In de digitale wereld rust beveiliging vaak op een simpel idee: bouw een sterke muur rond de binnenkant van een netwerk en laat niets verdachts doorheen komen. Dit is hoe firewalls en intrusiedetectiesystemen werken; ze staan bewaking bij de perimeter, waarbij ze letten op aanvallers die proberen van buitenaf binnen te dringen. Deze strategie heeft echter een blinde vlek. Zodra een aanvaller erin slaagt om zich een weg naar binnen te banen via de buitenmuur en één computer binnen het netwerk compromitteert, hoeft hij de muur niet opnieuw te doorbreken om zijn uiteindelijke doel te bereiken. In plaats daarvan kan hij die eerste gecompromitteerde machine gebruiken als een springplank, of een pivot, om over te springen naar andere, beter beschermde computers diep in het netwerk. Omdat het verkeer dat tussen deze interne computers beweegt er volkomen normaal en vertrouwd uitziet, glipt het moeiteloos langs de perimeterbewakers. Deze techniek, bekend als pivoting, stelt aanvallers in staat om geruisloos door een netwerk te bewegen, waarbij ze gegevens stelen of malware verspreiden zonder ooit de alarmen te activeren die ontworpen zijn om hen te stoppen.

Het probleem is dat het detecteren van deze beweging ongelooflijk moeilijk is. De gegevens die tussen interne computers stromen, zien er vaak precies zo uit als het legitieme werk van de mensen die ze gebruiken. Bestaande oplossingen om deze aanvallers te vangen hebben gestreden met een moeilijke afweging: ze zijn ofwel te traag om nuttig te zijn in realtime, vereisen ze dat elke computer in een netwerk meewerkt (wat in moderne, flexibele omgevingen vaak onmogelijk is), of ze genereren zoveel valse alarmen dat beveiligingsteams overweldigd raken en de echte dreigingen missen. Om dit op te lossen, hebben onderzoekers van Dalhousie University en de University of Virginia een nieuw systeem ontwikkeld genaamd Stitch. In plaats van te proberen het hele netwerk vanuit een centraal punt te bewaken, leeft Stitch direct op de individuele computers zelf. Het fungeert als een lokale waarnemer die kijkt naar hoe de interne processen van een computer met netwerkverkeer omgaan, waarbij het zoekt naar de specifieke handtekening van een aanvaller die een machine gebruikt om met een andere te communiceren.

De kerninzicht achter Stitch is dat je, om een pivot te vangen, de punten moet verbinden tussen wat er in een computer binnenkomt en wat eruit gaat, en dat je moet weten welk softwareprogramma verantwoordelijk is voor die beweging. Vorige methoden keken vaak alleen naar de timing en de grootte van datapakketten, uitgaande van de veronderstelling dat als twee datastromen rond dezelfde tijd aankomen en vertrekken met vergelijkbare groottes, ze met elkaar verbonden zijn. Deze aanpak is gebrekkig omdat het regelmatig onschuldig, routinematig verkeer voor aanvallen aanziet, wat leidt tot een vloedgolf aan valse alarmen. Stitch vermijdt deze gok door gebruik te maken van een speciale technologie die in de Linux-kernel is ingebouwd: eBPF. Deze technologie maakt het mogelijk om veilig kleine, aangepaste programma's in de kernel — de kern van het besturingssysteem — te plaatsen zonder de computer te vertragen of toestemming nodig te hebben van elk ander apparaat op het netwerk.

Stitch werkt door het leven van een proces te volgen, wat simpelweg een draaiend programma is, vanaf het moment dat het een stukje data ontvangt tot het moment dat het een nieuw stukje data verzendt. Wanneer een pakket data bij een computer aankomt, labelt Stitch dit en volgt het terwijl het wordt overgedragen aan een specifiek programma. Als dat programma vervolgens een nieuwe verbinding opent om data ergens anders naartoe te sturen, controleert Stitch of de nieuwe uitgaande verbinding gekoppeld is aan de oorspronkelijke inkomende verbinding. Dit doet het door de systeemoproepen (system calls) te observeren — de verzoeken die een programma doet aan het besturingssysteem — om te zien of hetzelfde proces dat de data ontving, ook degene is die de nieuwe data verzendt. Als het systeem detecteert dat een proces verkeer van de ene plek naar de andere doorgeeft, controleert het vervolgens de kenmerken van dat verkeer. Het kijkt naar hoeveel tijd er verstreken is tussen de inkomende en uitgaande data en hoe vergelijkbaar hun groottes zijn.

Om niet "vals alarm" te slaan, houdt Stitch ook een verslag bij van waar een computer gewoonlijk zijn data naartoe stuurt. Als een computer regelmatig met een specifieke server communiceert voor legitieme redenen, zoals het controleren van een database of het beheren van een gebruikersaccount, leert Stitch dit als normaal gedrag te herkennen en negeert het dit. Het slaat alleen alarm als het verkeerspatroon op een pivot lijkt en naar een bestemming gaat die zelden wordt bezocht. Deze combinatie van het volgen van het softwareproces, het analyseren van de datastroom en het leren van de normale gewoonten van de computer, zorgt ervoor dat Stitch zeer accuraat is. In tests met gesimuleerde aanvallen verbeterde Stitch de detectie nauwkeurigheid met ongeveer 31 procent vergeleken met de beste bestaande methoden die alleen vertrouwen op verkeerstiming en -grootte. Belangrijker nog, het verminderde de snelheid van valse alarmen tot minder dan één vijfde van een procent, een enorme verbetering ten opzichte van eerdere systemen die vaak onschadelijk verkeer als gevaarlijk markeerden.

