Towards Model-based Run-time Cybersecurity: On Control-Flow Anomaly Detection, Attack Identification, and Hardware Monitoring

Stel je voor dat je de beveiligingsbeambte bent van een hightech kasteel. Je taak is niet alleen om te controleren wie er door de voordeur loopt; je moet ook ervoor zorgen dat ze eenmaal binnen niet het meubilair gaan verplaatsen, de fresco's overschilderen of stiekem de slaapkamer van de koning binnendringen. In de wereld van computers wordt dit cybersecurity genoemd. Lange tijd hielden bewakers vooral de voordeur (het netwerk) in de gaten om te zien of er slechteriken probeerden in te breken. Maar moderne hackers zijn slim; ze komen soms binnen en proberen dan de manier waarop de computer denkt en beweegt te veranderen, terwijl ze zich voordoen als een normaal, behulpzaam programma.

Om deze sluwe indringers te vangen, gebruiken wetenschappers een methode die Control-Flow Monitoring wordt genoemd. Denk aan een computerprogramma als een recept voor het bakken van een taart. De "control flow" is de volgorde van de stappen: bloem mengen, eieren toevoegen, bakken, en dan glazuur aanbrengen. Als het recept plotseling zegt "zout toevoegen" direct na "bakken", of als de stap "mengen" volledig wordt overgeslagen, dan is er iets mis. Beveiligingssystemen houden dit recept in de gaten om te zien of de stappen wel logisch zijn. Als ze dat niet zijn, is er sprake van een anomalie. Maar hier komt het lastige deel: een slimme hacker kan de bewaker misleiden. Ze kunnen de stap "zout toevoegen" verstoppen in een deel van het recept dat eruitziet als een normale "keuken opruimen"-stap, of ze kunnen de notitie die zegt "zout toevoegen" van het klembord van de bewaker wissen. Dit wordt camouflage genoemd. De bewaker ziet een vreemde stap, maar omdat de notitie ontbreend is of onschadelijk lijkt, denkt de bewaker: "Oh, dat is gewoon een vreemde schoonmaakroutine," en laat het gaan.

Dit artikel, geschreven door onderzoekers uit Duitsland, pakt precies dat probleem aan: Hoe vang je een hacker die goed is in het verbergen van zijn sporen? De auteurs stellen een slimme nieuwe manier voor om naar het probleem te kijken door twee soorten beveiligingsbewakers te combineren: één die binnen de software van de computer werkt (de "software observer") en één die vanuit een aparte, onkraakbare hardwarebox meekijkt (de "hardware observer"). Ze betogen dat hoewel de softwarebewaker kan worden misleid, de hardwarebewaker veel moeilijker te misleiden is. Door beide te gebruiken, kun je de hacker vangen, zelfs wanneer hij probeert zijn bewegingen te camoufleren.

Het Verhaal van de Twee Bewakers

De onderzoekers beginnen met het uitleggen van hoe de huidige beveiliging werkt. Meestal heeft een computer een kaart van alle geldige paden die een programma kan nemen, een Control-Flow Graph (CFG). Het is als een metrokaart die elke halte en elk spoor laat zien. Als het programma probeert naar een halte te springen die niet op de kaart staat, gaat het systeem een alarm af laten gaan. Om te achterhalen waarom het alarm afging, gebruiken beveiligingsteams iets dat een Attack Tree wordt genoemd. Stel je een boom voor waarbij de bovenste tak het slechte ding is dat is gebeurd (zoals "De slaapkamer van de Koning is betreden"). De takken daaronder zijn de mogelijke redenen: "Is de bewaker in slaap gevallen?" "Is het slot geplikt?" of "Is er een dief binnengevlogen?"

Het probleem, zoals de auteurs aangeven, is dat de Attack Tree slechts zo slim is als de informatie die hij ontvangt. Als de hacker erin slaagt het bewijs te verbergen, kan de Attack Tree concluderen: "Oh, de bewaker is gewoon in slaap gevallen," terwijl het echte antwoord is: "De dief is binnengevlogen." Dit is het camouflage-probleem. De hacker manipuleert de eigen logs of sensoren van de software, zodat het deel van het verhaal over het "binnenvliegen" verdwijnt uit het rapport.

De Hardware Held

Om dit op te lossen, stelt het artikel een duaal systeem voor. De eerste laag is de Software Observer, die binnen de computer leeft. Het is als een beveiligingscamera die in de gang is geïnstalleerd. Het is goed, maar als een hacker de gang binnendringt, kan hij de cameralens afdekken of de videoband verwisselen.

