FuseChain: Runtime Evidence Reconstruction for Software Supply-Chain Attacks

Technische Samenvatting: FuseChain

Probleemstelling

Software supply-chain (SSC) aanvallen worden steeds meer gekenmerkt door multi-stage, cross-source en temporeel verdeelde gedragingen. In tegenstelling tot traditionele malware-executie, fragmenteren moderne SSC-aanvallen bewijsmateriaal over diverse telemetriebronnen: pakketlogs, procesexecutie, systeemgebeurtenissen, DNS/TLS-stromen en netwerkverkeer. Individuele bronnen bevatten vaak slechts zwakke of ambigue sporen; bijvoorbeeld kan een netwerkverbinding onschuldig lijken zonder procescontext, of een procesexecutie normaal lijken zonder pakketprovenance.

Bestaande runtime-detectiesystemen analyseren deze bronnen doorgaans onafhankelijk of vertrouwen op statische graafmodellen die de event-time dynamiek niet kunnen vatten. Deze fragmentatie maakt het moeilijk om laagfrequente aanvalsbewijzen te identificeren of de temporele context waarin ze verschijnen te reconstrueren. Bovendien richten bestaande provenance-gebaseerde intrusiedetectiesystemen zich vaak op enterprise APT-omgevingen met dichte, host-gecentreerde auditstromen, die niet goed vertaalbaar zijn naar de schaarse, heterogene en multi-source aard van runtime SSC-telemetrie. Een kritieke uitdaging is dat het gezamenlijk optimaliseren van anomaliedetectie met attack-stage voorspelling ineffectief is onder schaarse en ongebalanceerde stage-supervisie, omdat stage-labels de leerprocessen van anomaly-centric representaties kunnen verstoren.

Methodologie

FuseChain is een runtime detectiekader ontworpen om heterogene telemetrie te aligneren in een uniforme temporele provenance graaf. De methodologie bestaat uit vier primaire componenten:

1. Multi-Source Temporele Provenance Graaf

FuseChain normaliseert ruwe security-telemetrie (van pakketbeheerders, hosts, netwerken en alerts) naar een canoniek schema van getypeerde temporele events. Elk event wordt gerepresenteerd als een tuple die een verenigde event-tijd, bron/bestemmingsentiteiten, relatietypes, multi-attribuut bewijs en de telemetriebron-identificator bevat. Deze events worden gemapt op een verenigde event-time as om een temporele heterogene graaf te construeren. Het framework ondersteunt zowel geobserveerde edges (direct uit logs) als afgeleide edges (regelgebaseerde temporele afhankelijkheden) om de graafcontext te verrijken zonder nieuwe observaties te introduceren.

2. Zelfgesuperviseerde Anomaliedetectie

De kern van FuseChain is een zelfgesuperviseerde temporele graaf-anomaliedetector gebaseerd op een Temporal Graph Network (TGN).

• Trainingsprotocol: Het model wordt getraind op een chronologische historische prefix van benigne telemetrie middels temporele link-predictie. Het leert toekomstige interacties te voorspellen op basis van historische node memory states.
• Labelonafhankelijkheid: Cruciaal is dat de anomaly backbone wordt getraind zonder gebruik te maken van IOC-annotaties of attack-stage labels. Dit voorkomt dat schaarse en ongebalanceerde stage-supervisie de leerprocessen van de behaviorale representatie corrumpeert.
• Scoring: Anomalie-scores worden afgeleid van de negatieve log-likelihood van geobserveerde events onder de geleerde normale dynamiek. Events die moeilijk te voorspellen zijn, ontvangen hogere scores.

3. Ontkoppelde Stage Interpretatie

Om het probleem van schaarse stage-labels aan te pakken, ontkoppelt FuseChain anomaliedetectie van stage interpretatie.

• Frozen Backbone: Na de training wordt de anomaly backbone bevroren.
• Lightweight Decoder: Een aparte, lichtgewicht decoder wordt getraind bovenop de bevroren backbone om observeerbare attack stages te voorspellen. Dit ontwerp behandelt stage-reconstructie als een downstream interpretatietaak, waardoor de kwaliteit van de geleerde behaviorale representaties behouden blijft terwijl stage-level classificatie mogelijk wordt gemaakt.

