actieerbare signalen te genereren voor beveiligingsanalisten om verdachte open-source supply chain-componenten te onderzoeken en te prioriteren.

Oorspronkelijke auteurs: Zhuoran Tan, Ke Xiao, Jeremy Singer, Christos Anagnostopoulos

Gepubliceerd 2026-05-27

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Zhuoran Tan, Ke Xiao, Jeremy Singer, Christos Anagnostopoulos

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een beveiligingswachter bent die probeert een dief te vangen die is binnengeslopen in een enorm, geautomatiseerd magazijn (de softwareleveringsketen). De dief steelt niet zomaar een doos; hij kan de instructies manipuleren, de sloten veranderen of een nepbriefje achterlaten.

Lange tijd keken beveiligingswachters alleen naar de tekeningen (statische codeanalyse) om de dief te vinden. Maar moderne dieven zijn slim; ze verbergen hun plannen of schrijven ze in onzichtbare inkt die pas verschijnt wanneer het magazijn begint te draaien. Daarom zijn wachters begonnen met het bekijken van de live videobeelden (runtime-telemetrie) van de pakketten tijdens het installeren en uitvoeren.

Er is echter een probleem: sommige camera's zijn high-definition en tonen precies wat de dief vasthoudt (een specifiek IP-adres of commando), terwijl andere wazig zijn en alleen laten zien dat "iemand een doos verplaatste" of "een deur openging". Dit artikel, HetHunt, is een nieuw hulpmiddel dat is ontworpen om beveiligingswachters te helpen deze verschillende camerabeelden te interpreteren om de boeven te vinden.

Hier is hoe het werkt, opgesplitst in eenvoudige concepten:

1. Het Probleem: Te Veel Camera's, Verschillende Hoeken

De auteurs merkten op dat beveiligingssystemen data op twee zeer verschillende manieren verzamelen:

De "High-Def" Camera (Op gebeurtenisniveau): Dit registreert elke enkele actie: "Het pakket opende een bestand genaamd secret.txt" of "Het belde het nummer 192.168.1.1". Het is gedetailleerd maar vaak luidruchtig (vol met onschadelijk achtergrondgepraat).
De "Samenvattende" Camera (Geaggregeerd): Dit toont geen specifieke namen. Het zegt alleen: "Het pakket opende 50 bestanden" of "Het maakte 3 netwerkverbindingen". Het is minder gedetailleerd maar zeer stabiel.

De uitdaging is dat een standaard AI-model kan zeggen: "Dit pakket is voor 90% waarschijnlijk slecht", maar het kan de menselijke wachter niet vertellen waar hij naar moet kijken. Het is als een arts die zegt: "Je hebt koorts", maar niet wijst naar de specifieke infectie.

2. De Oplossing: HetHunt (De "Detective-kaart")

HetHunt is een raamwerk dat deze rommelige videobeelden omzet in een gestandaardiseerde kaart (een grafiek).

De Kaart: Het neemt acties van zowel high-def als samenvattende camera's en tekent ze op hetzelfde type kaart. Het verbindt het "Pakket" met het "Proces", vervolgens met het "Bestand", "Commando" of "Netwerk".
De Detective (De AI): Het gebruikt een speciaal type AI (een Graph Neural Network) om naar deze kaart te kijken en te beslissen: "Ja, dit pakket is verdacht."

3. De Magische Truc: Van "Belangrijk" naar "Verdacht"

Dit is het meest kritieke deel van het artikel.

De Valstrik: Wanneer de AI zegt: "Deze verbinding is belangrijk voor mijn beslissing", betekent dit niet altijd dat het een misdaad is. Soms besteedt de AI aandacht omdat elk pakket verbinding maakt met een gemeenschappelijke bibliotheek (zoals een supermarkt). Dat is belangrijk voor de wiskunde, maar geen misdaad.
De Oplossing (Zeldzaamheidskalibratie): HetHunt voegt een tweede stap toe. Het vraagt: "Is deze actie zeldzaam onder goede pakketten?"
- Als een pakket verbinding maakt met een vreemde, onbekende server waarmee niemand anders verbinding maakt, markeert HetHunt dit als zeer verdacht.
- Als een pakket verbinding maakt met een algemene server die ook 10.000 goede pakketten gebruiken, negeert HetHunt dit, zelfs als de AI dacht dat het "belangrijk" was.

