💻 computer science

Cyber Dynamics I: Finite Macrostates for Behavioral Anomaly Detection in Network Telemetry

Dit artikel stelt een einddimensionaal macrotoestandsframework voor voor netwerktelemetrie dat verder gaat dan scalaire entropiemetrieken om gedragsmatige toestandsruimtetransities te modelleren, waardoor het onderscheid tussen benigne workload-drift en adversariële reorganisatie verbetert en tegelijkertijd meer interpreteerbare anomaliedetectie biedt.

Oorspronkelijke auteurs: Abdul Rahman, Eranga Bandara, Sachin Shetty

Gepubliceerd 2026-07-09

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Abdul Rahman, Eranga Bandara, Sachin Shetty

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een dief probeert te detecteren in een druk kantoorgebouw.

De Oude Manier (Alleen Entropie)
Al een lange tijd gebruiken beveiligers een eenvoudige methode: ze tellen hoeveel mensen er rondlopen in een gang. Als een gang normaal gesproken rustig is en er plotseling 50 mensen doorheen stormen, gaat het alarm af. Of als een gang normaal gesproken chaotisch is en plotseling perfect stil wordt, gaat het alarm af.

In de wereld van computernetwerken wordt dit entropie genoemd. Het meet "wanorde". Als het dataverkeer ongewoon rommelig of ongewoon georganiseerd is vergeleken met de norm, signaleert het systeem dit.

Het Probleem
Het probleem is dat deze methode te simpel is.

Stel je een geplande brandoefening voor. Plotseling stormen 500 mensen het gebouw uit. De "wanorde"-meter van de bewaker schiet omhoog, maar het is geen dief; het is gewoon een normale gebeurtenis.
Daartegenover staat een dief die heel stil is. Hij haast zich niet; hij loopt gewoon langzaam van de ene naar de andere kamer om bestanden te stelen. De "wanorde"-meter blijft normaal omdat de menigte niet wild beweegt. De dief komt weg omdat hij geen "rommel" heeft gemaakt.

De oude methode kijkt naar de ruis (de chaos), maar mist het verhaal (wie wat doet, en hoe zij met elkaar verbonden zijn).

De Nieuwe Manier (Cyber Dynamica & Macrostaten)
Dit paper stelt een nieuwe manier voor om naar het gebouw te kijken. In plaats van alleen mensen te tellen, creëert het beveiligingssysteem een "Macrostaat."

Beschouw een Macrostaat als een snapshot van de "vibe" of "persoonlijkheid" van het gebouw over een korte periode (zoals een venster van 60 seconden). Deze snapshot telt niet alleen mensen; het legt een volledig profiel vast:

Activiteit: Hoeveel gebeurt er? (Is het gebouw vol of leeg?)
Wanorde: Is de beweging chaotisch of geordend? (Het oude entropie-gedeelte).
Structuur: Wie praat met wie? (Praat iedereen met iedereen, of fluistert één persoon met slechts enkelen?)
Volatiliteit: Is de beweging schokkerig en plotseling, of vloeiend?
Persistentie: Lopen dezelfde mensen steeds weer hetzelfde pad?
Afwijking: Hoe verhoudt deze vibe zich tot wat "normaal" is?

De Analogie: Het Orkest

De Oude Methode luistert alleen naar het volume. Als het orkest te hard of te zacht wordt, gaat er een alarm af.
De Nieuwe Methode luistert naar de muziek. Het merkt het als de violen plotseling op de drums beginnen te spelen, of als de dirigent instructies fluistert aan de contrabassectie terwijl de rest van de band een slaapliedje speelt. Zelfs als het volume (entropie) gelijk blijft, is de structuur van de muziek veranderd. Die verandering in structuur is de anomalie.

Hoe het in de praktijk werkt
De onderzoekers hebben dit getest op echte netwerkdata (zoals verkeerslogs van de UNSW-NB15 en CIC-IDS2017 datasets). Ze vergeleken hun nieuwe "Macrostaat"-systeem met de oude "alleen entropie"-systemen.

