🤖 machine learning

INTACT: Intent-Aware Representation Learning for Cryptographic Traffic Violation Detection

Het paper introduceert INTACT, een nieuw raamwerk dat cryptografisch verkeer analyseert door overtredingen te definiëren als het schenden van beleidsintenties in plaats van statistische afwijkingen, wat leidt tot een aanzienlijke verbetering in detectie, interpreteerbaarheid en robuustheid.

Oorspronkelijke auteurs: Rahul D Ray

Gepubliceerd 2026-02-26

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Rahul D Ray

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een veiligheidscontroleur bent op een drukke luchthaven.

Tot nu toe hebben de meeste beveiligingssystemen gewerkt als een statistiek-geobsedeerde agent. Deze agent kijkt naar duizenden reizigers en leert hoe een "normale" persoon eruitziet: hoe ze lopen, hoe zwaar hun koffer is, hoe snel ze door de poort gaan. Als iemand plotseling heel langzaam loopt of een koffer draagt die 50 kilo weegt (terwijl de gemiddelde koffer 10 kilo is), denkt de agent: "Aha! Dit is abnormaal! Dit is verdacht!"

Het probleem is dat dit systeem niet weet wat de regels zijn.
Stel, er is een nieuwe regel: "Vandaag mag niemand met een rode koffer door de poort."
De oude agent ziet een man met een rode koffer die precies 10 kilo weegt en normaal loopt. Omdat hij alleen kijkt naar statistieken (gewicht en snelheid), denkt hij: "Nee, dit is een normale koffer, alles is oké." Hij mist de overtreding omdat de koffer niet 'statistisch raar' is, maar wel regelmatig verboden.

Wat is INTACT?

De onderzoekers van deze paper hebben een nieuwe controleur bedacht, genaamd INTACT.

In plaats van alleen te kijken naar hoe iemand eruitziet (gedrag), kijkt INTACT naar twee dingen tegelijk:

Het gedrag: Wat doet de reiziger? (De koffer, de snelheid).
De intentie (de regel): Wat is de specifieke regel voor vandaag? (Mag er een rode koffer? Is de sleutel te oud? Mag de verbinding te lang duren?)

INTACT is als een slimme agent die een dynamische checklist heeft. Hij zegt niet: "Dit gedrag is zeldzaam." Hij zegt: "Dit gedrag is in strijd met de specifieke regel die we nu hanteren."

Hoe werkt het in het echt? (De Analogie)

Stel je voor dat je een sleutel gebruikt om een deur te openen.

De oude manier (Statistiek): De beveiliging kijkt naar de sleutel. Als de sleutel eruitziet als een sleutel die zelden wordt gebruikt, slaat het alarm. Maar wat als de sleutel er heel normaal uitziet, maar je hem te vaak gebruikt? Of wat als je een sleutel gebruikt die te oud is? De oude systemen zien dit vaak niet, omdat de sleutel er 'normaal' uitziet.
De INTACT-methode: De agent kijkt naar de sleutel én naar de regels die bij die sleutel horen.
- Regel A: "Deze sleutel mag maar 1 uur geldig zijn." -> INTACT ziet dat de sleutel 2 uur oud is en slaat alarm.
- Regel B: "Deze sleutel mag niet bij twee verschillende deuren worden gebruikt." -> INTACT ziet dat dezelfde sleutel bij twee deuren past en slaat alarm.
- Regel C: "Gebruik geen sleutels van het oude type." -> INTACT ziet dat de sleutel verouderd is en slaat alarm.

Het mooie is: als de regels veranderen (bijvoorbeeld: "Vandaag mag de sleutel 2 uur geldig zijn"), hoeft INTACT niet opnieuw te leren. Je geeft hem gewoon de nieuwe regel mee, en hij past zijn oordeel direct aan.

Waarom is dit belangrijk?

In de digitale wereld (internetverkeer) worden berichten versleuteld. Beveiligingssystemen kunnen niet "in" de berichten kijken, ze zien alleen de "omslag" (hoe groot het pakketje is, hoe lang het duurt).