Denk eraan als een metaaldetector op een luchthaven.

De detector piept voor elk metaal (de "belangrijkheid" van de AI).
Maar de beveiligingswachter weet dat 99% van de mensen sleutels of munten heeft (gemeenschappelijk, onschadelijk gedrag).
HetHunt is de wachter die de munten filtert en je alleen stopt als je een vreemd, zeldzaam stuk metaal hebt dat niemand anders draagt.

4. De Resultaten: Wat Vonden Ze?

De auteurs testten HetHunt op twee verschillende "magazijnen" (datasets):

Magazijn A (QUT-DV25): Dit had "Samenvattende" camera's.
- Resultaat: HetHunt was uitstekend in het rangschikken van de slechte pakketten. Het kon niet wijzen naar een specifiek bestandsnaam (omdat de camera wazig was), maar het kon wel zeggen: "Dit pakket gedraagt zich vreemd in vergelijking met de anderen." Het vond de "gedragspatronen" (TTP's) in plaats van specifieke "aanwijzingen" (IOCs).
Magazijn B (OSPTrack): Dit had "High-Def" camera's.
- Resultaat: HetHunt kon wijzen naar specifieke aanwijzingen zoals "Dit IP-adres" of "Dit commando". Echter, omdat de camera's alles registreerden, was er zoveel ruis (onschadelijke achtergrondactiviteit) dat het moeilijk was om een perfecte alarmdrempel in te stellen. Als je het alarm te gevoelig instelt, gaat het af bij elke onschadelijke bestandslezing. Als je het te streng instelt, mis je de dief.

5. De Grote Conclusie

Het artikel concludeert dat je een beveiligingstool niet alleen kunt beoordelen aan de hand van hoe goed het slechte pakketten detecteert. Je moet ook beoordelen hoe goed het een menselijke wachter helpt bij het onderzoek.

Telemetrie is de limiet: Als je camera wazig is, kun je alleen gedragspatronen vinden. Als je camera high-definition is, kun je specifieke aanwijzingen vinden, maar moet je omgaan met meer ruis.
Context is belangrijk: HetHunt zegt niet alleen "Dit is slecht". Het zegt: "Hier is een lijst met dingen om te onderzoeken, gerangschikt op hoe vreemd ze zijn in vergelijking met normale pakketten."

Kortom, HetHunt is een tool die ruwe, rommelige computerlogs vertaalt naar een geprioriteerde "Te Doen"-lijst voor beveiligingsanalisten, waardoor ze de ruis kunnen negeren en zich kunnen focussen op de echt verdachte activiteiten, ongeacht hoe gedetailleerd hun data is.

Technische Samenvatting: Mining van Operationeel Runtime-gedrag voor Beveiliging van Open-Source Supply Chains

Probleemstelling
Aanvallen op de supply chain van open-source software (OSS) vertrouwen steeds vaker op kwaadaardige logica die wordt uitgevoerd tijdens installatie, import of na-installatie. Deze worden door statische analyse vaak gemist vanwege obscuratie of dynamische generatie. Verdedigers vertrouwen op runtime-telemetrie, maar deze gegevens zijn heterogeen: sommige bronnen behouden concrete artefacten (domeinen, IP-adressen, commando's), terwijl andere alleen geaggregeerde gedragsamenvattingen blootleggen (aantallen systeemoproepen, mappen voor bestandsbezoek). Dit creëert een mismatch tussen modelgerichte evaluaties (die detectie behandelen als een binaire classificatie op pakketniveau) en de behoeften van analisten (die specifieke, actieerbare runtime-pivots vereisen). Bovendien identificeren bestaande grafverklaringen kenmerken die modelvoorspellingen behouden, maar die niet noodzakelijkerwijs overeenkomen met actievere onderzoeksleads, aangezien randen met hoge belangrijkheid veelvoorkomend onschadelijk gedrag of omgevingsruis kunnen weerspiegelen. De kernuitdaging is jacht met observatiegrenzen: de specificiteit van onderzoeksbewijs is strikt beperkt door wat de telemetriebron registreert.

