Technische Samenvatting: PHANTOM – Polymorfe Honeytoken-Adaptatie met Op Verhaal Afgestemde Organisatorische Mimicry

1. Probleemstelling

Honeytokens – misleidende digitale activa ontworpen om ongeautoriseerde toegang te detecteren – zijn een gevestigde primitief in cyberbedrog. Bestaande generatietools (zoals Canarytokens en HoneyBadger) vertrouwen echter op statische, sjabloongebaseerde methoden die organisatorische specificiteit missen. Hoewel deze tokens vaak syntactisch geldig zijn, zijn ze semantisch hol. Geschoolde aanvallers en geautomatiseerde scanners (zoals trufflehog, gitleaks en ML-gebaseerde classifiers) kunnen ze eenvoudig identificeren omdat ze niet slagen in het nabootsen van de specifieke domeinnamen, service-namingconventies, technologie-stack-idiomen en verdelingen van geheime waarden van een doelorganisatie.

Het artikel identificeert drie kritieke gaten in de huidige benaderingen:

1. Ontbrekende Context: Echte referenties zijn diep verweven in de organisatorische context (bijvoorbeeld IAM-rollenamen die overeenkomen met specifieke service-architecturen), wat ontbreekt in generieke sjablonen.
2. Het Semantische Gat: Empirisch bewijs suggereert dat sjabloontokens weliswaar een hoge syntactische validiteit bereiken, maar significant falen in semantische coherentie, wat de primaire differentiator is tussen echte referenties en misleidingsmiddelen.
3. Detectieweerstand: Zelfs contextueel rijke tokens falen als geautomatiseerde scanners ze flaggen voordat een aanval erop stuit. Huidige tools ontwijken moderne statistische en machine learning-gebaseerde detectieheuristieken niet adequaat.

2. Methodologie: Het PHANTOM-kader

PHANTOM (Polymorfe Honeytoken-Adaptatie met Op Verhaal Afgestemde Organisatorische Mimicry) is een kader dat contextueel overtuigende honeytokens genereert door organisatie-specifieke kennis te coderen in een meercomponenten-generatiepijplijn.

2.1 Organisatieprofiel

Het systeem werkt op een gestructureerd Organisatieprofiel ($O$) dat bevat:

• Domeinnamen en korte namen.
• Servicelijsten en database-types/hosts.
• Cloudregio's en Git-organisatiedetails.
• JWT-uitgevers en -doelgroepen.

2.2 Contextuele Generatiepijplijn

In tegenstelling tot statische generatoren, maakt PHANTOM gebruik van specifieke generatoren ($G_t$) voor acht verschillende token-types (waaronder AWS-sleutels, omgevingsbestanden, JWT's en Slack-bot-tokens). Het kernontwerpprincipe is contextinjectie op waaarde-niveau:

• Elk benoemd veld (IAM-gebruikersnamen, databasnamen, Redis-hostnamen, Git-remote-URL's) is direct afgeleid van het organisatieprofiel.
• De pijplijn vermijdt externe API-oproepen, waardoor deze kan worden ingezet in luchtdichte of geclassificeerde omgevingen.
• Scanner-bewust Ontwerp: De generatoren zijn expliciet ontworpen om drie primaire scanner-heuristieken te ontwijken:
  • Regex/Patroon ($S_1$): Vervangt generieke rode vlag-strings (bijvoorbeeld "example.com") door waarden afgeleid van de organisatie.
  • Entropie-analyse ($S_2$): Bootst het gemengde entropieprofiel van echte bestanden na (hoge-entropie geheimen naast lage-entropie menselijk leesbare waarden) in plaats van uniforme hoge entropie.
  • ML-classifiers ($S_3$): Bevat organisatie-specifieke vingerafdrukken (domeinen, servicenamen) om classifiers te counteren die zijn getraind om een gebrek aan context te detecteren.

2.3 Evaluatiemetrics

Het artikel formaliseert tokenkwaliteit via een Geloofwaardigheidsscore ($B$) en een Samengestelde Honeytoken-score ($H$):

• Geloofwaardigheidsscore ($B$): Een gewogen compositie van vier componenten:
  1. Syntactische Validiteit ($S_v$): Correct formaat voor het token-type.
  2. Semantische Coherentie ($S_c$): Contextuele fitting met het organisatieprofiel.
  3. Statistische Normaliteit ($S_n$): Entropie en distributie-eigenschappen die overeenkomen met echte referenties.
  4. Menselijke Acceptatie ($S_h$): Fractie van deskundige beoordelaars die het token als echt classificeren.
• Detectieweerstand ($DR$): Gedefinieerd als $1 - P_d$, waarbij $P_d$ de detectiekans is door een gewogen ensemble van scannermodellen ($S_1, S_2, S_3$).
• Samengestelde Score ($H$): Balanceert geloofwaardigheid en detectieweerstand ($H = B^\lambda \cdot DR^\mu$).

