ARCANE: Cross-Campaign Attacker Re-identification via Passive Beacon Telemetry -- A Bayesian Network Framework for Longitudinal Cyber Attribution

1. Probleemstelling

Cyber-attributie blijft een kritieke uitdaging vanwege het gemak waarmee IP-adressen kunnen worden gespoof, het gebruik van anonimiseringsmiddelen (TOR, VPN's) en bewuste "false flag"-tactieken door geavanceerde dreigingsactoren. Huidige attributiemethoden werken doorgaans op incident-basis, behandelen elke campagne als een geïsoleerd gebeurtenis en verwerpen de overvloed aan bewijsmateriaal dat over tijd is verzameld in meerdere campagnes.

Het artikel onderzoekt een fundamentele vraag: Kan het aggregeren van bewijsmateriaal over meerdere campagnes (longitudinale analyse) de identificatie van tegenstanders betekenisvol verbeteren, of verhinderen structurele beperkingen in de kenmerkruimte dit? Specifiek onderzoeken de auteurs of passieve beacon-telemetrie (het volgen van payloads die door aanvallers worden geactiveerd) kan worden gebruikt om persistente "vingerafdrukken" te bouwen die heridentificatie van actoren over verschillende operaties heen mogelijk maken.

2. Methodologie: Het ARCANE-kader

De auteurs stellen ARCANE (Attacker Re-identification via Cross-campaign Attribution Network) voor, een probabilistisch kader dat is ontworpen om geloofswaarden over de identiteit van een aanvaler stapsgewijs bij te werken op basis van stromende telemetrie.

A. Formeel Kader

• Bayesiaanse Inferentie: Attributie wordt gemodelleerd als een sequentieel probabilistisch inferentieprobleem. Het systeem onderhoudt een posterior-kansverdeling $P(A=a_i | e)$ over een set kandidaat-actoren $A$, die wordt bijgewerkt naarmate nieuw bewijs $e$ (campagnevingerafdrukken) binnenkomt.
• Vingerafdrukken: Elke campagne wordt omgezet in een 24-dimensionale kenmerkvector ($f_k$) die gedrags-, infrastructuur- en temporele kenmerken samenvat die zijn afgeleid van beacon-callbacks.
  • Kenmerken omvatten: TOR/VPN-gebruiksrates, verblijftijd, tijdzone/lokaliteit, VM-detectie, consistentie van tools, specifieke APT-toolclusters (bijv. Cobalt Strike, Mimikatz) en entropie van callbacktijden.
• Cross-Campaign Confidence (CCC): Een metriek die de gelijkenis aggregeert tussen een nieuwe query-vingerafdruk en een kennisbank van bekende actorvingerafdrukken. Het omvat een tijdvervalfactor ($e^{-\delta \cdot d_k}$) om rekening te houden met actor-evolutie en toolwisselingen, zodat oudere bewijslast minder zwaar weegt.
• Scheidbaarheidskloof ($\Delta S$): Gedefinieerd als het verschil tussen de gemiddelde binnen-actor-gelijkenis ($\bar{S}_w$) en de gemiddelde kruis-actor-gelijkenis ($\bar{S}_c$). Het artikel stelt dat betrouwbare attributie vereist dat deze kloof een statistische drempel overschrijdt die afhankelijk is van het aantal trainingscampagnes.

B. Algorithmus

ARCANE werkt via een temporeel leave-one-out validatieprotocol:

1. Campagnes worden chronologisch verwerkt.
2. Voor elke campagne berekent het systeem de CCC tegen de actor-kennisbank (opgebouwd uit eerdere campagnes).
3. Een waarschijnlijkheidsmodel koppelt CCC aan een kansupdate.
4. De posterior-verdeling wordt genormaliseerd en de meest waarschijnlijke actor wordt geselecteerd.
5. De huidige campagne wordt toegevoegd aan de kennisbank voor toekomstige queries.

3. Experimentele Opzet

• Dataset: Vanwege het gebrek aan publieke longitudinale beacon-data hebben de auteurs een synthetische benchmark samengesteld op basis van MITRE ATT&CK, Mandiant en Recorded Future-intelligence.
• Scope: 8 gesimuleerde nation-state-dreigingsactoren (KP, RU, CN, IR) over 18 maanden (januari 2024–juni 2025).
• Schaal: 96 campagnes met in totaal 524 beacon-callbacks.
• Adversariële Modellering: Actoren kregen verschillende sofisticatieniveaus toegewezen en een ontwijkingschema waarbij hun ontwijkingscapaciteiten (TOR-gebruik, toolwisselingen, lokaliteit-spoofing) lineair toenamen over tijd om aanpassing in de echte wereld te simuleren.
• Basislijn: Een per-campagne nearest-neighbor-basislijn met statische lopende-gemiddeldeprofielen.