De Resultaten

Betere Detectie: Het nieuwe systeem was veel beter in het opsporen van de "stille dieven" (aanvallen die georganiseerd lijken in plaats van chaotisch) en het negeren van de "brandoefeningen" (normale drukke tijden die chaotisch lijken).
De "60-seconden" Sweet Spot: Ze ontdekten dat het bekijken van de data in blokken van 60 seconden het beste werkte. Kijken naar 30 seconden was oké, maar kijken naar 5 minuten was te wazig om de details te zien.
Het gaat om het Verhaal, niet alleen om de Ruis: De experimenten lieten zien dat het toevoegen van "Structuur" (wie praat met wie) en "Activiteit" (hoe druk is het) aan de "Wanorde"-score het systeem veel slimmer maakte. De oude entropie-alleen methode was als het proberen te begrijpen van een film door alleen naar de helderheid van het scherm te kijken; de nieuwe methode kijkt naar het plot.

Wat het (nog) niet doet
Het paper is eerlijk over de beperkingen.

Het richt zich op netwerkverkeer (de gangen van het gebouw), niet op wat er binnenin de computers gebeurt (de kantoren) of wie de sleutels heeft (identiteit).
Het heeft de kunst van het voorspellen van de volgende stap nog niet volledig beheerst. Hoewel het systeem erg goed is in het beschrijven van de huidige "vibe", is het voorspellen van hoe de "vibe" in de volgende seconde precies zal veranderen, nog steeds een werk in uitvoering.

De Kernboodschap
Dit paper zegt: "Stop met het tellen van de chaos. Begin met het begrijpen van het verhaal." Door ruwe netwerkdata om te zetten in een rijk, multidimensionaal "persoonlijkheidsprofiel" van het systeem, kunnen we kwaadwillenden opsporen die proberen onopgemerkt te blijven, zelfs als ze geen lawaai maken.

Technische Samenvatting: Cyber Dynamics I: Eindige Macrostaten voor Gedragsafwijkingsdetectie in Netwerktelemetrie

1. Probleemstelling

Moderne cyberdefensie opereert in dynamische, heterogene omgevingen waar het onderscheid tussen benigne operationele variabiliteit (bijv. geplande back-ups, cloud autoscaling) en adversariële reorganisatie (bijv. APT laterale beweging, gecoördineerde staging) een centrale uitdaging vormt. Bestaande methoden voor afwijkingsdetectie, met name die gebaseerd op entropie, behandelen netwerktelemetrie vaak als geïsoleerde gebeurtenissen of smalle featurevectoren. Deze benaderingen berekenen entropie doorgaans als een scalaire statistiek over marginale distributies (bijv. bron-IP's, poorten).

Het artikel betoogt dat deze "scalaire entropie"-benadering twee kritieke beperkingen heeft:

Beperkte Representatie: Het reduceert systeemgedrag tot wanorde-metrieken, waarbij het faalt om structurele organisatie, persistentie of coördinatiepatronen te vatten.
Statisch Perspectief: Het behandelt anomalieën als ongebruikelijke distributies op een enkel punt in de tijd, waarbij het de temporele trajectorie en regimeovergangen negeert die complexe aanvallen vaak karakteriseren.

Gevolgelijk kan benigne workload-drift lijken op aanval-geïnduceerde instabiliteit, en kunnen georganiseerde aanvallen de marginale distributies behouden terwijl ze de systeemstructuur fundamenteel veranderen, wat leidt tot fout-positieven of gemiste detecties.

2. Methodologie: Het Raamwerk van Eindige Macrostaten

Het artikel stelt een eindig-dimensionaal macrostaat-raamwerk voor, geïnstancieerd over de Canonical Security Telemetry Substrate (CSTS). Deze benadering verschuift de analyse van geïsoleerde gebeurtenisrecords naar grofmazige gedragsstaten.

