From Threat Intelligence to Detection: Knowledge-driven Enrichment and Template-based Rule Grounding for Automated Sigma Rule Generation
Dit artikel introduceert AUTOSIGMA, een geautomatiseerd framework dat ongestructureerde cyber dreigingsinformatie transformeert naar bruikbare Sigma-regels door kennisgestuurde verrijking, sjabloongebaseerde gronding en LLM-gebaseerde validatie te combineren om de beperkingen van handmatige regelcreatie op het gebied van schaalbaarheid en nauwkeurigheid te overwinnen.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de hooggespannen wereld van cybersecurity bevinden verdedigers zich vaak in een reactieve rol, lang nadat aanvallen al zijn begonnen. Informatie over deze aanvallen komt meestal binnen in de vorm van gedetailleerde rapporten, geschreven door intelligence-experts. Deze documenten beschrijven hoe geavanceerde criminele groepen, bekend als Advanced Persistent Threats, zich in netwerken nestelen, zich door netwerken bewegen en gegevens stelen. Echter, deze rapporten zijn geschreven in gewone taal, vol narratieve details en menselijke context, wat ze moeilijk leesbaar en direct uitvoerbaar maakt voor computers. Om een aanval in realtime te stoppen, hebben beveiligingssystemen specifieke instructies nodig, genaamd detectieregels. Deze regels fungeren als precieze filters die miljoenen digitale gebeurtenissen scannen om de exacte patronen van een specifieke dreiging te vinden. Het handmatig maken van deze regels is een traag, foutgevoelig proces dat diepe expertise vereist, en tegen de tijd dat een menselijke analist klaar is met het schrijven van een regel voor een nieuwe dreiging, kunnen de aanvallers hun methoden al hebben gewijzigd.
De kernuitdaging ligt in het overbruggen van de kloof tussen een door mensen geschreven verhaal over een aanval en de rigide, technische code die een computer nodig heeft om deze op te sporen. Beveiligingsteams hebben een manier nodig om deze ongestructureerde narratieven automatisch te vertalen naar bruikbare detectielogica, zonder de nuance te verliezen die de dreiging echt maakt. Als deze vertaling geautomatiseerd kan worden, kunnen organisaties verdedigingsmechanismen inzetten op het moment dat een nieuwe dreiging wordt ontdekt, in plaats van dagen of weken te wachten op handmatige analyse. Dit is het probleem dat een team van onderzoekers wilde oplossen door een nieuw systeem te ontwikkelen dat ontworpen is om dreigingsrapporten te lezen en direct de noodzakelijke digitale waarborgen te genereren.
De onderzoekers creëerden een systeem genaamd AUTOSIGMA, dat fungeert als een automatische vertaler tussen menselijke intelligentie en machineverdediging. In plaats van een computer simpelweg te vragen de regels te raden op basis van een tekstbeschrijving, volgt het systeem een zorgvuldig, meerstaps proces dat nabootst hoe een menselijke expert zou denken, maar dan met de snelheid van een machine. Eerst leest het systeem het ruwe dreigingsrapport en breekt het af, waarbij het de belangrijkste spelers, de gebruikte tools en de specische stappen die de aanvallers hebben genomen, identificeert. Vervolgens gaat het een stap verder door uitgebreide externe databases van bekende kwetsbaarheden en aanvalstechnieken te raadplegen om eventuele ontbrekende details aan te vullen. Als een rapport een specifieke softwarefout vermeldt maar niet uitlegt hoe deze werkt, zoekt het systeem die fout op in een wereldwijde database om het gedrag ervan volledig te begrijpen. Dit zorgt ervoor dat het systeem een compleet beeld heeft van de aanval, zelfs als het oorspronkelijke rapport vaag of incompleet was.
Zodra het systeem de volledige omvang van de aanval begrijpt, breekt het het complexe scenario af in kleine, individuele stappen. Een enkele aanval kan tientallen acties omvatten, en proberen ze allemaal in één regel te vangen zou ineffectief zijn. Door de aanval in atomaire delen te splitsen, kan het systeem voor elke stap een specifieke regel maken, waardoor de detectie veel nauwkeuriger wordt. De volgende fase is waar het systeem put uit de collectieve ervaring van de beveiligingsgemeenschap. Het doorzoekt een enorme, constant bijgewerkte bibliotheek van bestaande detectieregels om er een te vinden die vergelijkbaar is met de stappen die het zojuist heeft geïdentificeerd. Denk hierbij aan een meesterbouwer die naar een bibliotheek van bewezen blauwdrukken kijkt voordat hij een nieuw huis bouwt; het systeem gebruikt deze bestaande, geteste patronen als fundament. Dit voorkomt dat het systeem regels vanaf nul verzint die wellicht gebrekkig zijn of de plank misslaan, waardoor wordt gewaarborgd dat de nieuwe regels gewortseld zijn in logica die al door experts is getest.
Met een solide fundament en een duidelijk begrip van de dreiging, genereert het systeem vervolgens de eigenlijke detectieregel. Het stopt echter niet daar. De onderzoekers hebben een uniek controlemechanisme ontworpen waarbij twee kunstmatige intelligentiemodellen samenwerken in een lus. Het ene model fungeert als de maker, die de regel schrijft op basis van de details van de dreiging en de gekozen blauwdruk. Het tweede model fungeert als een strenge rechter, die de regel beoordeelt om te zien of deze logisch is, of deze het juiste technische formaat volgt en of deze de dreiging daadwerkelijk zal vangen zonder valse alarmen te veroorzaken. Als de rechter een fout vindt, stuurt hij de regel terug naar de maker met specifieke feedback over hoe deze te herstellen. Deze cyclus herhaalt zich totdat de regel perfect is. Dit heen-en-weer proces is cruciaal omdat het fouten opvangt die een enkel model zou kunnen missen, zoals een ontbrekend detail of een logische kloof, waardoor wordt gegarandeerd dat de uiteindelijke output betrouwbaar genoeg is om te worden gebruikt in echte beveiligingssystemen.
De onderzoekers hebben dit systeem getest met echte rapporten van enkele van de meest beruchte cybercriminele groepen uit de geschiedenis, waaronder APT41, APT28 en APT29. Ze vergeleken de door AUTOSIGMA gegenereerde regels met die van andere geautomatiseerde tools en met de outputs van geavanceerde taalmodellen die op zichzelf werden gebruikt. De resultaten lieten zien dat hun systeem aanzienlijk beter was in het produceren van regels die zowel technisch correct als relevant waren voor de specifieke beschreven dreigingen. Het slaagde erin om meer van de bekende aanvalstechnieken te dekken en was robuuster in het omgaan met rapporten die slecht geformatteerd waren of aan details tekortschoten. De studie suggereert dat door het combineren van externe kennis, bestaande regeltemplates en een rigoureus zelfcontroleproces, het mogelijk is om de creatie van hoogwaardige detectieregels te automatiseren. Deze aanpak versnelt niet alleen het proces; het verbetert de kwaliteit van de verdediging, waardoor beveiligingsteams kunnen reageren op evoluerende dreigingen met een niveau van precisie en snelheid dat handmatige methoden niet kunnen evenaren.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.