💻 computer science

Modeling Sparse and Bursty Vulnerability Sightings: Forecasting Under Data Constraints

Dit onderzoek onderzocht de voorspelbaarheid van zeldzame en piekerende kwetsbaarheidsactiviteiten en concludeerde dat, hoewel geavanceerde modellen zoals SARIMAX beperkt zijn door de datakarakteristieken, telpogingen zoals Poisson-regressie en eenvoudige exponentiële afname-methoden meer stabiele en praktische voorspellingen bieden voor cyberdreigingsinlichtingen.

Oorspronkelijke auteurs: Cedric Bonhomme, Alexandre Dulaunoy

Gepubliceerd 2026-04-20

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Cedric Bonhomme, Alexandre Dulaunoy

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Titel: Het Voorspellen van Digitale Vuurwerkshows: Hoe We Proberen Cybergevaar te Anticiperen

Stel je voor dat het internet een gigantische, donkere stad is. In deze stad gebeuren er soms kleine ongelukken of grote branden: dit zijn kwetsbaarheden (fouten in software). Soms weten alleen de makers ervan, maar soms wordt er publiekelijk over gesproken, wordt er code geschreven om het te misbruiken, of beginnen hackers het te gebruiken. Deze publieke signalen noemen de auteurs van dit paper "sightings" (waarnemingen).

Het doel van dit onderzoek is simpel: kunnen we voorspellen hoeveel "waarnemingen" er de komende dagen zullen zijn? Als we dat weten, kunnen beveiligingsexperts sneller ingrijpen.

Maar hier zit de twist: deze waarnemingen zijn zeer zeldzaam en onvoorspelbaar. Het is alsof je probeert te voorspellen wanneer er een meteoriet neerkomt. Soms gebeurt er niets, en dan ineens, in één dag, vallen er tien.

Hier is hoe de onderzoekers (Cédric en Alexandre van het CIRCL in Luxemburg) dit proberen op te lossen, vertaald naar alledaagse taal:

1. De Probleemstelling: Het "Rustige Meer" vs. De "Plotselinge Vloed"

De onderzoekers wilden eerst de klassieke methoden gebruiken die we al decennia gebruiken voor weersvoorspellingen of beurskoersen. Ze noemen dit SARIMAX.

De Analogie: Stel je voor dat je probeert de waterstand van een rustig meer te voorspellen op basis van de afgelopen week. SARIMAX werkt goed als het water langzaam stijgt of daalt.
Het Probleem: Bij cyberkwetsbaarheden is het water niet rustig. Het is een droge zandvlakte (veel dagen met 0 waarnemingen) en dan ineens een tsunami (een plotselinge storm van waarnemingen).
Het Resultaat: De klassieke modellen raakten in paniek. Ze gaven soms voorspellingen van negatieve waarnemingen (wat onmogelijk is: je kunt niet -5 hackers hebben) of hun voorspellingen waren zo onzeker dat de marge van "misschien" zo groot was dat het nutteloos werd. Het was alsof je probeert een ontploffing te voorspellen met een thermometer voor waterkoken.

2. De Oplossing 1: De "Tel-Verhuurder" (Poisson-regressie)

Omdat klassieke modellen faalden, probeerden ze een andere aanpak: Poisson-regressie.

De Analogie: In plaats van te kijken naar een vloeiende lijn, kijken ze puur naar het tellen van gebeurtenissen. Het is alsof je in plaats van te proberen de stroom van een rivier te meten, gewoon telt hoeveel mensen er per uur door een poort lopen.
De Voordelen: Dit model weet dat je geen halve mensen of negatieve mensen kunt tellen. Het houdt rekening met het feit dat het om losse, discrete gebeurtenissen gaat.
Het Resultaat: Dit werkt veel beter voor korte periodes. Het geeft stabielere antwoorden, vooral als je de data per week samenvat in plaats van per dag.

3. De Oplossing 2: De "Vuurwerk-Formule" (Exponentiële Afname en Logistieke Groei)

De onderzoekers realiseerden zich dat cybergebeurtenissen vaak een specifiek patroon hebben: een piek en dan een afname.

Scenario A: De Vuurwerkshow (Logistieke Groei): Als een nieuwe kwetsbaarheid net bekend wordt, is er een enorme hype. Iedereen praat erover, er komen veel waarnemingen. Dit lijkt op een vuurwerkshow die op zijn hoogtepunt is en dan langzaam afneemt. Ze gebruiken een wiskundige formule om die kromme te volgen.
Scenario B: De Uitdovende Brand (Exponentiële Afname): Als de hype voorbij is en de aandacht zakt, gebruiken ze een formule die simuleert hoe een brand langzaam dooft.
De Slimme Strategie: De onderzoekers stellen voor om een "slimme schakelaar" te bouwen. Kijkt de software naar de laatste paar dagen? Gaan de aantallen omhoog? Gebruik dan de Vuurwerk-formule. Gaan ze omlaag? Gebruik dan de Doof-formule.

