Stel je voor dat je een detective bent die een misdaad probeert op te lossen, maar in plaats van op zoek te gaan naar vingerafdrukken of voetstappen, kijk je naar een enorme, chaotische stroom van digitale voetstappen die door een computer worden achtergelaten. Dit veld wordt cybersecurity genoemd, en de "plaats delict" is het interne logboek van een computer. Lange tijd probeerden detectives boeven te vangen door te zoeken naar specifieke, bekende "mugshots" — zoals een specifieke bestandsnaam of een bekend hackeradres. Maar moderne hackers zijn slim; ze veranderen voortdurend van kleding en masker, waardoor die oude "mugshots" vaak falen.

Om deze gedaanteverwisselaars te vangen, proberen wetenschappers nu een andere aanpak. In plaats van te kijken naar individuele voetstappen, kijken ze naar het verhaal dat de voetstappen vertellen. Denk hieraan als volgt: als je ziet dat iemand een bank binnenloopt, dan naar een kluis rent, dan een raam inslaat en vervolgens met een tas naar buiten rent, hoef je niet hun naam te weten om te weten dat ze de bank aan het beroven zijn. Je moet alleen de opeenvolging van acties zien. Dit artikel onderzoekt hoe je een rommelige stapel computerlogs kunt omzetten in een helder, leesbaar verhaal van wat een aanvaller aan het doen is, en vervolgens slimme computerprogramma's gebruikt om precies te begrijpen wat voor soort "truc" de aanvaller aan het uithalen is.

---

De Nieuwe Gereedschapskist van de Digitale Detective

In de wereld van computerbeveiliging bestaat een beroemd draaiboek genaamd MITRE ATT&CK. Zie dit als een enorme encyclopedie van alle verschillende trucs die hackers gebruiken om systemen binnen te dringen. Het somt niet alleen "slechte jongens" op; het categoriseert hun specifieke zetten, zoals "het stelen van wachtwoorden", "het verbergen van bestanden" of "het zijwaarts bewegen naar andere computers". Het doel van dit onderzoek was om een systeem te bouwen dat de ruwe activiteitslogs van een computer kan bekijken en kan zeggen: "Ah, ik zie wat hier gebeurt; dit is de 'Credential Dumping'-truc," of "Dit is de 'Lateral Movement'-truc."

De onderzoekers gebruikten een speciaal hulpmiddel genaamd Sysmon. Stel je Sysmon voor als een super-observante beveiligingscamera binnenin een computer die nooit knippert. Het registreert alles: elk programma dat start, elk bestand dat wordt aangemaakt, elke verbinding die wordt gemaakt met het internet en elke wijziging die wordt aangebracht in de instellingen van het systeem. Maar hier is het probleem: Sysmon registreert alles, en dat doet het op een manier die ongelooflijk luidruchtig en rommelig is. Het is alsof je een beveiligingscamera hebt die elke knippering, elke ademhaling en elke stap van elke persoon in een stad registreert, maar je niet vertelt wie met wie loopt of in welke volgorde. Als je naar één enkele knippering kijkt, leer je niets. Je moet de hele film zien.

De Grote Vraag: Hoe Verbinden We de Stippen?

De onderzoekers stelden een eenvoudige maar cruciale vraag: Hoe verbinden we deze verspreide digitale voetstappen het beste om een samenhangend verhaal te vertellen?

Ze testten twee belangrijke manieren om de gebeurtenissen aan elkaar te koppelen:

1. De "Wie is je Ouder?" Methode (GUID-gebaseerd): In een computer heeft elk programma een uniek ID-nummer. Wanneer een programma een ander programma start, is het alsof een ouder een kind krijgt. De onderzoekers probeerden gebeurtenissen te koppelen door deze "familieboompjes" te volgen. Als Programma A Programma B startte, en Programma B een bestand opende, koppelden ze deze gebeurtenissen aan elkaar omdat ze tot dezelfde "familie" behoren. Dit is als het volgen van een criminele bende door hun stamboom te volgen, ongeacht hoe laat ze handelen.
2. De "Wat Gebeurde Eerst?" Methode (Temporeel-gebaseerd): Deze methode koppelt gebeurtenissen simpelweg op basis van tijd. Als twee dingen binnen één seconde na elkaar gebeurden, namen de onderzoekers aan dat ze gerelateerd waren. Het is alsof je zegt: "Deze twee mensen waren op hetzelfde moment in dezelfde kamer, dus ze moeten wel samenwerken."

Het Experiment: Computers Leren het Verhaal te Lezen

Om deze methoden te testen, wachtten de onderzoekers niet op echte hackers die in een echte bank zouden inbreken. In plaats daarvan richtten ze een veilige, gecontroleerde laboratoriumomgeving in en gebruikten ze een tool genaamd Atomic Red Team om aanvallen te simuleren. Ze voerden specifieke trucs uit uit het MITRE ATT&CK-draaiboek, waarbij ze duizenden Sysmon-logs genereerden die er precies uitzagen als een echte aanval.

Vervolgens voedden ze deze logs aan twee soorten "studenten"-computers:

• De Traditionele Studenten: Dit waren klassieke machine learning-modellen (zoals Random Forest en LightGBM). Ze zijn goed in het herkennen van patronen, maar hebben de data eerst heel schoon en georganiseerd nodig.
• De Super-Lezers: Dit waren geavanceerde AI-modellen genaamd Transformers (specifiek SecBERT en SecureBERT). Dit zijn computers die het hele internet hebben gelezen en experts zijn in het begrijpen van de betekenis en context van woorden en sequenties. Ze kunnen een zin lezen en het verhaal achter de woorden begrijpen.

