Mathematical Modelling of Cybersecuritythreat Dynamics Using a Compartmental approach

Stel je het internet niet voor als een wolk van data, maar als een bruisende, onzichtbare stad waar miljoenen computers leven, praten en informatie verhandelen. Net als een stad vol mensen kan deze digitale metropool ziek worden. Wanneer een computervirus of een stukje kwaadaardige software (malware) een weg naar binnen vindt, blijft het daar niet alleen zitten; het verspreidt zich, infecteert buren en verandert hen in nieuwe dragers van de ziekte. Dit is de wereld van cybersecurity, een vakgebied dat zich volledig inzet om onze digitale stad veilig te houden. Jarenlang hebben wetenschappers geprobeerd deze uitbraken te voorspellen met behulp van "compartimentele modellen", wat in feite chique kaarten zijn die computers onderverdelen in verschillende groepen: degenen die gezond zijn, degenen die ziek zijn maar het verbergen, degenen die actief de virus verspreiden, en degenen die genezen of vernietigd zijn. Hoewel deze kaarten nuttig zijn, misten de oude versies vaak enkele van de meest sluwe aspecten van het spel, zoals de "latentie"-fase waarin een computer geïnfecteerd is maar nog niet aanvalt, of de specifieke rol van een computer die is gekaapt om georganiseerde aanvallen uit te voeren.

In deze nieuwe studie heeft een team onderzoekers van universiteiten uit Pakistan, Ghana, Azerbeidzjan en Turkije een gedetailleerdere, zesbaans snelwegkaart gebouwd van hoe cyberaanvallen reizen. Ze noemen hun model "SEAMRD", wat staat voor Susceptible (Vatbaar), Exposed (Geëxposeerd), Malicious (Kwaadaardig), Attacker (Aanvaller), Recovered (Hersteld) en Dead (Dood). Beschouw dit als een spelletje tikkertje met zes verschillende rollen. Een computer begint als Susceptible (gezond maar kwetsbaar). Hij wordt getikt en wordt Exposed (geïnfecteerd maar slapend, zoals een sluimeragent). Daarna wordt hij wakker als Malicious (geïnfecteerd en verspreidt het virus). Sommigen worden zelfs nog agressiever wakker als Attackers (voeren actief nieuwe aanvallen uit). Het goede nieuws is dat sommigen Recovered worden (gerepareerd en veilig), terwijl het ergste scenario is dat ze Dead worden (permanent defect en verwijderd uit het netwerk). De onderzoekers gebruikten complexe wiskunde om te simuleren hoe deze groepen met elkaar interageren, waarbij ze een "propagatiegetal" (genoemd $R_0$) berekenden dat ons vertelt hoe waarschijnlijk het is dat een uitbraak het hele netwerk overneemt. Hun simulaties suggereren dat de snelheid waarmee het virus zich verspreidt de grootste drijfveer is van een uitbraak, maar dat sterke herstelmechanismen en "bewustzijn" (zoals betere beveiligingsupdates) kunnen fungeren als een schild, waardoor de verspreiding wordt vertraagd en de epidemie potentieel kan worden gestopt voordat deze voet aan de grond krijgt.

De Digitale Stad en haar Zes Zones

Om te begrijpen wat deze onderzoekers hebben gedaan, wandelen we door hun digitale stad. In de echte wereld, als je een verkoudheid krijgt, voel je je misschien een paar dagen goed voordat je begint te niezen op iedereen. In de computerwereld wordt dit de "Exposed"-fase genoemd. Een computer is getroffen door een virus, maar verspreidt het nog niet. Oude modellen sloegen deze stap vaak over of voegden het samen met de "zieke" fase. Maar dit team realiseerde zich dat in de computerwereld het verschil tussen een slapend virus en een actief virus enorm groot is.

Ze verdeelden elke computer in hun netwerk in een van de zes emmers:

1. Susceptible (S): Dit zijn de gezonde computers, open en bloot en klaar om geïnfecteerd te worden. Het zijn de "niet-geïnfecteerde" populatie.
2. Exposed (E): Deze computers zijn getroffen door een virus maar bevinden zich in een "latente" of sluimerende staat. Ze zijn geïnfecteerd maar verspreiden het nog niet. Het is als een computer die een virusbestand heeft gedownload maar het nog niet heeft uitgevoerd.
3. Malicious (M): Nu is het virus wakker. Deze computers zijn geïnfecteerd en verspreiden de malware actief naar anderen.
4. Attacker (A): Dit is het enge deel. Sommige geïnfecteerde computers verspreiden niet alleen het virus; ze worden "zombies" die worden gebruikt om georganiseerde, agressieve aanvallen uit te voeren op andere systemen. De onderzoekers behandelden deze als een aparte, zeer gevaarlijke groep.
5. Recovered (R): Dit zijn de computers die zijn schoongemaakt, gepatcht en beveiligd. Ze zijn weer terug in het spel, veilig voor het huidige virus.
6. Dead (D): Soms is een virus zo destructief dat het het systeem permanent laat crashen. Deze computers zijn "dood"—ze worden uit het netwerk verwijderd en kunnen noch geïnfecteerd raken, noch anderen infecteren.

De Wiskunde Achter de Waanzin

De onderzoekers gokten niet simpelweg hoe deze groepen interageren; ze schreven een reeks vergelijkingen (een systeem van niet-lineaire differentiaalvergelijkingen) om de stroom van computers tussen deze zes staten te beschrijven. Stel je een systeem van watertanks voor waarbij water van de ene tank naar de andere stroomt. De "Susceptible"-tank verliest water aan de "Exposed"-tank wanneer een virus toeslaat. De "Exposed"-tank stroomt door naar de "Malicious"-tank wanneer het virus wakker wordt. De "Malicious"-tank kan doorstromen naar de "Attacker"-tank, de "Recovered"-tank of de "Dead"-tank.