4. Adaptieve Retrieval en Reconstructie

Om het probleem te mitigeren waarbij hoge anomalie-scores geconcentreerd zijn in herhaalde benigne structuren (redundant bewijs), gebruikt FuseChain adaptieve retrieval-strategieën. Deze strategieën (bijv. PairDedupe, SourceQuota, Adaptive) selecteren top-ranked events op basis van diversiteit in bron, patroon of entiteit-tuples in plaats van enkel op de ruwe score. Dit zorgt ervoor dat de gereconstrueerde attack chain een breder scala aan observeerbare stages dekt zonder de onderliggende detector te wijzigen.

Belangrijkste Bijdragen

1. FuseChain Framework: Een runtime SSC-detectiekader dat heterogene telemetiebronnen verenigt in een temporele provenance graaf voor cross-source bewijsmodellering.
2. Zelfgesuperviseerd Anomalie Leren: Een temporele graaf-detector die anomaly-centric representaties leert van benign-prefix telemetrie zonder tijdens de trainingsfase te vertrouwen op attack-stage labels.
3. Ontkoppelde Architectuur: Empirisch bewijs dat deploybare attack-stage reconstructie effectiever is wanneer dit wordt behandeld als een downstream taak over een bevroren anomaly backbone, in plaats van als een gezamenlijk geoptimaliseerd objectief.
4. IOC Traceerbaarheid en Reconstructie: Introductie van mechanismen voor analisten-gerichte attack-chain recovery, inclusief expliciete links tussen graafinteracties en originele telemetrie-records, en de reconstructie van observeerbare attack stages.
5. Uitgebreide Evaluatie: Evaluatie over zeven SSC-attack scenario's in de SynthChain dataset, wat significante verbeteringen laat zien in stage reconstructie en detectieprestaties.

Experimentele Resultaten

De auteurs evalueerden FuseChain op zeven SSC-attack scenario's met behulp van de SynthChain dataset, die multi-source runtime telemetrie met schaars, multi-stage attack bewijs bevat.

• Detectieprestaties: FuseChain presteerde beter dan single-source baselines (audit-only, network-only, alert-only) en statische multi-source graaf-baselines (GraphSAGE, RGCN) in macro-gemiddelde AUROC, AUPRC en Precision@500.
• Stage Reconstructie:
  • Joint vs. Decoupled: Het gezamenlijk optimaliseren van anomaliedetectie en stage-voorspelling leverde een Stage Recall@500 op van 0.369. In contrast hiermee bereikte de ontkoppelde aanpak met een frozen backbone decoder een Stage Recall@500 van 0.881.
  • Adaptive Retrieval: Het toepassen van adaptieve retrieval-strategieën op de top-ranked events verhoogde de observable-stage recall van 0.524 (baseline by_k) naar 0.655 zonder de detector te wijzigen.
• Generalisatie: In een Leave-One-Scenario-Out (LOSO) cross-scenario evaluatie behield FuseChain nuttige anomaly-ranking signalen, wat suggereert dat temporele provenance patronen kunnen transfereren naar verschillende SSC-scenario's.
• Robuustheid: Weak-rule updates (bijv. het toevoegen van regels voor setup.py executie) vergrootten de dekking van specifieke gedragingen zonder significante regressie in de detectie te veroorzaken.

Betekenis en Claims

Het artikel claimt dat effectieve runtime SSC-verdediging temporele redenering vereist over heterogeen bewijs dat verdeeld is over meerdere bronnen. De primaire betekenis van FuseChain ligt in de architecturale scheiding van behavioral anomaly learning en deployable attack-stage interpretation.

De auteurs stellen dat schaarse en ongebalanceerde stage-labels interfereren met het leren van robuuste anomaly representaties wanneer deze gezamenlijk worden gebruikt. Door de anomaly backbone te bevriezen en stage-voorspelling te behandelen als een downstream taak, behoudt FuseChain de detectiekwaliteit terwijl het de capaciteit om observeerbare attack stages te reconstrueren aanzienlijk verbetert. De resultaten benadrukken dat het ontkoppelen van deze taken essentieel is voor het omgaan met de schaarste en diversiteit die inherent zijn aan real-world software supply-chain telemetrie.

Het werk positioneert zichzelf als een complement, in plaats van een vervanging, voor statische analyse en dependency scanning tools, met een focus op specifiek de runtime detectiefase na deployment. De auteurs merken op dat de kwaliteit van reconstructie begrensd wordt door de beschikbaarheid van telemetrie; stages zonder IOC-backed bewijs in de verzamelde logs blijven onobserveerbaar, en het systeem is ontworpen om complementaire runtime sensors te fuseren in plaats van te fungeren als een standalone source-specifieke detector.