From Telemetry to Techniques: Behavior-Centric MITRE ATT&CK Technique Classification Through Sysmon Event Correlation
Dit artikel stelt een gedragscentrisch framework voor dat Sysmon-events reconstrueert tot op GUID's gecorreleerde sequenties om de classificatie van MITRE ATT&CK-technieken te verbeteren, waarbij wordt aangetoond dat het behouden van procesniveau-context beter presteert dan temporele groepering en dat een baseline SecureBERT-model superieure resultaten behaalt zonder expliciete mitigatie van klassenonbalans.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je voor dat je een detective bent die een mysterie probeert op te lossen in een enorme, chaotische stad. De stad is jouw computer, en de "verdachten" zijn cybercriminelen die proberen in te breken. Een tijdlang probeerden detectives (beveiligingssystemen) deze criminelen te vangen door te zoeken naar specifieke, vooraf geschreven "Gezocht"-posters. Ze controleerden of een crimineel een specifend gezicht had (een hash) of een specifieke hoed droeg (een IP-adres). Maar moderne criminelen zijn slim; ze veranderen voortdurend van gezicht en hoed, waardoor de oude posters niet meer werken.
Dit artikel suggereert een nieuwe manier om hen te vangen: in plaats van naar een enkele momentopname te kijken, moeten we naar het hele verhaal kijken van wat ze doen.
Het Clue Book: Sysmon
De onderzoekers gebruikten een speciaal notebook genaamd Sysmon. Zie Sysmon als een hyper-waakzame beveiligingsbeambte die alles opschrijft wat er in de computerstad gebeurt. Het logt wanneer een programma start, wanneer een bestand wordt aangemaakt, wanneer er een verbinding wordt gemaakt met het internet, en zelfs wanneer iemand stiekem probeert een tijdstempel van een bestand aan te passen (zoals een inbreker die zijn vingerafdrukken van een deur veegt).
Het probleem? De bewaker schrijft te veel op. Het is alsof je een dagboek hebt met 427.774 inzendingen, maar de meeste daarvan zijn gewoon ruis. Om er zin van te maken, moesten de onderzoekers het dagboek opschonen en de inzendingen groeperen in betekenisvolle verhalen.
De Twee Manieren om de Aanwijzingen te Groeperen
De onderzoekers testten twee verschillende manieren om deze verspreide dagboekinzendingen aan elkaar te naaien tot een samenhangend verhaal, om te zien welke methode hielp bij het identificeren van de "zet" van de crimineel (een MITRE ATT&CK techniek).
1. De "Stamboom"-methode (GUID-gebaseerde correlatie)
Stel je voor dat elk programma dat op de computer draait een permanent, onveranderlijk ID-kaartje krijgt genaand een GUID. Zelfs als het programma sluit en er een nieuw programma met dezelfde naam start, krijgt het een nieuw ID-kaartje. Het oude ID-kaartje blijft bij de "stamboom" van het programma.
- Hoe het werkt: De onderzoekers koppelden alle aanwijzingen die bij hetzelfde ID-kaartje hoorden. Als een ouderprogramma (zoals
explorer.exe) een kindprogramma startte, en dat kindprogramma opende een bestand en belde vervolgens een telefoonnummer, dan verbond het systeem ze allemaal omdat ze dezelfde familie-ID deelden. - Het Resultaat: Deze methode was als het hebben van een volledige stamboom van de acties van de crimineel. Het toonde precies wie wat deed en in welke volgorde, waarbij de relaties tussen de gebeurtenissen behouden bleven.
2. De "Tijdstempel"-methode (Temporele-gebaseerde correlatie)
Deze methode negeerde de stambomen en keek simpelweg naar de klok.
- Hoe het werkt: De onderzoekers zeiden: "Als twee dingen binnen één seconde na elkaar gebeurden, moeten ze gerelateerd zijn." Ze groepeerden gebeurtenissen die dicht bij elkaar in de tijd plaatsvonden.
