Semantic-Aware Advanced Persistent Threat Detection Using Autoencoders on LLM-Encoded System Logs
Dit artikel stelt een nieuwe detectiemethode voor voor Advanced Persistent Threats die gebruikmaakt van door Large Language Models gegenereerde semantische embeddings van systeemlogs verwerkt door een Autoencoder, waarmee superieure prestaties wordt aangetoond ten opzichte van traditionele ongecontroleerde baselines op de DARPA Transparent Computing-dataset door effectief de semantische intentie van sluipende, 'low-and-slow' aanvalspatronen te vangen.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je een enorme, bruisende stad voor waar miljoenen dingen elke seconde gebeuren: mensen die lopen, auto's die rijden, lichten die aan- en uitgaan, en deuren die openen. In de digitale wereld is deze stad een computernetwerk, en de "dingen die gebeuren" zijn systeemlogs. Deze logs zijn de beveiligingscamera's en politierapporten van de stad, die elke actie die een programma onderneemt, vastleggen.
Het Probleem: De "Naald in een Hooiberg" die op Hooi lijkt
Normaal gesproken zoeken beveiligingssystemen naar "slechteriken" door te kijken naar dingen die vreemd of zeldzaam zijn. Maar de slechteriken in dit verhaal zijn Advanced Persistent Threats (APT's). Zie hen niet als een luidruchtige bankovervaller, maar als een meesterspion.
- Ze breken niet in; ze sluipen binnen.
- Ze rennen niet; ze lopen langzaam en geruisloos.
- Ze gebruiken de eigen gereedschappen van de stad (zoals een conciërge die een emmer met een dweil gebruikt om een wapen te verbergen) om hun vuile werk te doen.
Omdat deze spionnen zich zo gedragen als normale mensen, missen oude beveiligingsmethoden (die alleen tellen hoe vaak woorden voorkomen of zoeken naar statistische afwijkingen) hen vaak. Het is alsoam een spion in een menigte te proberen te vinden door alleen te tellen hoeveel mensen een rode hoed dragen. Als de spion ook een rode hoed draagt, mis je hem.
De Oplossing: Een "Vertaler" en een "Geheugenspiegel"
De auteurs van dit paper hebben een nieuw systeem gebouwd genaamd MPNet-AE. Ze gebruikten twee hoofdinstrumenten om deze spionnen te vangen:
De Vertaler (de LLM/MPNet):
In plaats van naar ruwe, rommelige computercode te kijken, werkt het systeem eerst als een vertaler. Het neemt de droge, technische logs (bijv. "Process 1054 started /bin/bash") en verandert deze in natuurlijke Engelse zinnen die een mens kan lezen.- Analogie: Stel je voor dat je een lijst met boodschappen verandert in een verhaal: "De chef pakte een mes en begon uien te snijden."
- Vervolgens gebruikt het een superintelligent AI-brein (genaamd MPNet, een type Large Language Model) om de betekenis van dat verhaal te begrijpen. Het creëert een "semantische vingerafdruk" voor elke actie. Deze vingerafdruk legt de intentie van de actie vast, niet alleen de woorden.
De Geheugenspiegel (de Autoencoder):
Vervolgens gebruikt het systeem een machine learning-model genaamd een Autoencoder. Denk aan dit als een student die alleen "goed gedrag" bestudeert.- De student krijgt duizenden voorbeelden te zien van normale, veilige activiteiten in de stad (de "benigne" data).
- De student probeert deze patronen perfect te onthouden.
- Wanneer de student een nieuwe gebeurtenis ziet, probeert hij deze uit zijn geheugen te "reconstrueren".
- De Catch: Als de gebeurtenis normaal is, kan de student deze perfect reconstrueren. Maar als de gebeurtenis een spion is die iets stiekems doet (zelfs als het er aan de oppervlakte normaal uitziet), raakt de student in de war en slaagt hij er niet in om het accuraat te reconstrueren.
- Deze "onvolledige reconstructie" is het alarm. Hoe groter de fout, hoe groter de kans op een spion.
De Test: De Digitale Crime Scene
De onderzoekers testten dit systeem met gegevens uit het DAR_PA Transparent Computing project. Dit is als een enorme, realistische simulatie van een stad onder aanval, gecreëerd door "Red Teams" (ethische hackers) om te zien of ze konden inbreken.
- De gegevens waren ongelooflijk rommelig en ongebalanceerd: van de miljoenen normale acties was slechts een minuscuul fractie (minder dan 0,004%) daadwerkelijke aanvallen.
- Ze vergeleken hun nieuwe "Vertaler + Spiegel"-systeem met drie klassieke methoden:
- Isolation Forest: Zoals proberen een naald te vinden door een hooiberg te schudden.
- OC-SVM: Zoals een nauwe cirkel trekken rond normale dingen en zeggen dat alles daarbuiten slecht is.
- PCA: Zoals een 3D-object platdrukken naar 2D om de vorm te zien.
De Resultaten
Het nieuwe systeem won overtuigend.
- De "Vertaler" werkte: Door de betekenis van de logs te begrijpen, kon het systeem het verschil zien tussen een systeembeheerder die een wachtwoord reset (normaal) en een hacker die precies hetzelfde doet maar met kwaadaardige intentie (abnormaal).
- De "Spiegel" ving de spionnen: Het systeem identificeerde de aanvallen consistent met een veel hogere nauwkeurigheid (gemeten met een score genaamd AUC-ROC) dan de oude methoden.
- Waarom het won: De oude methoden waren als het kijken naar een vingerafdruk en het tellen van de rimpels. De nieuwe methode keek naar het verhaal dat de vingerafdruk vertelde. Zelfs toen de spionnen probeerden op te gaan in de massa, paste hun "verhaal" niet bij het "verhaal" van de normale stad, en het systeem ving hen.
In het kort
Dit paper laat zien dat om een meesterspion te vangen die zich in het volle zicht verbergt, je niet alleen dingen kunt tellen. Je moet het verhaal begrijpen achter de acties. Door computlogs te vertalen naar betekenisvolle taal en een "geheugenspiegel" te gebruiken om verhalen te herkennen die niet passen, kunnen we deze sluwe, langdurige cyberaanvallen veel beter detecteren dan voorheen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.