In de digitale wereld worden beveiligingsteams constant gebombardeerd met datastromen van computers en servers. Deze logs registreren elke actie die een machine onderneemt: het openen van een bestand, het starten van een programma, het maken van een verbinding. Jarenlang was het doel van cybersecurity om deze verspreide aantekeningen bij elkaar te voegen om het grotere plaatje van een aanval te zien. De uitdaging is dat de aantekeningen vaak incompleet zijn. Aanvallers zijn vaardig in het verbergen van hun sporen, het verwijderen van logs of het door elkaar halen van de volgorde van gebeurtenissen. Bovendien kan een enkele computeractie veel verschillende dingen betekenen, afhankelijk van de context; een programma dat start, kan een onschuldige update zijn of het begin van een diefstal. Traditionele methoden proberen dit op te lossen door specifieke patronen te matchen met bekende dreigingen, maar ze falen vaak wanneer het bewijs rommelig is of wanneer aanvallers vertrouwde tools op nieuwe, onverwachte manieren gebruiken.

Een team onderzoekers aan de Gachon Universiteit in Zuid-Korea heeft een nieuwe manier voorgesteld om over dit probleem na te denken. Ze noemen hun systeem SCOPE. In plaats van te proberen elke individuele log-entry in een rigide doos te dwingen, behandelt SCOPE de analyse als een proces van redeneren onder onzekerheid. Het accepteert dat de data die het ontvangt gebrekkig en incompleet is, en bouwt een model dat met ontbrekende stukken kan omgaan zonder uit elkaar te vallen. De onderzoekers testten hun systeem tegen een reeks van vijfendertig bekende aanvalsscenario's waarbij de ware sequentie van gebeurtenissen al gedocumenteerd was. Ze ontdekten dat SCOPE de algemene route van een aanval met een veel hogere nauwkeurigheid kon reconstrueren dan bestaande methoden, zelfs wanneer de helft van het digitale bewijs ontbrak. Belangrijker nog, het systeem kon complexe aanvalspatronen identificeren die het nog nooit eerder had gezien, mits die patronen bestonden uit bekende bouwstenen die in een nieuwe volgorde waren gerangschikt.

De kern van de moeilijkheid bij het analyseren van deze logs is dat individuele gebeurtenissen te klein zijn om op zichzelf een verhaal te vertellen. Een enkele log-entry kan laten zien dat een bestand wordt aangemaakt, maar legt niet uit waarom. Om dit op te lossen, groeperen de onderzoekers eerst gerelateerde gebeurtenissen samen in grotere, betekenisvolle brokken. Ze zoeken naar gebeurtenissen die dicht bij elkaar in de tijd plaatsvinden, dezelfde computerprocessen betreft, of dezelfde bestanden en netwerkverbindingen aanraakt. Dit creëert een "gedragsgroep" die een coherente stap in een aanval vertegenwoordigt, zoals een hacker die probeert wachtwoorden te stelen, in plaats van slechts een lijst met geïsoleerde bestandswijzigingen. Deze groepering is ontworpen om robuust te zijn; als sommige gebeurtenissen in het midden ontbreken of verwijderd zijn, kan het systeem de groep nog steeds herkennen omdat de resterende stukken verbonden zijn door hun gedeelde context.

Zodra deze groepen zijn gevormd, staat het systeem voor de volgende uitdaging: bepalen wat elke groep daadwerkelijk vertegenwoordigt. In het verleden probeerden systemen een enkele label aan een groep toe te wijzen, zoals "Wachtwoorddiefstal". Als dat label fout was, zou de hele analyse breken. SCOPE vermijdt deze valkuil door meerdere mogelijkheden tegelijkertijd open te houden. Voor elke gedragsgroep genereert het een lijst met potentiële labels met verschillende gradaties van waarschijnlijkheid. Het dwingt niet onmiddellijk een definitieve beslissing af. In plaats daarvan houdt het deze opties in een staat van onzekerheid, waardoor het systeem het hele plaatje kan overwegen voordat het tot een antwoord komt. Deze aanpak erkent dat dezelfde actie er anders uit kan zien afhankelijk van wat er daarna gebeurt.

De laatste stap is het verbinden van deze groepen tot een volledige keten. De onderzoekers gebruiken een methode die scoort hoe goed de ene gedraging de andere volgt, gebaseerd op twee hoofdfactoren: de logische flow van een aanval en de fysieke verbinding tussen hen. Ze weten dat bepaalde soorten acties meestal in een specifieke volgorde plaatsvinden, zoals het verkrijgen van toegang tot een systeem voordat gegevens worden gestolen. Ze kijken ook naar fysieke links, zoals een bestand dat in één stap wordt aangemaakt en in de volgende stap wordt gebruikt. Door deze logische en fysieke aanwijzingen te combineren, kan het systeem de gaten opvullen waar bewijs ontbreekt. Als een stap ontbreekt, stopt het systeem niet; het verbindt simpelweg de overgebleven stappen, waarbij het erkent dat de sprong groter is dan gebruikelijk maar nog steeds mogelijk is. Dit stelt het systeem in staat om een continue geschiedenis te reconstrueren, zelfs wanneer delen van de tijdlijn zijn gewist.

