Predicting Tail-Risk Escalation in IDS Alert Time Series

Technische Samenvatting: Het voorspellen van de escalatie van tail-risico in IDS-alert tijdreeksen

Probleemstelling
Netwerkverdedigers worden geconfronteerd met een continue stroom van Intrusion Detection System (IDS) alerts, wat vaak leidt tot "alert fatigue" (waarschuwingsmoeheid), waarbij het volume en de variabiliteit van alerts de menselijke triagecapaciteit overstijgen. Terwijl traditioneel onderzoek zich richt op het classificeren van individuele alerts of het correleren ervan om ruis te verminderen, worden operationele fouten in security monitoring vaak gedreven door niet de typische achtergrondpercentages, maar door episodische pieken die analisten en geautomatiseerde pipelines overweldigen. De centrale onderzoeksvraag is of de kortetermijn-temporele microstructuur van IDS-alert aankomsten voorspellende informatie bevat over naderende transities naar extreme hoog-intensieve regimes (tail-risk events) die het operationele risico drijven.

Methodologie
De auteurs benaderen dit probleem door IDS-alertstromen te herformuleren als een tijdreeksvoorspellings-taak, waarbij specifiek gebruik wordt gemaakt van methoden voor extreme-regime forecasting geleend uit de financiële modellering.

1. Dataset en Stratificatie:

   • De studie maakt gebruik van 251 miljoen Suricata IDS-alerts verzameld over een periode van drie maanden van een groot publiek Amerikaans universiteitsnetwerk.
   • Om heterogeniteit te beheersen, zijn alerts gestratificeerd naar ernst (Critical, High, Medium, Low, Unknown), wat werd geselecteerd als de optimale as vanwege de hoge volledigheid van velden en stabiele temporele gedrag vergeleken met protocol- of MITRE ATT&CK-mappings.
   • Ruwe alerts worden geaggregeerd in per minuut getelde series, $N(t)$.

2. Feature Engineering:
   De auteurs afleiden drie interpreteerbare temporele features uit de gladgestreken alert-intensiteit $\lambda(t)$ (berekend via een exponentieel voortschrijdend gemiddelde):

   • Intensiteit ($\lambda_t$): De gladgestreken snelheid van alert-aankomsten.
   • Kortetermijn-momentum ($m_t$): Het gestandaardiseerde eerste verschil van de intensiteit, dat directionele verschuivingen (acceleratie of deceleratie) in het alert-volume vastlegt.
   • Voortschrijdende Volatiliteit ($v_t$): De standaarddeviatie van het momentum over een voortschrijdend venster, wat lokale onzekerheid of instabiliteit in het aankomstproces meet.
   • Noot: Eerdere pogingen om de data te modelleren met parametrische stochastische processen (bijv. Hawkes-processen) toonden aan dat hoewel er zelfexcitatie bestaat op zeer fijne tijdschalen (1–2 minuten), dit afneemt op operationele minuten-niveau resoluties. Dit motiveerde een verschuiving naar engineered features voor supervised forecasting.

3. Voorspellingskader:

   • Doeldefinitie: Het probleem wordt geformuleerd als een binaire classificatietaak: het voorspellen of de alert-intensiteit in de volgende 30 minuten de empirische 95ste percentiel ($P_{95}$) van de intensiteitsverdeling zal overschrijden. Dit dient als een Value-at-Risk (VaR) analogon voor operationeel risico.
   • Model: Een supervised XGBoost (Gradient-Boosted Decision Trees) classifier wordt getraind op de feature-vector $(\lambda_t, m_t, v_t)$.
   • Validatie: Een strikte chronologische splitsing (70% training, 30% testen) wordt gebruikt om temporele data-lekkage te voorkomen. Een "purging"-stap verwijdert datapunten binnen 30 minuten van de train-test grens om te garanderen dat geen toekomstige informatie de trainingsset besmet.

Belangrijkste Resultaten
Het model vertoont sterke voorspellende prestaties over alle ernst-strata, met een resultaat van ongeveer 91% accuratesse, 89% recall en 98% precisie op de geaggregeerde taak.

• Feature Belang (Ablatie-studie):

  • Intensiteit ($\lambda_t$) is het dominante voorspellende signaal. Het verwijderen ervan veroorzaakt dat de prestaties instorten (bijv. F1-scores dalen naar bijna nul voor verschillende strata).
  • Volatiliteit en Momentum bieden complementaire, niet-essentiële maar significante waarde. Hun inclusie levert de meest substantiële verbeteringen op voor hoog-ernstige strata (bijv. een F1-verbetering van 97% voor de "Critical" stratum wanneer temporele features worden toegevoegd aan de intensiteit alleen).
  • De combinatie van alle drie de features stelt het model in staat om onderscheid te maken tussen stabiele achtergrondactiviteit, "opbouw"-fasen (positief momentum met matige volatiliteit) en "surge" events (hoge volatiliteit en hoog momentum).

• Visualisatie:
  De auteurs hebben een proof-of-concept visualisatie ontwikkeld die voorspelde tail-risk waarschijnlijkheden over live alert-intensiteit legt. Dit instrument stelt operators in staat om risicoscores over verschillende ernst-strata simultaan te bekijken, waardoor zij kunnen identificeren welke specifieke aanvalstypen escaleren voordat een volledige surge optreedt.

Betekenis en Bijdragen
Het artikel beweert de eerste toepassing van predictieve tail conditional expectation op intrusion detection data te bieden. De primaire bijdragen zijn:

1. Temporele Risicometing: Het vestigt een kader voor het kwantificeren van dreigings-aankomstrisico door de temporele microstructuur van alertstromen te analyseren, waarmee het verder gaat dan statische alert-classificatie.
2. Operationele Vroegtijdige Waarschuwing: Het demonstreert dat meetbare "opbouwsignalen" (combinaties van intensiteit, volatiliteit en momentum) voorafgaan aan alert-surges, wat proactieve resourceplanning mogelijk maakt (bijv. het vooraf toewijzen van aandacht van analisten) in plaats van reactieve triage.
3. Interpreteerbaarheid: Door gebruik te maken van engineered features en XGBoost, biedt het model een interpreteerbare beslissingsgrens in het volatiliteit-momentum vlak, waardoor verdedigers kunnen begrijpen waarom een waarschuwing wordt getriggerd.

Bescheidenheid en Beperkingen
De auteurs kaderen deze resultaten expliciet als een proof-of-concept in plaats van een definitief universeel vroegtijdig waarschuwingssysteem. Zij erkennen verschillende beperkingen:

• De studie vertrouwt op één enkele modelfamilie (XGBoost) en één enkele extreme-event drempelwaarde (95ste percentiel).
• De analyse richt zich uitsluitend op volumetrisch risico (alert-aantallen) en integreert momenteel geen adversary gedrag, techniek-transities of cross-stratum afhankelijkheden.
• Eerdere pogingen om Hidden Markov Models (HMM's) en Gaussian Mixture Models te gebruiken faalden in generalisatie, wat suggereert dat IDS-stromen flexibelere temporele clustering vereisen dan standaard parametrische modellen bieden.
• De studie claimt geen "universele precursors" te hebben geïdentificeerd, maar laat zien dat eenvoudige, interpreteerbare features accelererende aanvalspatronen met hoge nauwkeurigheid kunnen onderscheiden.

Het werk concludeert dat, hoewel het het volledige probleem van alert fatigue niet oplost, het valideert dat IDS-telemetrie over statistisch meetbare, kort-horizon temporele informatie beschikt die voldoende is om transities naar extreme hoog-volume regimes te voorspellen.