Betere detectie: Oude systemen missen veel overtredingen omdat ze alleen zoeken naar "rare" patronen. INTACT zoekt naar regelovertredingen, zelfs als het patroon er normaal uitziet.
Flexibiliteit: Bedrijven hebben verschillende regels. Soms is een lange verbinding oké, soms niet. INTACT past zich aan aan de regels van het bedrijf zonder dat je de hele computer opnieuw moet programmeren.
Betrouwbaarheid: In tests bleek INTACT net zo goed (of beter) te werken als de slimste bestaande systemen, maar dan met het grote voordeel dat je precies weet waarom hij alarm sloeg (omdat de regel werd overtreden, niet omdat het "raar" was).

Samenvattend

INTACT is als een slimme, regelbewuste agent in plaats van een statistiek-geobsedeerde agent. Hij begrijpt niet alleen wat er gebeurt, maar ook waarom het mag of niet mag, gebaseerd op de regels die jij hem geeft. Dit maakt de beveiliging van versleutelde internetverkeer veel slimmer, flexibeler en veiliger.

Probleemstelling

Bestaande systemen voor beveiligingsmonitoring behandelen anomaliedetectie voornamelijk als het identificeren van statistische afwijkingen van waargenomen data-distributies. In de context van cryptografisch verkeer (zoals SSL/TLS en VPN) is dit echter problematisch.

Fundamentele mismatch: Veiligheidsschendingen worden in de praktijk niet gedefinieerd door zeldzaamheid (statistische uitschieters), maar door expliciete beleidsregels (bijv. verbod op hergebruik van sleutels, preventie van downgrade-aanvallen, en beperkte levensduur van sleutels).
Beperkingen van huidige methoden: Traditionele diepe leermodellen (zoals CNNs, RNNs, auto-encoders) leren een statische beslissingsgrens op basis van gedragskenmerken. Ze modelleren $P(y=1|x)$ , waarbij $x$ het verkeer is. Dit betekent dat de definitie van een "anomalie" vastzit aan de trainingsdistributie.
Het gebrek aan intentie: In beleidsgedreven systemen is een schending conditioneel. Een verkeer dat compliant is onder de ene beleidsinstelling (bijv. een bepaalde sleutellevensduur), kan een schending zijn onder een andere. Huidige systemen kunnen deze beleidscontext niet direct integreren in het leerproces.

Methodologie: INTACT

De auteurs introduceren INTACT (INTent-Aware Cryptographic Traffic), een framework dat schendingdetectie herformuleert als conditioneel constraint learning.

1. Conceptuele Verschuiving
In plaats van een statische classifier te leren, modelleert INTACT de waarschijnlijkheid van een schending conditioneel op zowel het waargenomen gedrag als de gedeclareerde veiligheidsintentie:
$f(x, z) \approx P(y = 1 | x, z)$
Waarbij:

$x$ : Gedragsrepresentatie (verkeerskenmerken).
$z$ : Structuurcodering van de veiligheidsintentie (bijv. drempelwaarden voor levensduur, verbod op hergebruik).
$y$ : Schending (1) of normaal (0).

2. Architectuur
Het model is een tweearmige neurale architectuur die representatieleer factoriseert:

Behavioral Encoder: Verwerkt de observabele verkeerskenmerken (bijv. stroomduur, pakketgrootte, doorvoer). Dit levert een gedragsembedding ( $h_b$ ).
Intent Encoder: Verwerkt de beleidsparameters (de intentie $z$ ) en leert een semantische embedding ( $h_z$ ) die de betekenis van de beperking internaliseert, in plaats van het als een ruwe scalair te behandelen.
Fusie en Voorspelling: De embeddings $h_b$ en $h_z$ worden samengevoegd (geconcateneerd) en door een beslissingslaag gevoerd om de schendingsscore te genereren. Dit resulteert in een familie van beleidsgeparametriseerde beslissingsgrenzen in plaats van één vaste grens.

3. Trainingsdoel
Het model wordt getraind met binary cross-entropy loss, waarbij het direct leert om de "violation manifold" te minimaliseren, gekoppeld aan de specifieke intentie.

