An End-to-End Framework for Functionality-Embedded Provenance Graph Construction and Threat Interpretation
Dit paper introduceert Auto-Prov, een adaptief end-to-end framework dat grote taalmodellen gebruikt om automatisch functioneel verrijkte provenance-graaf te construeren uit logbestanden, wat leidt tot verbeterde anomaliedetectie en interpreteerbare samenvattingen van aanvallen.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je voor dat je een enorme stad bent die wordt bewaakt door duizenden camera's. Elke seconde nemen deze camera's beelden op: mensen die de deur openen, auto's die voorbijrijden, lichten die aan en uit gaan. Dit zijn de logbestanden van een computersysteem.
Het probleem? Er zijn miljarden beelden. Als een inbreker (een hacker) de stad binnendringt, doet hij dit vaak heel langzaam en subtiel, net als een sluwe dief die zich vermomt als een normale bewoner. Als je al die beelden één voor één bekijkt, zie je de dief nooit. Je wordt gek van de hoeveelheid data.
Hier komt Auto-Prov om de hoek kijken. Het is een slimme, nieuwe "detective-assistent" die deze chaos in kaart brengt. Hier is hoe het werkt, vertaald in alledaagse termen:
1. Het Grote Puzzel: Van Chaos naar Kaart
Vroeger moesten mensen handmatig regels schrijven om te begrijpen wat er op de beelden te zien was. "Als een rode auto stopt bij een blauw huis, is dat verdacht." Maar computersystemen veranderen voortdurend. Soms zijn het rode auto's, soms blauwe vrachtwagens, en soms zijn het zelfs drones. De oude regels werkten dan niet meer.
Auto-Prov is als een super-slimme robot die:
- Zelf de regels bedenkt: Hij kijkt naar een paar voorbeelden van de nieuwe camera-beelden, begrijpt het patroon en schrijft direct de juiste regels voor de rest. Hij hoeft niet te wachten op een menselijke expert.
- De "Provenance Graph" maakt: Hij plakt alle losse beelden aan elkaar tot één grote, logische kaart. Hij ziet niet alleen wat er gebeurt, maar wie het deed en waarom. "De rode auto (proces) opende de deur van het blauwe huis (bestand)."
2. De Identiteitskaart: Wat doet dit ding eigenlijk?
Stel je voor dat je een vreemde man ziet die een sleutel in een slot stopt. Is hij een inbreker of de postbode?
Oude systemen zagen alleen: "Man met sleutel." Ze wisten niet of het een postbode of een inbreker was.
Auto-Prov geeft elk object op de kaart een identiteitskaart met een functie.
- Hij vraagt aan een super-slimme AI (een Large Language Model, zoals een digitale bibliothecaris): "Wat doet dit bestand
vmtoolsd.exe?" - De AI antwoordt: "Ah, dat is een postbode (een systeemtool voor VMware)."
- Als de AI het niet weet (een nieuw, vreemd bestand), kijkt hij naar het gedrag: "Hij loopt vaak naar de postkantoor. Dan is hij waarschijnlijk ook een postbode."
Dit helpt de detective om te zien: "Wacht, een postbode doet normaal gesproken niet alsof hij een kluis openbreekt. Dat is verdacht!"
3. Het Samenvatten: Van Geheime Code naar Verhaal
Als de oude systemen een alarm slaan, krijgen de beveiligingsagenten een enorme, onleesbare lijst van duizenden code-regels. Dat is als een dossier van 1000 pagina's vol met wiskundige formules. Niemand heeft tijd om dat te lezen.
Auto-Prov doet iets anders:
- Hij pakt de verdachte kaart en vertaalt het naar een kort, begrijpelijk verhaal.
- In plaats van "Entity A schreef naar Entity B", zegt hij: "De postbode probeerde stiekem de kluis van de bank te openen, terwijl hij normaal gesproken alleen brieven bezorgt."
- Hij koppelt dit zelfs aan bekende misdadigertypes (zoals "Inbraak" of "Privilege Escalation" in de wereld van hackers), zodat de agent precies weet wat hij moet zoeken.
Waarom is dit zo'n revolutie?
Stel je voor dat je een detective bent die 24/7 moet werken.
- Vroeger: Je moest zelf de camera's instellen, de regels schrijven, en dan urenlang zoeken in een berg papier. Als de stad verandert (nieuwe gebouwen, nieuwe wegen), moest je alles opnieuw doen.
- Met Auto-Prov: De robot doet het zware werk. Hij past zich automatisch aan nieuwe situaties aan, begrijpt de rol van elke "bewoner" in je systeem, en schrijft voor jou een samenvatting van de misdaad.
Kortom: Auto-Prov maakt van een onbegrijpelijke berg data een helder verhaal, zodat mensen sneller kunnen zien wie de stad probeert te plunderen, zelfs als de inbreker zich vermomt als een onschuldig kind. Het is de overstap van "handmatig zoeken in de modder" naar "een slimme drone die de hele stad in één oogopslag scant".
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.