LLMs for Zero-Shot Threat Detection via Structured Risk Indicators
Dit artikel stelt een tweestaps LLM-framework voor dat retrieval-augmented generatie benut om gestructureerde, interpreteerbare risico-indicatoren te creëren uit tijdlijnen van gebruikersactiviteit, waarmee state-of-the-art zero-shot detectie van insider threats en APT's wordt bereikt door aan te tonen dat de kwaliteit van deze indicatoren de primaire drijfveer van prestaties is.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de digitale vestingen van moderne organisaties houden beveiligingssystemen constant de wacht voor indringers. Sommige van deze systemen scannen het verkeer dat tussen computers stroomt, op zoek naar verdachte patronen in de datastroom. Anderen zitten direct op de computers zelf en monitoren wat er binnenin gebeurt: wie inlogt, welke bestanden worden geopend, welke apparaten worden aangesloten en welke e-mails worden verzonden. Deze interne monitoring is cruciaal omdat de gevaarlijkste dreigingen vaak van binnenuit komen. Wanneer een aanvaller een legitiem wachtwoord steelt of een werknemer ervan overtuigt om tegen het bedrijf te handelen, kunnen ze zich door het systeem bewegen alsof ze een normale gebruiker zijn. Om hen te vangen, moeten beveiligingsteams het onderscheid kunnen maken tussen een persoon die tot laat werkt aan een project en iemand die stilletjes gevoelige gegevens steelt, een taak die vereist dat men het volledige verhaal van iemands gedrag over een langere periode begrijpt, en niet slechts een enkel moment.
Een team onderzoekers aan de University of Queensland heeft een nieuwe manier ontwikkeld om computers te helpen dit onderscheid te maken zonder dat zij jarenlange training nodig hebben op specifieke voorbeelden van slecht gedrag. In plaats van een computer te vragen om naar een rommelige stapel ruwe beveiligingslogs te kijken en onmiddellijk "dreiging" of "veilig" te roepen, hebben ze een tweestapsysteem gebouwd dat meer werkt als een zorgvuldige analist. Eerst organiseert het systeem de activiteit van een gebruiker in een tijdlijn en vraagt het een krachtig taalmodel om die tijdlijn te vertalen naar een duidelijke, gestructureerde lijst met risicofactoren. Het vraagt het model om specifieke zaken te identificeren die mis kunnen gaan, zoals het openen van bestanden op ongebruikelijke uren of het verbinden met vreemde servers. Vervolgens bekijkt een tweede model de sequentie van deze risicolijsten door de tijd heen om patronen te ontdekken die erop wijzen dat een aanval zich ontvouwt. Deze aanpak stelt het systeem in staat om zowel insider-dreigingen te detecteren, waarbij een vertrouwde werknemer kwaadwillend wordt, als advanced persistent threats, waarbij een geraffineerde externe aanvaller zich lange tijd in het netwerk verbergt.
De onderzoekers testten deze methode op twee verschillende sets beveiligingsgegevens. Eén dataset simuleerde een insider-dreigingsscenario met bijna honderd werknemers over een periode van achttien maanden, waarbij alles werd vastgelegd, van e-mailuitwisselingen tot bestandsoverdrachten. De andere dataset simuleerde een sluwe externe aanval op een netwerk, waarbij duizenden verbindingen tussen computers werden gevolgd. In beide gevallen presteerde het nieuwe systeem aanzienlijk beter dan de vorige beste methode die vertrouwde op taalmodellen. Op de insider-dreigingsdata verbeterde de nieuwe aanpak het vermogen om aanvallen correct te identificeren, terwijl het aantal valse alarmen met meer dan elf procentpunten afnam. Op de netwerkaanvalsdata was de verbetering zelfs nog dramatischer, met een sprong van meer dan eenendertig procentpunten. De sleutel tot dit succes was niet alleen het gebruik van een grotere computerbrein, maar het veranderen van de manier waarop de informatie wordt verwerkt. Door het eerste model te dwingen de complexe logs te herleiden tot eenvoudige, interpreteerbare risico-indicatoren voordat er een definitief oordeel wordt geveld, werd het systeem veel beter in het onderscheiden van subtiele verschillen tussen normaal werk en kwaadwillige activiteiten.
Een van de meest interessante ontdekkingen was hoe het systeem omging met de behoefte aan context. De onderzoekers ontdekten dat voor de kleinere, minder krachtige taalmodellen het verstrekken van een samenvatting van het gedrag uit het verleden hielp om veel betere risico-indicatoren te genereren. Het was alsof het model de geschiedenis van de gebruiker moest zien om te begrijpen wat er op het huidige moment ongebruikelijk was. Echter, voor de grotere, meer capabele modellen maakte deze extra historische context weinig verschil; zij waren al in staat om op eigen kracht hoogwaardige risico-indicatoren te genereren. Dit suggereert dat de kwaliteit van de initiële risicobeoordeling de belangrijkste factor is bij het vangen van deze dreigingen. Als de eerste stap van het proces een duidelijk en accuraat beeld van het gevaar produceert, kan de tweede stap het aanvalspatroon gemakkelijk herkennen. Als de eerste stap vaag of verward is, heeft het systeem moeite, ongeacht hoe krachtig de uiteindelijke classifier ook is.
De studie onthulde ook dat de manier waarop gegevens worden gegroepeerd enorm veel uitmaakt. Het systeem werkt het best wanneer het alle activiteiten van één persoon als één doorlopend verhaal beschouwt, in plaats van naar geïsoleerde gebeurtenissen of verbindingen tussen machines te kijken. Wanneer de onderzoekers probeerden de gegevens te groeperen op basis van de verbinding tussen twee computers in plaats van door de persoon die hen gebruikt, daalde de prestatie van het systeem aanzienlijk. Dit komt omdat het gedrag van een aanvaller wordt gedefend door hun acties over vele verschillende tools en logs heen, en alleen door het hele plaatje te bekijken, kan het systeem de volledige omvang van de dreiging zien. De onderzoekers merkten op dat hoewel het systeem uitstekend was in het opsporen van de insider-dreigingen in de eerste dataset, de tweede dataset, die zeer sluwe netwerkaanvallen betrof, een grotere uitdaging vormde waarbij de signalen veel zwakker waren. Desondanks bood de gestructureerde aanpak nog steeds een solide fundament voor detectie, wat bewees dat het afbreken van complexe beveiligingsgegevens in beheersbare, interpreteerbare stukken een krachtige strategie is.
Uiteindelijk demonstreert dit werk dat de toekomst van geautomatiseerde dreigingsdetectie wellicht niet ligt in het trainen van computers om elke mogelijke aanval te memoriseren, maar in het leren van computers om op een gestructureerde manier over gedrag te redeneren. Door taalmodellen te gebruiken om ruwe data te vertalen naar duidelijke risico-indicatoren en vervolgens die indicatoren door de tijd heen te analyseren, kunnen beveiligingssystemen nauwkeuriger en betrouwbaarder worden. De bevindingen suggereren dat de meest effectieve opstelling afhangt van het specifieke type dreiging dat wordt opgejaagd en de capaciteiten van de gebruikte modellen, maar het kernprincipe blijft hetzelfde: helderheid in de tussenliggende stappen leidt tot betere beslissingen in de uiteindelijke uitkomst. Deze aanpak biedt een veelbelovend pad voor het beschermen van organisaties tegen zowel de insider die zich tegen hen keert als de buitenstaander die probeert zich onopvallend te verschuilen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.