Dataset en Experimenteel Protocol

Om de robuustheid te testen, gebruikt het paper een dual-dataset strategie:

Real-world Netwerkstroom Dataset:
- Bestaat uit 2,8 miljoen gestructureerde flow-records van zakelijk verkeer.
- Doel: Detectie van levensduurschendingen (flows die langer duren dan de 95e percentiel van normaal verkeer).
- Bevat natuurlijke temporele dynamiek en diverse aanvalsscenario's.
- Er is een "distribution shift" geïntroduceerd door de stroomduur te schalen (2x en 3x) om robuustheid te testen.
Synthetische Intent-Anomalie Dataset:
- Een corpus van 210.000 traces met 4,2 miljoen cryptografische operaties.
- Biedt volledige ground-truth controle over specifieke schendingen:
  - Key Reuse: Sleutelhergebruik over verschillende traces.
  - Algorithm Downgrade: Overschakelen van sterke naar zwakke algoritmen.
  - Lifetime Violation: Overschrijden van de geldigheidsduur.
- Hierdoor kunnen relationele en samengestelde schendingen (combinaties van bovenstaande) worden geëvalueerd.

Resultaten

INTACT werd vergeleken met sterke onbewaakte (Unsupervised) en bewaakte (Supervised) baselines, waaronder Isolation Forest, Deep SVDD, Auto-encoders en standaard Supervised Neural Networks.

Real-world Dataset:
- INTACT bereikte een bijna perfecte discriminatie met een AUROC van 1.0000 en een F1-score van 0,9973 op de testset.
- Het presteerde gelijk aan of beter dan de beste onbewaakte methoden (zoals Deep SVDD) en de volledige supervised baseline.
- Onder distributieverschuiving (duur-schaling) behield INTACT een hoge AUROC (>0,96), hoewel de F1-score licht daalde door kalibratieproblemen (een bekend probleem bij verschuivingen).
Synthetische Dataset (Multi-Intent):
- Dit is de complexere test, vooral voor relationele schendingen zoals "Key Reuse".
- Onbewaakte methoden faalden bij het detecteren van Key Reuse (AUROC rond 0,50 - willekeurig).
- INTACT presteerde uitstekend op alle categorieën:
  - Downgrade: AUROC 1,0000.
  - Lifetime: AUROC 0,9797.
  - Reuse: AUROC 0,7820 (een aanzienlijke verbetering ten opzichte van onbewaakte methoden en vergelijkbaar met de supervised baseline).
- De belangrijkste bevinding is dat INTACT relationele semantiek (zoals hergebruik) effectief kan modelleren door de intentie expliciet te conditioneren.

Belangrijkste Bijdragen

Conceptuele Verschuiving: Het identificeren van de kloof tussen statistische anomaliedetectie en beleidsgebaseerde beveiliging, en het voorstellen van een oplossing die schendingdetectie ziet als conditionele risico-minimalisatie.
Architecturale Innovatie: De introductie van een dual-encoder framework dat beleidsintentie ( $z$ ) als een eerste-orde invoervariabele behandelt, waardoor de beslissingsgrenzen dynamisch worden geparametriseerd door het beleid.
Evaluatie: Een uitgebreide evaluatie met een combinatie van real-world data en gecontroleerde synthetische data, wat inzicht geeft in zowel ecologische validiteit als relationele complexiteit.
Robuustheid en Interpretatie: Het aantonen dat expliciete intentie-conditioning de discriminatiekracht verbetert en interpretatie mogelijk maakt (het model leert de beperkingen, niet alleen patronen).

Betekenis en Conclusie

INTACT biedt een schaalbare basis voor beveiligingsmonitoring in beleidsgedreven netwerken. Door de afhankelijkheid van "statistische zeldzaamheid" te doorbreken, kan het systeem zich aanpassen aan veranderende beleidsregels (bijv. nieuwe drempelwaarden voor sleutellevensduur) zonder het model volledig opnieuw te hoeven trainen; het volstaat om de input $z$ aan te passen.

De studie concludeert dat de complexiteit van detectie fundamenteel wordt bepaald door de generatieve structuur van de schendingssignatuur (bijv. relationele afhankelijkheden bij sleutelhergebruik) en niet alleen door de capaciteit van het model. INTACT bewijst dat het expliciet modelleren van beleidsintentie leidt tot betere discriminatie, betere interpretatie en robuustheid in cryptografisch verkeer, en positioneert beleidsregels als een integraal onderdeel van het leerproces in plaats van een externe filter.