3. Experimentele Opstelling

• Dataset: 32 PHANTOM-tokens en 32 op sjablonen gebaseerde basistokens gegenereerd over 8 token-types en 4 organisatorische contexten (FinTech, Gezondheidszorg, Defensie, E-commerce).
• Basislijn: Een statische sjabloongenerator die willekeurige geheime waarden gebruikt maar geen organisatorische context (equivalent aan Canarytokens).
• Evaluatie:
  • Geautomatiseerd: Drie scannermodellen (Regex, Entropie, ML-classifier) toegepast op alle tokens.
  • Menselijk: Deskundige beoordelaars classificeerden tokens als echt of misleidend.
  • Statistisch: Twee-steekproef Welch's t-tests met Bonferroni-correctie; effectgroottes gerapporteerd als Cohen's $d$.

4. Belangrijkste Resultaten

PHANTOM presteert significant beter dan de op sjablonen gebaseerde basislijn op alle primaire metrics:

Metric	Sjabloonbasislijn	PHANTOM	$\Delta$	Significantie
Geloofwaardigheid ($B$)	$0.576 \pm 0.058$	$0.778 \pm 0.057$	$+0.203$	$p < 0.001$ ($d=3.52$)
Syntactische Validiteit ($S_v$)	$0.842$|$0.876$|$+0.034$	Niet Significant
Semantische Coherentie ($S_c$)	$0.396$|$0.705$|$+0.309$|$p < 0.001$($d=4.52$)
Menselijke Acceptatie ($S_h$)	$6.2\%$	$100.0\%$	$+93.8\%$	$p < 0.001$
**Detectieweerstand ($DR$)** |$0.609$|$0.870$|$+0.261$|$p < 0.001$($d=7.49$)

• Semantische Coherentie als Drijvende Kracht: De grootste verbetering zat in semantische coherentie ($\Delta S_c = +0.309$), wat bevestigt dat organisatorische context het ontbrekende kritieke ingrediënt is. Syntactische validiteit toonde geen significant verschil, wat aangeeft dat formatcorrectheid een noodzakelijke maar onvoldoende voorwaarde is voor bedrog.
• Menselijke Acceptatie: 100% van de PHANTOM-tokens haalde de drempel voor menselijke experts ($B \ge 0.65$), vergeleken met slechts 6,2% van de sjablonen.
• Detectieweerstand: PHANTOM-tokens waren significant moeilijker te detecteren op alle drie de scannermodellen, met de meest dramatische verbetering tegen ML-gebaseerde classifiers (detectiekans daalde van 54,1% naar 16,2%).
• Pareto-optimaliteit: 100% van de PHANTOM-tokens viel binnen de "ideale zone" ($B \ge 0.70$ en $DR \ge 0.70$), terwijl dit slechts voor 6,2% van de sjabloontokens gold.

5. Betekenis en Claims

Het artikel beweert dat PHANTOM de fundamentele beperking van huidige honeytoken-generatie aanpakt: het ontbreken van organisatorische specificiteit.

• Primaire Bijdrage: De introductie van een formeel Geloofwaardigheidsscore-kader dat syntactische, semantische, statistische en menselijke dimensies integreert, en aantoont dat semantische coherentie de dominante drijvende kracht is van de kwaliteit van bedrog.
• Operationeel Voordeel: Door te opereren zonder externe API-oproepen, is PHANTOM volledig inzetbaar in luchtdichte omgevingen (bijvoorbeeld geclassificeerde overheidsnetwerken, industriële besturingssystemen) waar cloud-API-toegang verboden is, en biedt een kwaliteitsniveau dat vergelijkbaar is met LLM-gebaseerde benaderingen zonder netwerkafhankelijkheid.
• Strategische Impact: Het kader levert het hoogwaardige "aas"-component dat nodig is voor een complete post-exfiltratie-bedrog- en attributiepijplijn, en vult bestaande systemen aan zoals Passive Hack-Back en longitudinale heridentificatiesystemen.

De auteurs concluderen dat toekomstige inspanningen voor generatorkwaliteit de focus moeten verschuiven van formatcorrectheid (syntactische validiteit) naar semantische embedding, aangezien de laatste de primaire factor is die bepaalt of een honeytoken niet te onderscheiden is van een legitieme referentie.