A. Formele Constructie
Het raamwerk werkt via drie niveaus:

Microstaten: De atomaire eenheid is een getypeerde netwerkgebeurtenis $e = (\tau, src, dst, svc, proto, dir, attrs)$ , die een tijdelijk gelokaliseerde interactie tussen persistente entiteiten vertegenwoordigt.
Windowed Micro-Ensembles: Gebeurtenissen worden geaggregeerd in tijdvensters $W_t$ om een multiset van gebeurtenissen $E_t$ te vormen. Dit legt de lokale gedragscontext vast in plaats van geïsoleerde punten.
Macrostaat Map ( $\Phi$ ): Een grofmazige functie brengt elk ensemble $E_t$ $E_{t}$ in kaart naar een eindig-dimensionale vector $X_t \in \mathbb{R}^d$ $X_{t} \in R^{d}$ . Deze vector is samengesteld uit zeven interpreteerbare observeerbare families:
- Activiteit ( $A_t$ ): Belasting en bezetting (bijv. flow-aantallen, unieke entiteiten).
- Wanorde ( $H_t$ ): Distributionele dispersie (Shannon, Rényi, of Tsallis entropie over rollen, services, protocollen).
- Structurele Orde ( $S_t$ ): Interactietopologie (graafdichtheid, graadconcentratie, motief-aantallen).
- Temporele Volatiliteit ( $V_t$ ): Kortetermijninstabiliteit en burstiness.
- Persistentie ( $P_t$ ): Recurrentie van edges, paden of motieven over vensters heen.
- Koppeling ( $C_t$ ): Afhankelijkheden tussen gedragscomponenten (weggelaten in de eerste empirische pass voor de eenvoud).
- Afwijking ( $D_t$ ): Afstand tot benigne baselines (bijv. Jensen-Shannon divergentie).

B. Dynamische Analyse
Het raamwerk behandelt cybergedrag als een traject $\{X_t\}$ door de macrostaatruimte. Afwijkingsdetectie wordt gedefinieerd via twee mechanismen:

Staat-anomalie: De huidige macrostaat $X_t$ ligt buiten de benigne regime-set $\mathcal{B}$ .
Transitie-anomalie: De stap van $X_t$ naar $X_{t+1}$ wijkt af van de nominale transitie-operator $T$ , die de verwachte benigne evolutie modelleert. Dit maakt detectie van abnormale beweging mogelijk, zelfs als individuele staten benigne lijken.

C. Theoretische Rechtvaardiging
Het artikel biedt formele proposities die aantonen dat:

Macrostaat-kaarten goed gedefinieerd en permutatie-invariant zijn.
Entropie-alleen macrostaten structureel incompleet zijn; verschillende micro-ensembles kunnen identieke entropie hebben maar een verschillende structurele organisatie.
Multischaal-analyse noodzakelijk is, aangezien de zichtbaarheid van anomalieën afhangt van de temporele resolutie (venstergrootte).

3. Experimenteel Ontwerp

Het raamwerk werd geëvalueerd op benchmark netwerktelemetrie-datasets: UNSW-NB15 en CIC-IDS2017.

Preprocessing: Gebeurtenissen werden genormaliseerd naar een uniform schema, rollen werden toegewezen, en gegevens werden chronologisch geordend om de temporele structuur te behouden.
Windowing: Experimenten maakten gebruik van meerdere schalen ( $\Delta \in \{30s, 60s, 300s, 900s\}$ ) met overlappende strides.
Baselines: Vergelijkingen werden gemaakt met:
- Entropie-alleen detectoren (drempelwaarde, logistische regressie op entropievectoren).
- Standaard afwijkingsdetectoren (Isolation Forest, One-Class SVM, Autoencoders) op geaggregeerde features.
Ablatie: De studie testte systematisch de bijdrage van elke macro-variabele familie (Activiteit, Wanorde, Structuur, Volatiliteit, Persistentie, Afwijking).

