Applying JEPA-Style Predictive Learning to JA4-Derived Network Fingerprints

Stel je voor dat je een mysterieuze reiziger probeert te identificeren in een druk treinstation. Normaal gesproken controleren beveiligers alleen een enkel ID-bewijs (een "vingerafdruk") tegen een enorme lijst met bekende gezichten. Als de kaart overeenkomt, is dat geweldig; zo niet, dan weten ze niet wat ze moeten doen. Dit is hoe de meeste computernetwerken momenteel verkeer identificeren: ze kijken naar een korte code (zoals een JA4-vingerafdruk) en zeggen: "Oh, dat is een webbrowser," of "Dat is een server." Het is snel, maar het is rigide. Het begrijpt de reiziger niet echt; het kijkt alleen naar een naamkaartje.

Stel je nu een nieuw soort detective voor die niet alleen een lijst controleert. In plaats daarvan kijkt deze detective naar een paar verschillende aanwijzingen die de reiziger bij zich draagt — een hoed, een schoen, een ticket en een rugzak. Zelfs als de reiziger een hoed mist of de detective de rugzak niet kan zien, probeert de detective te raden hoe de ontbrekende aanwijzingen eruit zouden moeten zien op basis van de aanwijzingen die hij wel kan zien. Als de gok overeenkomt met de werkelijkheid, leert de detective iets dieps over de stijl van de reiziger.

Dit is precies wat de onderzoekers aan de Universiteit Luzern deden met een nieuw systeem dat ze JA4-JEPA noemden.

Het "Ontbrekende Stukje" Puzzel

Het team nam een enorme collectie netwerk-"ID-kaarten" (ongeveer 3�97.000 monsters) van twee verschillende bronnen. Deze kaarten hadden vier verschillende secties:

1. JA4: De basisclient-ID (zoals een paspoort).
2. JA4H: Hoe de client met een website communiceert (zoals een gesprek).
3. JA4S: Hoe de server reageert (zoals een antwoord).
4. JA4X: Details over de digitale certificaten (zoals een visum).

Hier is het lastige deel: Geen enkele ID-kaart in hun stapel had alle vier de secties. Sommigen misten het gesprek, anderen misten het antwoord. Het was alsof je probeerde te leren hoe iemand eruitziet door in sommige foto's slechts het halve lichaam te zien en in andere foto's de andere helft.

De onderzoekers bouwden een slimme AI (een Transformer-model) om een spel van "invullen van de lege plekken" te spelen. Ze lieten de AI enkele secties van de ID-kaart zien en vroegen de AI om de verborgen secties te voorspellen. In plaats van te proberen de hele afbeelding opnieuw te tekenen (wat moeilijk en traag is), leerde de AI om de essentie of de "vibe" van de ontbrekende delen te voorspellen in een verborgen mentale ruimte. Deze aanpak wordt JEPA (Joint-Embedding Predictive Architecture) genoemd, en wordt meestal gebruikt voor afbeeldingen en video's, niet voor netwerkcodes.

De Resultaten: Een Nieuw Soort Superkracht

Na de training bevroor de onderzoekers het brein van de AI en testten ze het. Ze vroegen: "Kun je me vertellen of dit verkeer een webbrowser (TLS), een domeinnaam systeem (DNS) of een secure shell (SSH) is?"

De resultaten waren verrassend sterk:

• De voorspellingen van de AI kwamen overeen met de echte verborgen secties met een cosinus-gelijkenis van 0,9899 (wat bijna perfect is, zoals twee tweelingen).
• Wanneer de AI werd gebruikt om verkeer in groepen te sorteren, kreeg het via een eenvoudige methode waarbij buren worden gecontroleerd in 92,20% van de gevallen gelijk op 39.416 nieuwe, ongeziene monsters.

Dit suggereert dat de AI, zelfs met onvolledige gegevens, een rijke, nuttige representatie van het netwerkverkeer heeft geleerd. Het is niet meer alleen het matchen van een naamkaartje; het begrijpt de structuur van het verkeer.