De onderzoekers stopten niet bij simulaties. Ze installeerden Stitch op echte servers binnen een groot universitair netwerk, dat duizenden studenten, faculteitsleden en personeel bedient. Ze draaiden het systeem meer dan 80 dagen op een gedeelde facultaire server en een publiek toegankelijke webserver. Tijdens deze periode monitorde het systeem miljoenen netwerkgebeurtenissen zonder de servers te vertragen of wijzigingen te vereisen in de bestaande beveiligingsopstelling van het netwerk. Op de facultaire server identificeerde het systeem alle door de onderzoekers gelanceerde testaanvallen, die bestonden uit het gebruik van secure shell-tunnels om data te verplaatsen. Het genereerde slechts een klein aantal valse alarmen, die het meeste werden veroorzaakt door legitieme administratieve taken zoals port forwarding voor database-toegang. Op de publieke webserver draaide het systeem 32 dagen lang zonder een enkel alert te genereren, wat bevestigde dat het onderscheid kan maken tussen normaal webverkeer en potentiële pivoting-pogingen.

De resultaten laten zien dat Stitch een praktische manier biedt om zich te verdedigen tegen deze sluwe aanvallen zonder een volledige herziening van de infrastructuur van een netwerk nodig te hebben. Het werkt onafhankelijk op elke computer, wat betekent dat het er niet toe doet of andere apparaten in het netwerk andere software draaien of dat de netwerktopologie frequent verandert. Het systeem is lichtgewicht, gebruikt minder dan 350 megabyte aan geheugen en voegt bijna geen extra belasting toe aan de processor van de computer. Zelfs onder zware verkeersbelastingen behield het zijn vermogen om aanvallen te spotten. De onderzoekers ontdekten dat het systeem duizenden nieuwe netwerkverbindingen per seconde kon afhandelen terwijl het nog steeds nauwkeurig de paden van de data volgde. Deze efficiëntie is cruciaast omdat moderne netwerken dynamisch en druk zijn; een beveiligingstool die te zwaar of te traag is, zou onpraktisch zijn voor echt gebruik.

Door te focussen op de relatie tussen de softwareprocessen en het netwerkverkeer, lost Stitch het probleem op van het onderscheiden tussen een legitieme gebruiker die zijn werk doet en een aanvaller die de computer van die gebruiker als brug gebruikt. Het vertrouwt niet op de medewerking van elk apparaat in het netwerk, noch vereist het het opslaan van enorme hoeveelheden historische gegevens om patronen te vinden. In plaats daarvan observeert het de directe context van het verkeer terwijl het gebeurt. De onderzoekers hebben aangetoond dat deze aanpak effectief is tegen veelgebruikte tools van aanvallers, zoals SSH, Nmap en Chisel, die veel worden gebruikt om deze pivoting-tunnels te creëren. Het systeem identificeerde deze aanvallen succesvol, zelfs wanneer ze waren vermomd binnen normaal netwerkverkeer.

Het werk benadrukt ook het belang van het bekijken van het volledige plaatje bij het beveiligen van een netwerk. Alleen vertrouwen op de perimeter is niet langer voldoende, en alleen vertrouwen op verkeersstatistieken is te foutgevoelig. Door de observatie van systeemprocessen te combineren met netwerkstroomanalyse, biedt Stitch een completer beeld van wat er binnen een computer gebeurt. De onderzoekers zijn van plan de broncode van het systeem publiekelijk vrij te geven, zodat anderen hun werk kunnen testen en erop voort kunnen bouwen. Deze transparantie is bedoeld om de bredere beveiligingsgemeenschap te helpen de verdediging tegen advanced persistent threats te verbeteren, wat gesofistikeerde, langdurige aanvallen zijn die vaak worden uitgevoerd door georganiseerde groepen. Het succes van Stitch suggereert dat een verschuiving naar host-gebaseerde, realtime detectie die de context van het verkeer begrijpt, een levensvatbaar en noodzakelijk pad voorwaarts is voor netwerkbeveiliging.

Uiteindelijk presenteert het artikel een systeem dat zowel accuraat als efficiënt is, en een gat in de huidige beveiligingstools opvult. Het bewijst dat het mogelijk is om pivoting-aanvallen in realtime te detecteren zonder een vloedgolf aan valse alarmen te genereren of te vereisen dat het hele netwerk zijn gedrag verandert. Het vermogen van het systeem om onafhankelijk op individuele hosts te opereren, maakt het aanpasbaar aan diverse omgevingen, van kleine kantoornetwerken tot grote, complexe universitaire infrastructuren. De bevindingen suggereren dat door systeemniveau-tracing te integreren met netwerkanalyse, beveiligingsteams een veel duidelijker beeld kunnen krijgen van de dreigingen die in hun netwerken schuilen, waardoor ze op aanvallen kunnen reageren voordat ze aanzienlijke schade kunnen aanrichten. Het werk dient als een demonstratie dat effectieve beveiliging niet altijd complexere of duurdere hardware vereist, maar eerder een slimmere manier om naar de gegevens te kijken die er al zijn.