4. Belangrijkste Resultaten

De evaluatie leverde tegenintuïtieve maar significante bevindingen op:

A. Het Scheidbaarheidsplafond

• Hoge Gelijkenis: De kenmerkruimte is extreem dicht. De gemiddelde binnen-actor-gelijkenis ($\bar{S}_w$) was 0,848 en de kruis-actor-gelijkenis ($\bar{S}_c$) was 0,802.
• Onvoldoende Kloof: De scheidbaarheidskloof ($\Delta S = 0,046$) was statistisch significant maar te klein om heridentificatie met hoge zekerheid voor 8 actoren te ondersteunen.
• Prestaties: ARCANE behaalde een algehele nauwkeurigheid van 30,7%, wat eigenlijk lager was (hoewel niet statistisch significant) dan de per-campagne-basislijn (43,2%). De Bayesiaanse accumulatie slaagde er niet in de posterior-kans te concentreren omdat het nieuwe bewijsmateriaal niet voldoende onderscheidend was ten opzichte van bestaande ruis.

B. Ontwijkingsinvariantie

• Verrassende Bevinding: De nauwkeurigheid van ARCANE bleef stabiel (20,6%–25,2%) ongeacht het ontwijkingsniveau van de actor.
• Implicatie: De primaire barrière voor attributie is niet adversariële ontwijking (bijv. het gebruik van TOR of het wisselen van tools). In plaats daarvan is de beperking kenmerk-ononderscheidbaarheid: geavanceerde actoren convergeren natuurlijk naar vergelijkbare operationele beveiligingspraktijken (hoog TOR-gebruik, frequente toolrotatie), waardoor ze in de huidige kenmerkruimte identiek lijken.

C. Leercurve

• Het vergroten van het aantal trainingscampagnes leidde niet tot een monotoon verbetering van de nauwkeurigheid. Dit bevestigt dat de bottleneck de structurele limiet van de kenmerkruimte is, en niet een gebrek aan datavolume.

5. Belangrijkste Bijdragen

1. Eerste Formeel Longitudinaal Kader: ARCANE is het eerste geformaliseerde Bayesiaanse kader voor cross-campaign actor-heridentificatie met behulp van passieve beacon-telemetrie.
2. Identificatie van het "Scheidbaarheidsplafond": Het artikel levert empirisch bewijs dat geavanceerde APT-groepen convergeren in een dichte regio van de gedragskenmerkruimte, waardoor standaard TTP-gebaseerde en beacon-gebaseerde vingerafdrukken ontoereikend zijn voor ontmaskering.
3. Ontwijkings-Invariantie Inzicht: De bevinding dat ontwijking de attributienauwkeurigheid niet verslechtert (omdat het probleem ononderscheidbaarheid is, en niet verduistering) biedt een nieuw strategisch perspectief voor verdedigers.
4. Kwantitatieve Gap-analyse: De auteurs kwantificeren de exacte kloof ($\Delta S$) die vereist is voor betrouwbare attributie, en tonen aan dat huidige 24-dimensionale kenmerken met een specifieke marge tekortschieten.

6. Betekenis en Toekomstige Richtingen

• Strategische Verschuiving: De resultaten suggereren dat verdedigers niet enkel moeten vertrouwen op het vergroten van de hoeveelheid beacon-data of hopen dat aanvallers fouten maken. In plaats daarvan moet de focus verschuiven naar het verrijken van signaalklassen.
• Voorgestelde Oplossingen: Om het scheidbaarheidsplafond te doorbreken, stellen de auteurs voor om te integreren:
  1. Doelwitsector van Slachtoffer: APT-groepen hebben vaak specifieke industriële doelen (bijv. financiën versus energie) die onafhankelijk zijn van hun operationele tools.
  2. Rijkere Temporele Patronen: Verder gaan dan eenvoudige uur-van-de-dag-entropie om patronen van de dag van de week en afstemming op nationale feestdagen op te nemen.
  3. Infrastructuur-hergebruikgrafieken: Het analyseren van het gelijktijdig voorkomen van specifieke ASN-bereiken of exit-nodes, zelfs binnen TOR-netwerken.
• Defensieve Strategie: Omdat ontwijking attributie niet schaadt, kunnen verdedigers agressief passieve attributie-infrastructuur (zoals honeytokens) inzetten zonder de angst dat het waarschuwen van de aanvaler het systeem nutteloos maakt.

Concluderend, hoewel ARCANE het probleem van longitudinale attributie succesvol formaliseert, dienen de empirische resultaten als een "constructief negatief", aantonend dat huidige gedragsvingerafdrukken structureel ontoereikend zijn voor het onderscheiden van geavanceerde actoren en benadrukkend de dringende behoefte aan multi-modale signaalintegratie.