PIDSMaker: Building and Evaluating Provenance-based Intrusion Detection Systems
Dit paper introduceert PIDSMaker, een open-source framework dat acht geavanceerde systemen voor detectie van inbraken op basis van herkomst (PIDS) consolideert in een modulaire architectuur met gestandaardiseerde protocollen om reproduceerbaarheid en eerlijke vergelijkingen binnen de gemeenschap mogelijk te maken.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je voor dat je een enorme, levende stad hebt. In deze stad zijn er miljoenen mensen (processen), gebouwen (bestanden) en wegen (netwerkverbindingen). Elke dag doen deze mensen duizenden dingen: ze kopen brood, schrijven brieven, bellen vrienden. Dit is normaal gedrag.
Maar soms sluipen er dieven in. Ze doen dingen die verdacht zijn, zoals een raam openbreken of een kluis leeghalen. Het probleem is: in deze stad gebeurt er zo veel normaal gedrag dat het bijna onmogelijk is om de dieven te vinden met het blote oog.
Het probleem: De "Vergelijkingschaos"
In het verleden hebben verschillende detectives (onderzoekers) geprobeerd deze dieven te vinden met slimme computersystemen. Maar ze hadden allemaal een ander probleem:
- Detective A keek alleen naar de wegen.
- Detective B keek alleen naar de mensen.
- Detective C gebruikte een andere kaart van de stad.
- Detective D telde de dieven op een heel andere manier.
Als je hun resultaten vergelijkt, is het alsof je appels vergelijkt met sinaasappels. Wie is nu echt de beste detective? Niemand weet het zeker, omdat ze niet onder dezelfde regels werkten. Bovendien moesten ze allemaal hun eigen kaart van de stad tekenen, wat veel tijd en energie kostte.
De oplossing: PIDSMAKER (De "Super-Detective Werkplaats")
De auteurs van dit paper hebben PIDSMAKER bedacht. Je kunt dit zien als een supermodulaire bouwset of een keuken voor detectives.
In plaats dat elke detective zijn eigen keuken bouwt met eigen potten en pannen, biedt PIDSMAKER één grote, perfecte keuken waar iedereen hetzelfde kan koken.
Hier is hoe het werkt, vertaald naar alledaagse termen:
De Standaardkeuken (Eenzelfde basis):
PIDSMAKER zorgt ervoor dat alle detectives met dezelfde ingrediënten werken. Of het nu gaat om de "DARPA" stad of de "OpTC" stad, de data wordt altijd op precies dezelfde manier schoongemaakt en voorbereid. Geen gedoe meer met verschillende kaarten.Blokken bouwen (De LEGO-methode):
Dit is het coolste deel. Stel je voor dat je een auto bouwt. Je hebt een motor, wielen en een stuur. In het verleden moest je elke keer een nieuwe motor en nieuwe wielen maken als je een ander type auto wilde.
Met PIDSMAKER heb je een doos met modulaire blokken.- Je wilt een snellere auto? Pak een andere motor (een ander algoritme).
- Je wilt een andere vorm? Pak een ander stuur (een andere manier om data te bekijken).
- Je wilt een andere kleur? Pak een andere laklaag (een andere manier om de data te vertalen).
Je kunt deze blokken in een simpel menu (een YAML-bestand, wat gewoon een lijstje met instructies is) samenvoegen. Je hoeft geen code te schrijven; je kiest gewoon welke blokken je wilt gebruiken.
De "Testbaan" (Eerlijke wedstrijden):
Omdat iedereen in dezelfde keuken werkt met dezelfde blokken, kunnen we nu echt eerlijk meten wie de beste detective is. We kunnen zelfs testen: "Wat gebeurt er als we de motor van Detective A koppelen aan de wielen van Detective B?" Dit heet een ablatiestudie, maar in het Nederlands: "Wat doet elk onderdeel precies?"De "Herhalingstest" (Geen geluk):
Soms werkt een slimme computer een keer goed en de volgende keer niet, puur door toeval (zoals een dobbelsteen die soms een 6 gooit en soms een 1). PIDSMAKER draait de test niet één keer, maar tien keer. Zo weten we zeker dat de detective niet gewoon geluk had, maar echt slim is.De "Klaar-om-te-eten" maaltijd:
De auteurs hebben al 8 van de beste bestaande detectives in hun systeem gezet. Ze hebben ook al de "stadkaarten" (datasets) voor je voorbereid. Je hoeft alleen maar te kiezen welke detective je wilt testen en je kunt beginnen.
Waarom is dit belangrijk?
Voorheen duurde het maanden om een nieuw systeem te bouwen en te testen, en was het resultaat vaak niet te vergelijken met anderen. Met PIDSMAKER kunnen onderzoekers in dagen (of zelfs uren) nieuwe ideeën testen. Het maakt de wetenschap sneller, eerlijker en betrouwbaarder.
Kortom:
PIDSMAKER is de IKEA-keuken voor cyberbeveiliging. Het zorgt ervoor dat iedereen dezelfde schroeven, planken en handleidingen gebruikt, zodat we eindelijk kunnen zeggen wie de beste kast (of in dit geval: het beste beveiligingssysteem) bouwt, zonder dat iemand cheat of een eigen, rare handleiding gebruikt.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.