Een van de belangrijkste zaken die ze berekenden, is iets dat $R_0$ wordt genoemd (het basispropagatiegetal). In eenvoudige termen is $R_0$ een score die je vertelt: "Als één geïnfecteerde computer een netwerk van gezonde computers binnenkomt, hoeveel nieuwe computers zal deze gemiddeld infecteren?"

• Als $R_0$ kleiner is dan 1, zal het virus uiteindelijk uitsterven. Het is als een vuur dat niet genoeg brandstof heeft om te blijven branden.
• Als $R_0$ groter is dan 1, zal het virus exponentieel verspreiden en een epidemie veroorzaken.

Het team gebruikte een methode genaamd de "next-generation matrix" om deze score voor hun specifieke SEAMRD-model te berekenen. Ze ontdekten dat de transmissiesnelheid (hoe gemakkelijk het virus van de ene computer naar de andere springt) de meest dominante factor is. Als het virus gemakkelijk verspreidt, schiet $R_0$ omhoog. Ze ontdekten echter ook dat het verhogen van de "herstelrate" (hoe snel we computers patchen en repareren) en de "bewustzijnssnelheid" (hoe snel we de aanval detecteren en stoppen) $R_0$ omlaag kan brengen.

De Stabiliteit van het Systeem

De onderzoekers vroegen zich vervolgens een cruciale vraag: "Is dit systeem stabiel?" In wiskundige termen wilden ze weten of het netwerk vanzelf zou terugkeren naar een gezonde staat of dat het vast zou komen te zitten in een staat van constante infectie.

Ze bewezen twee belangrijke zaken:

1. De "Geen-Virus"-staat is stabiel (als $R_0 < 1$): Als de transmissiesnelheid laag genoeg is (wat betekent dat het virus niet erg besmettelijk is of dat we heel goed zijn in het repareren van dingen), zal het netwerk vanzelf tot rust komen in een staat waarin geen computers geïnfecteerd zijn. Ze gebruikten een wiskundig instrument genaamd een "Lyapunov-functie" om te bewijzen dat, ongeacht hoe het virus begint, het uiteindelijk zal uitsterven als $R_0$ onder de 1 ligt.
2. De "Geïnfecteerde"-staat is stabiel (als $R_0 > 1$): Als het virus te sterk is en $R_0$ boven de 1 ligt, zal het netwerk in een staat terechtkomen waarin het virus altijd aanwezig is. Het zal niet vanzelf verdwijnen. Het systeem zal een "Malicious Equilibrium" (Kwaadaardig Evenwicht) bereiken waarbij er altijd een bepaald aantal geïnfecteerde, aanvallende en dode computers is.

Wat Laat het Virus Winnen of Verliezen?

Om te achterhalen aan welke knoppen we kunnen draaien om een aanval te stoppen, voerde het team een "gevoeligheidsanalyse" uit. Dit is als het testen van welke knoppen op een machine de grootste invloed hebben op de output. Ze pasten elke parameter in hun vergelijkingen aan om te zien hoeveel dit de $R_0$-score veranderde.

De resultaten waren duidelijk:

• De Transmissiesnelheid ($\beta$): Dit is de grote baas. Als het virus sneller verspreidt, explodeert de infectie. Deze parameter heeft de meeste positieve invloed op $R_0$.
• De Herstelrate ($\gamma$) en de Verwijderingsrate ($\delta$): Dit zijn de helden. Als we computers sneller kunnen repareren (herstel) of kapotte computers uit het netwerk kunnen verwijderen (verwijdering), daalt de $R_0$-score aanzienlijk.
• De "Attacker" Transitie ($\pi_A$): De snelheid waarmee een "Malicious" computer een "Attacker" wordt, doet er ook toe. Hoe agressiever de geïnfecteerde computers worden, hoe moeilijker het is om de verspreiding te stoppen.

De Conclusie

De studie concludeert dat hoewel we niet elke cyberaanval kunnen stoppen, we de verspreiding wel kunnen beheersen. De simulaties suggeren dat als we ons richten op krachtige herstelmechanismen (computers snel repareren) en geschikte controlemechanismen (het virus ervan weerhouden om zich te verspreiden), we het aantal infecties kunnen verminderen.

De onderzoekers zeiden niet alleen "het is een goed idee"; ze gebruikten strikte wiskunde om te bewijzen dat als we de transmissiesnelheid laag kunnen houden en de herstelrate hoog, het netwerk kan terugkeren naar een veilige, virusvrije staat. Echter, als het virus te sterk is ($R_0 > 1$), zal het netwerk in een staat van constante strijd blijven. De sleutel, ontdekten ze, is het begrijpen dat niet alle geïnfecteerde computers hetzelfde zijn. Sommigen slapen slechts, sommigen verspreiden zich, en sommigen vallen actief aan. Door hen in onze defensiestrategieën anders te behandelen, kunnen we een veerkrachtiger digitale stad bouwen.

Uiteindelijk is dit papier een blauwdruk voor een slimmere verdediging. Het vertelt ons dat door de verschillende stadia van een cyberaanval te herkennen en met de juiste snelheid te reageren, we de balans in onze voordeel kunnen doen, waardoor een potentiële digitale apocalyps verandert in een beheersbaar, ingekaderd evenement. De wiskunde zegt: als we snel patchen en bewustzijn verspreiden, verliest het virus.