4. De Rol van de "Gevaarsscore" (VLAI)

In hun eerdere werk hebben ze een AI ontwikkeld (VLAI) die de tekst van een kwetsbaarheid leest en een gevaarscore geeft (hoe gevaarlijk is het?).

De Idee: Ze hoopten dat ze deze score konden gebruiken als een extra hint. "Hoe gevaarlijker de fout, hoe meer mensen erover praten."
De Realiteit: Het werkt, maar niet perfect. Omdat de gevaarscore van een fout vaak niet verandert (een fout blijft even gevaarlijk), helpt het niet altijd om de tijdslijn te voorspellen. Het is alsof je probeert te voorspellen hoe hard het gaat regenen op basis van de kleur van de auto's op de parkeerplaats. Het heeft een verband, maar het is geen directe oorzaak.

Conclusie: Wat leren we hieruit?

De boodschap van dit paper is nuchter maar waardevol:

Geen magische kristallen bol: Het is extreem moeilijk om zeldzame, explosieve cybergebeurtenissen precies te voorspellen met traditionele methoden.
Houd het simpel: Voor korte periodes werken simpele modellen (zoals tellen of het volgen van een afnemende kromme) beter dan complexe, zware wiskunde.
Pas je aan: Als je ziet dat de trend verandert (van stijgend naar dalend), moet je je model ook veranderen.
Meer data is beter: Hoe langer je kijkt naar een kwetsbaarheid, hoe beter je voorspellingen worden. Maar in de echte wereld hebben we vaak maar een paar dagen data, wat het een uitdaging maakt.

Kortom: De onderzoekers zeggen: "We kunnen niet perfect voorspellen wanneer de volgende cyber-explosie komt, maar met de juiste, simpele tools kunnen we wel een betere inschatting maken dan alleen maar raden."

Titel: Modellering van schaarse en burst-achtige kwetsbaarheidswaarnemingen: Voorspelling onder data-beperkingen

Auteurs: Cédric Bonhomme en Alexandre Dulaunoy (Computer Incident Response Center Luxembourg - CIRCL)
Datum: 5 november 2025 (gepubliceerd op arXiv in april 2026)

1. Het Probleem

Het voorspellen van de evolutie van kwetsbaarheidsactiviteiten is een grote uitdaging in cyberthreat intelligence. Traditionele methoden focussen vaak op risicobeoordeling (bijv. CVSS-scores) in plaats van voorspelling.

Kernprobleem: Data over "sightings" (waarnemingen zoals PoC-code, scanner-detecties, of discussies op platforms zoals de Fediverse) is extreem schaars (veel nullen), burst-achtig (plotselinge pieken) en vaak beperkt tot korte tijdreeksen (10-30 dagen per kwetsbaarheid).
Doel: Het ontwikkelen van modellen om het toekomstige aantal waarnemingen per kwetsbaarheid te voorspellen, zodat verdedigers patches kunnen prioriteren op basis van reële activiteit.
Context: De auteurs bouwen voort op hun eerdere werk VLAI, een transformer-model dat de ernst (severity) van een kwetsbaarheid voorspelt op basis van tekstuele beschrijvingen. Ze onderzoeken of deze ernst-scores als exogene variabele kunnen dienen in voorspellingsmodellen.

2. Methodologie

De auteurs hebben meerdere statistische en probabilistische benaderingen getest om dagelijkse of wekelijkse sighting-counts te voorspellen:

SARIMAX (Seasonal AutoRegressive Integrated Moving Average with eXogenous regressors):
- Toepassing van klassieke tijdreeksmodellen, inclusief log-transformatie ($log(x+1)$) om nullen te hanteren.
- Integratie van de VLAI-ernstscore als exogene variabele ($exog$) om te testen of ernstiger kwetsbaarheden meer waarnemingen genereren.
- Testen met en zonder seizoenscomponenten.
Poisson-regressie (en Negatief Binomiaal):
- Gezien de aard van de data (discrete, niet-negatieve gehele getallen), werd Poisson-regressie gebruikt.
- Dit model garandeert dat voorspellingen $\ge 0$ blijven en kan overdispersie (wanneer variantie > gemiddelde) aanpakken.
Exponentiële Afname (Exponential Decay):
- Formule: $y(t) = a \cdot e^{-bt} + c$ .
- Geschikt voor kwetsbaarheden die hun piek al hebben gepasseerd en waarbij de activiteit afneemt.
Logistische Groei (Logistic Growth):
- Formule: $y(t) = \frac{L}{1 + e^{-k(t-t_0)}}$ .
- Geschikt voor "burst-and-fade" dynamiek: snelle stijging na publicatie, gevolgd door een plateau en langzame afname.
Adaptieve Strategie:
- Een hybride aanpak die de recente trend (lineaire helling) analyseert om te bepalen of een logistisch model (stijgende trend) of een exponentieel afname-model (dalende trend) het beste past.