- Het Resultaat: Dit was als het kijken naar een menigte mensen en aannemen dat iedereen die naast elkaar staat een team vormt. Hoewel dit soms waar is, miste het de diepere connecties. Twee ongerelateerde gebeurtenissen kunnen toevallig op hetzelfde moment plaatsvinden, of de actie van een crimineel kan over een paar seconden verspreid zijn, waardoor de "één-seconde-regel" wordt doorbroken.
Het Vonnis: Stambomen Winnen
De onderzoekers voerden een grootschalig experiment uit, waarbij ze cyberaanvallen simuleerden in een gecontroleerd lab met behulp van een tool genaamd Atomic Red Team. Ze voedden deze "verhalen" aan verschillende soorten detectives (machine learning-modellen) om te zien wie de techniek van de crimineel het beste kon raden.
De Grote Bevinding:
De "Stamboom"-methode (GUID-gebaseerd) presteerde consequent beter dan de "Tijdstempel"-methode (Temporeel-gebaseerd) over de hele linie.
- De beste detective was een super-slimme AI genaamd SecureBERT (een gespecialiseerd taalmodel voor cybersecurity).
- Wanneer SecureBERT de "Stamboom"-verhalen las, behaalde het een nauwkeurigheid van 0,586 (wat betekent dat het het antwoord ongeveer 58,6% van de tijd goed had).
- Wanneer het de "Tijdstempel"-verhalen las, daalde de nauwkeurigheid naar 0,504.
Het artikel voert expliciet een argument tegen het idee dat het groeperen van gebeurtenissen op basis van tijd alleen genoeg is. Het suggereert dat zonder de "stamboom" (proces-lineage), je de cruciale context verliest van hoe de ene actie tot de andere leidde. Het artikel vond ook dat voor de meest geavanceerde AI-modellen (de Transformers), het proberen te "repareren" van de data door extra nepvoorbeelden te maken (een techniek genaamd SMOTE) de boel juist verslechterde of niet hielp. De beste strategie was om de AI te laten leren van de echte, ongewijzigde "Stamboom"-verhalen.
De "Wie" en de "Wat"
De onderzoekers testten veel verschillende criminele technieken (zoals "T1059: Command and Scripting Interpreter" of "T1218: System Binary Proxy Execution").
- De Makkelijke Overwinningen: Sommige technieken waren super makkelijk te herkennen. Bijvoorbeeld T1588 (Obtain Capabilities) werd geïdentificeerd met een perfecte score van 1,00 (100% nauwkeurigheid). Het is alsof een crimineel een neonbord draagt met de tekst "Ik ben een crimineel".
- De Moeilijke Casussen: Sommige technieken waren bijna onmogelijk uit elkaar te houden. T1553 (Subvert Trust Controls) kreeg een score van 0,00, wat betekent dat de AI geen enkele correcte instantie kon vinden. Het artikel merkt op dat veel technieken, vooral die met betrekking tot "Defense Evasion" (verbergen), zo erg op elkaar lijken in de logs dat zelfs de beste AI in de war raakt. Het is als proberen het verschil te zien tussen twee tweelingen die identieke maskers dragen.
De Kern van het Verhaal
Dit artikel beweert niet dat het cybercriminaliteit voor altijd heeft opgelost. Het is een simulatiestudie, geen rapport uit een echte oorlogszone. Het suggereert echter sterk dat als je wilt begrijpen wat een hacker doet, je niet alleen naar een lijst met gebeurtenissen moet kijken die rond hetzelfde tijdstip plaatsvonden. Je moet de proces-lineage reconstrueren — de stamboom van de software.
Door de GUID-gebaseerde methode te gebruiken om gebeurtenissen te koppelen en deze aan een SecureBERT-model te voeden zonder te proberen de data kunstmatig in balans te brengen, krijg je het duidelijkste beeld van de aanval. Het is een herinnering dat in de digitale wereld context koning is, en dat weten wie met wie verwant is, belangrijker is dan alleen weten wanneer ze verschenen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.