De onderzoekers moesten ook omgaan met een lastig probleem: Class Imbalance (Klassenonbalans). In hun data kwamen sommige trucs (zoals "System Binary Proxy Execution") honderden keren voor, terwijl andere (zoals "Subvert Trust Controls") slechts een paar keer voorkwamen. Het is als een klaslokaal waar 90% van de leerlingen "Jan" heet en slechts één leerling "Zoe" heet. Als je een leraar traint om namen te raden, zal hij telkens "Jan" raden en een hoge score halen, maar hij zal Zoe nooit leren kennen. De onderzoekers probeerden verschillende manieren om dit op te lossen, zoals het maken van extra voorbeelden van de zeldzame trucs (een techniek genaamd SMOTE) of de computer leren om extra aandacht te besteden aan de zeldzame gevallen (met behulp van speciale wiskunde genaamd "Focal Loss").

De Resultaten: Familiebomen Winnen, en Minder is Meer

Na het draaien van honderden simulaties waren de resultaten duidelijk en verrassend.

1. De "Familieboom" Methode is Superieur
De GUID-gebaseerde correlatie (het volgen van de proces-familieboom) versloeg consequent de Temporele-gebaseerde correlatie (het simpelweg kijken naar tijd).

• Waarom? Het artikel suggereert dat simpelweg dicht bij elkaar in de tijd zijn niet genoeg is om te bewijzen dat twee gebeurtenissen gerelateerd zijn. Een computer kan in één seconde een miljoen ongerelateerde dingen doen. Maar als Programma A Programma B gestart heeft, is dat een harde, onbreekbare link. De "familieboom"-methode behield de ware relaties tussen gebeurtenissen, waardoor de AI een veel duidelijker verhaal kreeg om te lezen.
• De Score: Het beste model met de "familieboom"-methode (SecureBERT) behaalde een nauwkeurigheid van 0,586 (wat betekent dat het ongeveer 58,6% van de tijd het juiste antwoord gaf). Het beste model met de "tijd"-methode bereikte slechts 0,504.

2. De "Super-Lezers" Verslaan de "Traditionele Studenten"
De geavanceerde AI-modellen (SecureBERT) presteerden consequent beter dan de traditionele machine learning-modellen.

• De Score: SecureBERT met de "familieboom"-methode behaalde 0,586 nauwkeurigheid. Het beste traditionele model (LightGBM) behaalde slechts 0,501.
• Waarom? De "Super-Lezers" waren beter in het begrijpen van de complexe context van het verhaal. Ze konden zien dat een specifieke opeenvolging van gebeurtenissen op "hacking" duidde, zelfs als de afzonderlijke onderdelen op zichzelf onschuldig leken.

3. De Verrassende Wending: Leer de AI Niet Te Veel
De onderzoekers verwachtten dat het oplossen van de "Class Imbalance" (het probleem van zeldzame trucs) de AI zou helpen beter te leren. Ze probeerden extra voorbeelden te maken (SMOTE) voor de traditionele modellen, en dat werkte goed.

• Echter, voor de geavanceerde "Super-Lezers" (SecureBERT) was niets doen eigenlijk de beste strategie.
• Toen ze probeerden de AI extra aandacht te laten besteden aan de zeldzame trucs met speciale wiskunde (Focal Loss), daalde de algehele prestatie van de AI.
• De Bevinding: Het basismodel (de standaard AI zonder speciale trucen om de onbalans te corrossen) behaalde de hoogste nauwkeurigheid (0,586) en de beste algemene balans. Het artikel suggereert dat de complexe, gecorreleerde verhalen gegenereerd door de "familieboom"-methode zo rijk en betekenisvol waren dat de AI de zeldzame trucs natuurlijk kon leren zonder dat er een dwang of "overcorrectie" nodig was.

Wat Dit Betekent voor de Toekomst

Dit artikel beweert niet dat het alle cybersecurity heeft opgelost. Het zegt niet dat hackers nu 100% van de tijd worden gepakt. In plaats daarvan suggereert het dat hoe we de data organiseren belangrijker is dan het specifieke computerprogramma dat we gebruiken om het te lezen.

Door gebeurtenissen te koppelen via hun "familiebomen" (procesrelaties) in plaats van alleen via hun tijdstempels, creëren we een veel rijker en nauwkeuriger verhaal van wat een aanvaller aan het doen is. En wanneer we deze rijke verhalen voeden aan geavanceerde AI-modellen, kunnen ze specifieke hacker-trucs beter herkennen dan ooit tevoren — zelfs zonder dat ze kunstmatig gedwongen worden om aandacht te besteden aan de zeldzame gevallen.

De studie benadrukt ook een beperking: deze resultaten werden gevonden in een gecontroleerd laboratorium met gesimuleerde aanvallen. De onderzoekers geven toe dat echte computeromgevingen rommeliger en complexer zijn. Dus hoewel dit een veelbelovende nieuwe richting is, is de volgende stap om te zien of deze "familieboom"-verhalen standhouden wanneer de computer daadwerkelijk wordt gebruikt door echte mensen in een echt kantoor, en niet alleen in een testlab.

Kortom, het artikel leert ons dat om een digitale dief te vangen, je niet alleen op de klok moet kijken; je moet kijken met wie hij samenloopt. En soms is de slimste computer de computer die de ruimte krijgt om op eigen tempo te leren, zonder te veel inmenging.