De tweede laag is de Hardware Observer. Dit is het grote idee van het artikel. In plaats van een camera in de gang, stel je een aparte, onzichtbare drone voor die buiten de kasteelmuren vliegt en het kasteel door een telescoop in de gaten houdt. Deze drone is verbonden met de fysieke machinerie (de processor) van het kasteel, maar maakt geen deel uit van de software van het kasteel. Zelfs als de hacker de interne systemen van het kasteel overneemt, kan hij de drone buiten het kasteel niet gemakkelijk bereiken om te veranderen wat deze ziet.

De onderzoekers beschrijven een specif kind scenario om te laten zien hoe dit werkt. Ze stellen zich een authenticatiedienst (een loginsysteem) voor voor een industriële gateway.

1. De Aanval: Een hacker vindt een zwakte in het loginsysteem. Hij glipt een kwaadaardige payload binnen die eruitziet als een normaal "onderhoudsverzoek". Hij misleidt het systeem om de "Multi-Factor Authentication" (MFA) controle over te slaan en een geheime sessie te creëren.
2. De Camouflage: De hacker gebruikt vervolgens een speciale truc om de eigen logs van de software te herschrijven. De software observer ziet een rapport dat zegt: "We hebben wat onderhoud gedaan, daarna de aanvraag geweigerd, en dan... oh, er is een sessie aangemaakt, maar de logs zijn een beetje rommelig." De software observer denkt: "Hm, misschien is het loggingsysteem gewoon buggy. Dat is een laag-niveau probleem." De Attack Tree is het ermee eens en classificeert het als een minder ernstige configuratiefout.
3. De Hardware Waarheid: Ondertussen houdt de Hardware Observer de werkelijke elektrische signalen van de processor in de gaten. Het ziet het echte pad: de hacker sprong van een "onderhouds"-blok direct naar een "hacking"-blok, sloeg de MFA-controle volledig over en onderdrukte de logs. De hardware observer ziet de illegale sprong die de software observer heeft gemist.

De Diagnose Verandert

Wanneer de onderzoekers de gegevens van de Hardware Observer in dezelfde Attack Tree invoeren, verandert de diagnose volledig. De boom ziet niet langer een "buggy log". Het ziet "Illegale sprong", "Ontbrekende beveiligingscontrole" en "Log-tampering". Plotseling verschuift de diagnose van "Lage ernst: Configuratiefout" naar "Hoge ernst: Code-injectie en Control-Flow Hijack".

Het artikel laat zien dat door deze twee te combineren, je niet alleen meer aanvallen vangt, maar ze ook beter begrijpt. De softwarebewaker zegt misschien: "Er is iets vreemds," maar de hardwarebewaker zegt: "Dit is precies wat het vreemde is, en het is gevaarlijk."

Wat dit Betekent (en Wat het Niet Betekent)

De auteurs zijn voorzichtig en merken op dat dit een voorlopig idee is. Ze hebben delen van dit systeem gebouwd en getest in simulaties, maar ze hebben het nog niet volledig geïntegreerd in een echt product. Ze geven toe dat er uitdagingen zijn. Bijvoorbeeld, de hardware monitor is niet magisch; als de trace buffer overloopt (het geheugen van de drone raakt vol) of als de hacker de fysieke hardware zelf aanvalt, kan het systeem nog steeds falen. Ook kost het uitlezen van hardwaregegevens tijd en rekenkracht, dus je kunt niet de hele tijd alles in de gaten houden.

In plaats daarvan stelt het artikel een slimme strategie voor: gebruik de softwarebewaker om alles goedkoop in de gaten te houden. Als de softwarebewaker iets verdachts ziet, dan wordt de hardwarebewaker wakker om een nauwkeurigere, gedetailleerdere blik te werpen. Op die manier krijg je het beste van twee werelden: de snelheid van software en de betrouwbaarheid van hardware.

Uiteindelijk beweert dit artikel niet de cybersecurity voor altijd te hebben opgelost. Het belooft geen perfect schild. Maar het biedt wel een zeer veelbelovende nieuwe manier om over het probleem na te denken: Vertrouw niet alleen het eigen rapportcijfer van de computer. Laat een onafhankelijke getuige het huiswerk nakijken. Door die tweede, onafhankelijke set ogen toe te voegen, kunnen we hackers stoppen die hun trucjes in het volle zicht proberen te verbergen.