De "Anomalie" Test: De Impostors Betrappen

Om te zien of deze nieuwe methode daadwerkelijk beter was dan de oude manieren, voerde het team een tweede test uit op een enorme dataset van 2,1 miljoen echte verkeersparen van een enterprise gateway. Ze creëerden twee soorten "nep" anomalieën (trucs) om te zien welk systeem ze kon betrappen:

1. De Shuffle: Het mengen van een echte ID met een willekeurig, ongerelateerd gesprek.
2. De Hard-Positive: Het mengen van een echte ID met een gesprek dat het nooit heeft gevoerd, ook al zijn beide onderdelen algemeen voorkomend.

Ze vergeleken hun nieuwe AI met vijf andere methoden: frequentietelling, nearest-neighbor lookups, autoencoders en clustering.

De bevindingen waren duidelijk:

• Het JA4-JEPA-model was de enige die sterk presteerde op beide soorten trucs. Het betrapte de impostors met een AUC van 0,922 (een score waarbij 1,0 perfect is) voor de shuffle en 0,925 voor de hard-positive.
• De andere methoden faalden op minstens één van de tests. Zo waren eenvoudige frequentietellers volledig blind voor de nieuwe combinaties, en werden nearest-neighbor lookups traag en verward naarmate de data groeide.
• Snelheid: De AI kon 8.000 paren per seconde scoren op een standaard CPU, en de snelheid nam niet af naarmate de database groter werd. In contrast hiermee vertraagde de nearest-neighbor methode van 3.400 paren per seconde naar slechts 250 naarmate de data toenam.

Wat het Papier Niet Zegt

Het is belangrijk om te weten wat deze magische truc niet doet.

• Het is geen kristallen bol voor malware: Het artikel stelt expliciet dat hoewel het het verschil kan zien tussen een webbrowser, een DNS-server en SSH, het nog steeds niet kan vertellen welke specifieke app er draait (zoals "Chrome" versus "Firefox") of of het verkeer kwaadaardig is. De labels die zij hadden waren te breed voor dat.
• Het is nog niet perfect in het "zien" van alles: Omdat de trainingsdata ontbrekende stukjes had (geen enkel monster had alle vier de weergaven), kan de AI zwaar leunen op het ene stukje dat het altijd ziet (JA4) om de rest te raden. De auteurs suggereren dat, hoewel de resultaten veelbelovend zijn, we niet 100% zeker kunnen zijn dat de AI diepe connecties tussen alle weergaven heeft geleerd, omdat het nooit een compleet beeld zag tijdens de training.
• De "Kalibratie" is nog een werk in uitvoering: De AI is erg goed in het ranken van impostors (weten welke het meest verdacht is), maar het instellen van een specifieke "alarmlijn" (drempelwaarde) is nog steeds lastig. Bij een budget van 5% voor valse alarmen, betrapte het slechts 53% van de lastige "hard-positive" anomalieën. De ranking is sterk, maar de exacte alarminstelling heeft nog werk nodig.

De Kern van het Verhaal

Het artikel suggereert dat het aanleren van een AI om de "ontbrekende delen" van vingerafdrukken te raden, een krachtige nieuwe manier is om verkeer te begrijpen. Het creëert een lichtgewicht, snel en slim systeem dat beter is dan huidige methoden in het opsporen van vreemde combinaties. Het is echter nog geen opgelost probleem. De onderzoekers zijn voorzichtig positief: de methode werkt voor het sorteren van verkeerstypen en het opsporen van anomalieën, maar om een echt wereldwijd beveiligingsinstrument te worden dat specifieke virussen of apps vangt, hebben we meer gedetailleerde labels en betere data nodig waar alle puzzelstukjes daadwerkelijk aanwezig zijn.

Kortom: de AI leerde het spel "raad het ontbrekende stukje" zo goed dat het de hele context begon te begrijpen, zelfs wanneer de afbeelding gescheurd was. Maar we moeten de AI nog steeds leren hoe ze de specifieke slechteriken in de menigte moeten herkennen.