3. Belangrijkste Resultaten en Bevindingen

SARIMAX faalt in de praktijk:
- SARIMAX bleek onbetrouwbaar voor korte tijdreeksen (< 30 dagen) en zeer schaarse data.
- Problemen: Het model produceerde vaak onzinnige voorspellingen (inclusief negatieve aantallen), extreem brede betrouwbaarheidsintervallen (confidence intervals) en over-smoothde de burst-pieken.
- Oorzaak: SARIMAX vereist doorgaans 50-100 observaties voor stabiele parameterschatters, wat zeldzaam is voor individuele CVE's in de vroege levensfase.
Poisson-regressie is robuuster:
- Leverde stabielere en interpreteerbaardere resultaten, vooral bij wekelijkse aggregatie.
- Voorkwam negatieve voorspellingen.
- Werkt goed voor korte termijn, maar kan moeite hebben met plotselinge uitbijters (spikes) als er te weinig data is.
Exponentiële en Logistische modellen:
- Deze curve-fitting methoden presteerden beter bij specifieke scenario's.
- Logistisch: Werkt goed voor nieuwe, trending kwetsbaarheden met een duidelijke opwaartse of plateau-fase.
- Exponentieel: Werkt goed voor kwetsbaarheden die al afnemen.
- Adaptieve selectie: Het automatisch kiezen van het juiste model op basis van de recente trend (stijgend vs. dalend) gaf de meest accurate korte-termijnvoorspellingen.
Rol van VLAI-ernstscore:
- Hoewel het theoretisch logisch is dat ernstigere kwetsbaarheden meer aandacht trekken, was de VLAI-score in de praktijk een beperkte voorspeller. Omdat de score vaak constant blijft na publicatie, biedt het weinig variatie voor het model om op te leren, tenzij er veel data is verzameld.

4. Bijdragen

Methodologische inzichten: Het paper demonstreert dat klassieke tijdreeksmodellen (SARIMAX) vaak ongeschikt zijn voor cyberthreat intelligence-data vanwege de "zero-inflated" en burst-achtige aard.
Praktische alternatieven: Het introduceert en valideert het gebruik van tellende modellen (Poisson) en parametrische curves (Logistisch/Exponentieel) voor korte-termijn voorspelling van kwetsbaarheidsactiviteit.
Integratie van NLP en Voorspelling: Het koppelt semantische ernstbeoordeling (via VLAI) aan temporele voorspelling, hoewel de directe correlatie in korte tijdreeksen beperkt bleek.
Open Source Referentie: De experimenten zijn reproduceerbaar via de code van het project TARDISsight.

5. Betekenis en Toekomstperspectief

Operationele relevantie: Voor beveiligingsteams is het cruciaal om niet alleen te weten dat een kwetsbaarheid bestaat, maar hoe de aandacht eromheen evolueert. Simpele, robuuste modellen zijn vaak nuttiger dan complexe modellen die instabiel zijn door data-schaarste.
Aanbevelingen:
- Verzamel meer data (combineer bronnen, verleng observatievensters).
- Gebruik eerst simpele modellen (rollend gemiddelde, exponentiële afname) voor korte vensters.
- Vermijd SARIMAX tenzij er maanden aan data beschikbaar zijn.
- Implementeer een adaptieve strategie die het model kiest op basis van de huidige trend.
Toekomstig werk: De auteurs plannen real-time updates van voorspellingen, het onderscheiden van verschillende types sightings (bijv. "Confirmed" vs. "Exploited"), en verdere integratie van de VLAI-ernstscore om de link met daadwerkelijke exploitatie te versterken.

Conclusie: Het paper benadrukt dat het voorspellen van zeldzame, burst-achtige cybergebeurtenissen fundamenteel anders is dan traditionele tijdreeksanalyse. Succes vereist modellen die rekening houden met discrete data, data-schaarste en de specifieke dynamiek van kwetsbaarheidsdiscussies, waarbij eenvoudige, niet-lineaire modellen vaak superieur zijn aan complexe ARIMA-varianten.