Methodologie: HetHunt Framework
De auteurs presenteren HetHunt, een observatiebewust runtime-grafjachtframework dat is ontworpen om risicovoorspelling op pakketniveau en analistgerichte onderzoeken te overbruggen. Het framework werkt in drie fasen:

Canonieke Runtime-bewijsgrafen:
- HetHunt mapt heterogene runtime-telemetrie van verschillende bronnen (traces op gebeurtenisniveau en geaggregeerde samenvattingen) naar een gedeeld, getypeerd heterogeen grafschema.
- De ontologie omvat zes knooppunttypen: PKG (pakketidentiteit), PROC (procesinstantie), FILE, NET (netwerkeindpunt), SYSCALL en CMD (commandostring).
- Elf randtypen coderen interacties (bijv. LOAD, DEPEND, EXEC, READ, CONNECT). Een belangrijk ontwerpaspect is de tussenliggende PROC-laag, die multi-hop-paden creëert (bijv. PKG → PROC → FILE) om gedrag te onderscheiden, zoals schrijfacties tijdens installatie van netwerkverbindingen tijdens import.
Relationele Grafencoder (Risicovoorspelling):
- Het framework gebruikt een Relational Graph Convolutional Network (R-GCN) om risicopar niveau van het pakket te leren uit de grafstructuur.
- Hoewel andere encoders (GAT, HAN, HGT) werden geëvalueerd, werd R-GCN geselecteerd voor de definitieve pijplijn vanwege de balans tussen concurrerende classificatieprestaties, lagere inferentielatentie en een directe getypeerde-randinterface die geschikt is voor het terugkoppelen van scores naar runtime-pivots.
Van Belangrijkheid naar Verdachtigheid (De Jachtlagen):
- Leren van Randbelangrijkheid: Een leerbaar rand-maskermodule (geïnspireerd door PGExplainer) identificeert runtime-interacties die het meest invloedrijk zijn voor de voorspelling van het model.
- Omgevingsfiltering: Op regels gebaseerde filters onderdrukken hoogfrequente achtergrondruis (bijv. veelvoorkomende registers, systeempaden, routinematige probedcommando's) om te voorkomen dat gedeeld onschadelijk gedrag de rangschikking domineert.
- Kalibratie van Onschuldige Zeldzaamheid: Om modelgerichte randbelangrijkheid om te zetten in analistgerichte verdachtigheid, kalibreert het framework scores tegen een onschuldige referentiepopulatie. De verdachtigheidsscore van een rand wordt berekend als:
  $s(e) = \text{belangrijkheid}(e) \times (1 + \alpha \cdot \text{zeldzaamheid}(e))$
  waarbij zeldzaamheid is afgeleid van de documentfrequentie van de bestemming van de rand in onschuldige pakketten. Dit zorgt ervoor dat invloedrijke randen ook ongebruikelijk zijn ten opzichte van normaal gedrag.
- Grafniveau Scoren: Pakketten worden gerangschikt op basis van de gemiddelde verdachtigheid van hun top- $K$ behouden randen, met prioriteit voor grafen met geconcentreerd hoog-verdacht bewijs.