4. Belangrijkste Resultaten

A. Superieuriteit van Macrostaten boven Entropie-alleen
Op beide datasets presteerde de volledige macrostaat-representatie consistent beter dan de entropie-alleen baselines.

UNSW-NB15: Op de 60s schaal bereikte de volledige macrostaat een AUPRC van 0,9730, wat aanzienlijk beter is dan de beste entropie-alleen baseline (One-Class SVM op 0,9631).
CIC-IDS2017: De volledige macrostaat (AUPRC ~0,7917) presteerde beter dan de beste entropie-vector baseline (AUPRC ~0,7672) bij 60s.

B. Waarde van Structurele en Temporele Variabelen
Ablatiestudies toonden aan dat de winst niet louter voortkwam uit verhoogde dimensionaliteit, maar uit specifieke gedragscomponenten:

Het toevoegen van Activiteit aan Wanorde leverde een duidelijke winst op door entropie te contextualiseren.
Het toevoegen van Structurele Orde leverde de meest significante verbetering op, wat bevestigt dat aanvallen zich vaak manifesteren als een georganiseerde herconfiguratie in plaats van enkel toegenomen willekeur.
Persistentie en Afwijking zorgden voor een laatste, kleinere maar positieve lift.

C. Schaalgevoeligheid
De "beste" macrostaat-compositie varieerde per temporele schaal. Bijvoorbeeld, op CIC-IDS2017 was de intermediaire $A+H+V$ (Activiteit, Wanorde, Volatiliteit) configuratie het sterkst op 30s, terwijl de volledige macrostaat het beste was op 60s. Dit ondersteunt de theoretische claim dat de zichtbaarheid van anomalieën schaalafhankelijk is.

D. Beperkingen van Transitie-scoring
In tegenstelling tot de theoretische belofte, presteerde transitie-bewuste scoring (fusie van staat + transitie) niet beter dan staat-alleen scoring in de initiële experimenten. De auteurs schrijven dit toe aan de eenvoud van de gebruikte nominale transitie-operators (bijv. naïeve persistentie, lineaire regressie), wat suggereert dat het volledige dynamische voordeel meer geavanceerde trajectmodellering vereist in toekomstig werk.

5. Betekenis en Claims

Het artikel positioneert zichzelf als de eerste empirische stap in een breder "cyber dynamics" programma. De primaire bijdragen en claims zijn:

Verschuiving van Scalair naar Staat: Het demonstreert dat afwijkingsdetectie in cyber bevechter beter kan worden geframed als een probleem van constructie van een gedrags-toestandsruimte in plaats van scalaire onregelmatigheidsdetectie.
Entropie als Coördinaat, Niet als Oplossing: Het bewijst dat hoewel entropie een nuttige component is, het onvoldoende is als op zichzelf staande beschrijver voor complexe cybergedragingen die structurele reorganisatie inhouden.
Interpreteerbaarheid: Het macrostaat-raamwerk biedt een compacte, interpreteerbare representatie (activiteit, structuur, volatiliteit, etc.) die analisten in staat stelt te redeneren over waarom een staat afwijkend is, in plaats van alleen dat een staat afwijkend is.
Fundamentele Substraat: Door het raamwerk te instantiëren over CSTS, legt het artikel een canonieke basis die portabel is over netwerk-, endpoint- en heterogene telemetrie, wat de weg vrijmaakt voor toekomstig werk over stabiliteit, herstel en cross-modale analyse.

De auteurs merken expliciet de beperkingen op: de transitie-scoring resultaten zijn voorlopig, multiscale fusie is nog niet superieur aan het beste single-scale model, en de huidige evaluatie is netwerk-gecentreerd. Deze worden niet gepresenteerd als falen, maar als de gedefinieerde grenzen van "Paper I" en de roadmap voor "Cyber Dynamics II en III".