De onderzoekers testten deze aanpak met een dataset van vijfendertig aanvalsscenario's die "ground-truth" records bevatten van exact wat er is gebeurd. Ze vergeleken SCOPE met verschillende andere toonaangevende methoden, waaronder regelgebaseerde systemen die naar specifieke patronen zoeken, graafgebaseerde systemen die verbindingen in kaart brengen, en systemen die grote taalmodellen gebruiken om het verhaal te raden. SCOPE presteerde beter dan al deze methoden. Het identificeerde de specifieke technieken die in de aanvallen werden gebruikt in ongeveer 84% van de gevallen bij het bekijken van de top vijf suggesties. Bij het meten hoe goed het de volledige sequentie van gebeurtenissen reconstrueerde, behaalde het een score van 0,68, wat aanzienlijk hoger was dan de op één na beste methode.

Misschien wel de meest significante bevinding was hoe het systeem met ontbrekende data omging. De onderzoekers simuleerden een situatie waarin tot 50% van de log-events willekeurig werd verwijderd, wat een scenario nabootst waarin een aanvaller erin slaagt zijn sporen te wissen. Terwijl de prestaties van andere systemen scherp daalden naarmate de data verdween, bleef SCOPE stabiel. Zelfs met de helft van het bewijs weg, behield het een reconstructiescore van ongeveer 0,57, wat nog steeds hoger was dan de beste score behaald door welke andere methode dan ook wanneer alle data aanwezig was. Dit suggereert dat het vermogen van het systeem om over onzekerheid te redeneren en overgebleven bewijsstukken te koppelen, het veel veerkrachtiger maakt tegen real-world dataverlies.

Het systeem demonstreerde ook een vermogen om nieuwe aanvalcombinaties te herkennen. In cybersecurity gebruiken aanvallers vaak bekende tools op nieuwe manieren. Traditionele systemen falen hier vaak omdat ze alleen getraind zijn op specifieke, bekende sequenties. SCOPE begrijpt echter de compatibiliteit van verschillende aanvalstappen. In de tests reconstrueerde het succesvol coherente ketens van bekende technieken die nooit samen in de trainingsdata waren verschenen. Het behaalde een "coherent-novel" ratio van 0,83, wat betekent dat het deze nieuwe combinaties in 83% van de gevallen waarin ze voorkwamen, correct kon identificeren en koppelen. Dit geeft aan dat het systeem zijn kennis kan generaliseren naar onbekende dreigingen, mits de individuele componenten bekend zijn.

Een belangrijke ontwerpkeuze in SCOPE is hoe het kunstmatige intelligentie gebruikt. De onderzoekers gebruikten een groot taalmodel, een type AI dat in staat is natuurlijke taal te begrijpen, maar alleen voor één specifieke taak: het beschrijven van de gedragsgroepen in platte tekst. Het model neemt niet de uiteindelijke beslissingen over wat de aanval is of hoe de stukken in elkaar passen. Die beslissingen worden genomen door een deterministisch, wiskundig proces dat de verbindingen tussen stappen scoort. Deze scheiding zorgt ervoor dat het systeem niet "hallucineert" of details verzint die niet door de data worden ondersteund. Het taalmodel fungeert slechts als een vertaler die ruwe computerlogs omzet in een beschrijving die het scoringssysteem kan begrijpen, terwijl het scoringssysteem de strikte rechter blijft van de uiteindelijke keten.

De onderzoekers erkennen dat hun werk gebaseerd is op een gecontroleerde dataset en dat real-world enterprise omgevingen veel complexer zijn. Ze merken op dat hun systeem geen vervanging is voor laag-niveau detectie-triggers, maar eerder een hulpmiddel om zin te geven aan de data die die triggers produceren. Het systeem is ontworpen om te werken met de incomplete en ruisachtige aard van echte logs, en biedt een manier om het narratief van een aanval te herstellen, zelfs wanneer het bewijs gefragmenteerd is. Door aanvalsanalyse te behanden als een probleem van redeneren onder onzekerheid in plaats van eenvoudige patroonherkenning, hebben de onderzoekers een raamwerk gecreëerd dat robuuster is tegen de trucs die aanvallers gebruiken om hun sporen te verbergen. De resultaten suggereren dat de toekomst van aanvalsanalyse niet ligt in het vinden van meer data, maar in het effectiever redeneren met de data die overblijft.