Belangrijkste Bijdragen

Formulering van Jacht met Observatiegrenzen: Het artikel formuleert runtime supply-chain-jacht als een grafprobleem waarbij outputs expliciet worden begrensd door telemetriegranulariteit, met onderscheid tussen IOC-niveau, TTP-niveau, contextueel en telemetrie-gat bewijs.
Canonieke Runtime-bewijsgrafen: Een compact, getypeerd grafschema dat heterogene pakket-uitvoeringstelemetrie (van bronnen op gebeurtenisniveau en geaggregeerde bronnen) unificeert in een gedeelde representatie.
HetHunt Verdachtigheidsframework: Een end-to-end pijplijn die pakketrisico, modelgerichte randbelangrijkheid en analistgerichte verdachtigheid ontkoppelt, met gebruik van omgevingsfiltering en relation-bewuste kalibratie van onschuldige zeldzaamheid.
Jachtgerichte Evaluatie: Een nieuw evaluatieprotocol dat niet alleen de nauwkeurigheid van pakketclassificatie beoordeelt, maar ook de kwaliteit van rand-afgeleide rangschikkingen en de specificiteit van blootgelegde pivots over verschillende telemetriegranulariteiten.

Evaluatie en Resultaten
Het framework werd geëvalueerd op twee datasets:

QUT-DV25: 14.271 Python-pakketten met geaggregeerde, stabiele dynamische-analyse telemetrie.
OSPTrack: 9.758 cross-ecosysteem sandbox-uitvoeringen met telemetrie op gebeurtenisniveau (domeinen, IP-adressen, commando's).

Belangrijkste Bevindingen:

QUT-DV25 (Geaggregeerde Telemetrie): De zeldzaamheid-gekalibreerde HetHunt behaalde sterke rangschikkingprestaties (0,876 AUROC, 0,880 AUPRC en perfecte Precision@100). De blootgelegde pivots waren echter voornamelijk TTP-niveau of contextueel (bijv. "netwerkverbinding tijdens installatie") in plaats van concrete IOCs, wat de geaggregeerde aard van de gegevens weerspiegelt.
OSPTrack (Telemetrie op Gebeurtenisniveau): Hoewel deze dataset concrete artefacten (IOCs) behield, beperkte de hoge hoeveelheid omgevingsruis (activiteit van pakketbeheerders, toegang tot registers) betrouwbare waarschuwingen met een lage FPR. Zeldzaamheidskalibratie verbeterde de rangschikking wanneer beperkt tot netwerkrelaties, maar de precisie bovenaan de lijst bleef zwak.
Nuttigheid voor Analisten: Annotatie van top-pivots bevestigde dat hoge rangschikkingkwaliteit geen hoge pivot-specificiteit garandeert. QUT-DV25 leverde abstract bewijs op, terwijl OSPTrack concrete maar vaak pakketlokale of omgevingsgedreven kandidaten opleverde.
Telemetrieveelheid versus Observatie: Hogere telemetrieveelheid correleerde niet met betere jachtnuttigheid; in OSPTrack werden de hoogste volumetraces gedomineerd door onschadelijke activiteit, terwijl schonere, lagere volumetraces betere rangschikkingkwaliteit opleverden.

Betekenis en Claims
Het artikel beweert dat runtime-grafverklaringen gekalibreerd moeten zijn aan telemetrie-observatie voordat ze operationele jacht kunnen ondersteunen. HetHunt toont aan dat heterogene runtime-grafen effectief de kloof kunnen overbruggen tussen risicovoorspelling op pakketniveau en analistonderzoek, mits:

Verklaringen worden behandeld als telemetrie-begrensde onderzoeks-pivots in plaats van bevestigde Indicators of Compromise (IOCs).
Kalibratie van onschuldige zeldzaamheid wordt toegepast om model-influentiële randen te onderscheiden van veelvoorkomende achtergrondruis.
De specificiteit van de output (IOC vs. TTP vs. Contextueel) wordt begrepen als een functie van de onderliggende telemetriebron, niet alleen van de capaciteit van het model.

De auteurs benadrukken dat HetHunt pakketclassificatoren niet vervangt, maar de nodige "runtime-pivots" biedt om analisteninspectie te sturen, met erkenning dat het missen van concrete indicatoren telemetrie-gaten of niet-geactiveerd gedrag kan weerspiegelen in plaats van falen van verklaringen.