A Hybrid Framework For Crypto-Ransomware Detection In Enterprise Shared Storage

Technische Samenvatting: Een Hybride Framework voor Crypto-Ransomware Detectie in Enterprise Shared Storage

Probleemstelling
Bedrijfomgevingen beperken de opslag van gevoelige gegevens op client-endpoints steeds vaker, waardoor opslag wordt verschoven naar netwerkschijven en gedeelde resources via het Server Message Block (SMB) protocol. Deze architecturale verschuiving heeft de aanvalsoppervlakte van ransomware uitgebreid van lokale systemen naar remote bestandservers. Traditionele endpoint-detectiemechanismen schieten in deze context vaak tekort omdat ze vertrouwen op lokaal systeemgedrag; een gecompromitteerde client kan gedeelde gegevens op een remote server versleutelen zonder dat dit op de server zelf eenwaarschuwing voor gedrag afdwingt. Bovendien kampen bestaande detectiemethoden met beperkingen zoals dataset-bias, een gebrek aan reproduceerbaarheid door privacybeperkingen op productieverkeer, en het onvermogen om ontwijkende varianten te detecteren die kwaadaardige payloads fragmenteren of opereren op Zero-Day kwetsbaarheden.

Methodologie
De auteurs stellen een hybride detectieframework voor dat is ontworpen voor geïntegreerde bestandsserver- en clientomgevingen, waarbij primair wordt geëxperimenteerd op SMB-netwerkverkeer (specifiek door analyse van SMBv2-codes, met equivalenten genoteerd voor SMBv3). Het framework bestaat uit drie sequentiële modules:

1. Per Packet IoC Detectie: Deze initiële fase scant individuele netwerkpakketten op bekende Indicators of Compromise (IoCs). Specifiek zoekt het naar de aanwezigheid van afpersingsberichten (vaak gedropt als ongeëncrypteerde bestanden in slachtoffermappen) door pakketlengtes te matchen tegen een repository van bekende ransomware-familiehandtekeningen. Indien een match wordt gevonden, wordt onmiddellijke remediëring geactiveerd.
2. Per Region of Interest (RoI) IoC Detectie: Om de detectie van ontwijkende varianten die afpersingsberichten over meerdere pakketten fragmenteren tegen te gaan, aggregeert deze module pakketten tot "Regions of Interest" (RoI). Een RoI wordt gedefinieerd als de sequentie van netwerkactiviteiten tussen twee opeenvolgende specifieke controlepakketten (geïdentificeerd als $p_{260}$, een 260-byte pakket gebruikt voor directory-enumeratie). Binnen een RoI controleert het systeem op geaggregeerde patronen van specifieke "Commands of Interest" ($CoI$) zoals bestandcreatie ($r_{p410}$), lezen ($r_{q171}$) en schrijven ($r_{p138}$). Als de ratio van deze geaggregeerde pakketten overeenkomt met bekende IoC-patronen, wordt een alarm geactiveerd.
3. Machine Learning (ML) Gebaseerde Detectie: Indien een pakket of RoI niet overeenkomt met bekende handtekeningen, wordt het doorgegeven aan een ML-module die ontworpen is voor het detecteren van nieuwe of onbekende ransomware-varianten.
   • Feature Engineering: Het framework introduceert een nieuwe techniek voor feature extractie gebaseerd op de RoI. Het berekent basiskenmerken (aantallen read, write, open, close operaties) en uitgebreide kenmerken (totaal, gemiddelde, standaarddeviatie en meest voorkomende waarden van write-data getriggerd door read of create operaties). Om omgeving-neutraliteit te garanderen, worden deze kenmerken gestandaardiseerd op basis van het totale aantal bestanden op de gedeelde schijf.
   • Model Training: Het systeem maakt gebruik van een Random Committee machine learning model. De trainingsdataset werd geconstrueerd uit 22 ransomware-families en 15 benign applicaties. De benign samples werden zorgvuldig geselecteerd om hoog-risico gebruikersgedrag na te bootsen (bijv. bulk data-import, encryptie via tools zoals Hicrypt, compressie via 7-Zip) om fout-positieven te verminderen. De dataset was gebalanceerd en verwerkt met 10-fold cross-validatie.

Belangrijkste Bijdragen

• Region of Interest (RoI) Techniek: Een nieuwe methode voor feature engineering die netwerkpakketten aggregeert op basis van specifieke SMB-controlecodes ($p_{260}$) om context-rijke datapunten te definiëren, wat de bias vermindert die inherent is aan fixed time-window of flow-gebaseerde benaderingen.
• Hybride Detectiearchitectuur: Een framework dat signature-gebaseerde IoC-detectie (voor bekende dreigingen) combineert met ML-gebaseerde anomaliedetectie (voor onbekende/ontwijkende dreigingen), geïntegreerd in een workflow die vroege interventie mogelijk maakt.
• Nieuwe Datasets: De auteurs presenteren twee nieuwe datasets:
  1. Een gelabelde dataset met 22 ransomware-families en 15 benign applicaties met een gedragsgelijkenis met ransomware, ontworpen om bias te minimaliseren.
  2. Een repository van netwerkgebaseerde Indicators of Compromise (IoCs) afgeleid van deze families.

Resultaten
Experimentele evaluatie van het framework leverde de volgende prestatie-metrieken op:

• Detectie Accuratesse: Het Random Committee model bereikte een detectieprecisie van 99,64%.
• Foutpercentages: Het systeem demonstreerde een 0% False Negative Rate (FNR), waardoor geen enkele ransomware-intrusie werd gemist, en een minimale False Positive Rate (FPR) van 0,004%.
• Vroege Detectie: Het framework identificeerde ransomware-intrusies succesvol voordat er significante schade optrad. Met behulp van een sliding window van 48 RoIs bereikte het systeem een vroege detectie-accuratesse van 99,44%.
• Familie-specifieke Prestaties: Hoewel modellen getraind op enkele families (bijv. LockBit2.0) een accuratesse van 100% behaalden, merken de auteurs op dat dergelijke smalle modellen niet robuust zijn. De kracht van het hybride framework ligt in het vermogen om te generaliseren over 22 diverse families.

Significantie en Claims
Het artikel claimt dat deze hybride aanpak de kritieke kloof adresseert in de detectie van ransomware die zich richt op gedeelde opslag in plaats van alleen lokale endpoints. Door verder te gaan dan de afhankelijkheid van de lokale host-status en netwerkverkeersanalyse te integreren met de nieuwe RoI-techniek, biedt het framework een robuuste verdediging tegen zowel bekende als ontwijkende varianten. De auteurs benadrukken dat de inclusie van benign gedrag dat de operaties van ransomware nauwgezet nabootst (zoals legitieme bulk encryptie en compressie) ervoor zorgt dat het detectiemodel niet gemakkelijk in de war wordt gebracht door algemene gebruikersacties. De ontdekking van nieuwe netwerkgebaseerde IoCs en de verstrekking van reproduceerbare datasets worden benadrukt als significante bijdragen aan zowel academisch onderzoek als industriële cybersecurity-defensie. De studie concludeert dat hoewel de gepresenteerde IoCs betrekking hebben op ongeëncrypteerd verkeer, de methodologie toepasbaar is op geëncrypteerde omgevingen (SMBv3) met overeenkomstige code-aanpassingen, wat een schaalbare oplossing biedt voor de beveiliging van enterprise shared storage.