XTrust-Chain: An Explainable Intrusion Detection System with Trust-Based Automation and Immutable Decision Records

In de digitale wereld staan netwerken constant onder vuur. Beveiligingsteams vertrouwen op geautomatiseerde systemen om de datastroom te bewaken, op zoek naar de subtiele handtekeningen van hackers en malware. Jarenlang werden deze systemen bijna uitsluitend beoordeeld op één getal: hoe vaak ze het antwoord goed hebben. Als een systeem beweert 99 procent nauwkeurig te zijn, klinkt dat perfect. Maar in de hoogwaardige realiteit van een security operations center verbergt dat enkele getal een gevaarlijke waarheid. Het vertelt een analist niet welke specifieke meldingen veilig genegeerd kunnen worden en welke onmiddellijke menselijke aandacht vereisen. Het biedt geen garantie dat het verslag van een geautomatiseerde actie later stiekem gewijzigd kan worden. Wanneer een machine een fout maakt, laat de menselijke operator in onzekerheid achter of hij de melding moet vertrouwen of moet negeren, wat vaak leidt tot vermoeidheid en gemiste dreigingen.

Om dit op te lossen, bouwen onderzoekers systemen die meer doen dan alleen verkeer classificeren; ze ontwerpen systemen die weten wanneer ze het niet zeker weten. Deze nieuwe aanpak combineert drie ideeën. Ten eerste gebruikt het een "vertrouwensscore" om te beslissen of de beslissing van een machine betrouwbaar genoeg is om op te handelen zonder dat er een mens over de schouder meekijkt. Ten tweede biedt het een duidelijke, begrijpelijke reden voor waarom een beslissing is genomen, zodat een mens de logica kan verifiëren. Ten derde legt het elke beslissing vast in een permanent, onveranderlijk digitaal grootboek, wat een onweerlegbaar verslag creëert van wat er is gebeurd en wanneer. Het doel is niet alleen om meer kwaadwillenden te vangen, maar om een systeem te creëren waarbij de operator precies weet welke meldingen vertrouwd kunnen worden en welke beoordeeld moeten worden.

Amjad Aldweesh, een onderzoeker aan de Shaqra University in Saoedi-Arabië, heeft een dergelijk systeem gebouwd, dat hij XTrust-Chain noemt. In plaats van te vertrouwen op één enkel black-box algoritme dat een oordeel uitspuugt, werkt dit systeem als een panel van experts die samenwerken. Het draait drie verschillende soorten besluitvormingsmodellen parallel. Wanneer een stuk netwerkverkeer binnenkomt, analyseren alle drie de modellen het. Het systeem controleert vervolgens of ze het met elkaar eens zijn. Als ze allemaal naar dezelfde conclusie wijzen met een hoge mate van vertrouwen, markeert het systeem de beslissing als betrouwbaar. Als ze van mening verschillen of onzeker lijken, markeert het systeem de zaak voor beoordeling door een menselijke expert. Dit proces is niet zomaar een gok; het is een berekende maatstaf van zekerheid, afgeleid van hoe zelfverzekerd de modellen zijn, hoe dicht de concurrerende antwoorden bij elkaar liggen en in hoeverre de modellen met elkaar overeenstemmen.

De onderzoekers testten dit framework op drie verschillende sets real-world netwerkdata, variërend van standaard bedrijfsverkeer tot complexe industriële omgevingen. Ze ontdekten dat het systeem bijzonder goed werkt bij het scheiden van veilige beslissingen van risicovolle beslissingen. Op één dataset was het systeem in staat om bijna 70 procent van alle verkeersbeslissingen automatisch af te handelen, waarbij de foutmarge in die geautomatiseerde groep van bijna 2 procent naar bijna nul werd teruggebracht. Op een moeilijkere dataset, waar de verkeerspatronen lastiger te onderscheiden waren, slaagde het systeem er nog steeds in om de foutmarge voor de beslissingen die het zelfstandig nam met de helft te verminderen, van 24,5 procent naar 9,7 procent, terwijl het nog steeds ongeveer 70 procent van het werk automatiseerde. De belangrijkste bevinding is dat het systeem niet alles automatiseert; het weet wanneer het moet stoppen en om hulp moet vragen. Het identificeerde succesvol de specifieke soorten aanvallen die de modellen in verwarring brachten en stuurde die door naar mensen, terwijl het de duidelijke gevallen direct doorliet.

Een cruciaal onderdeel van dit werk was het waarborgen dat de verklaringen van het systeem eerlijk waren. De onderzoekers gebruikten een methode om te benadrukken welke delen van de data de beslissing beïnvloedden, wat in feite de computer vroeg om naar het bewijs te wijzen. Ze ontdekten dat hoewel de computer betrouwbaar de kenmerken kon identificeren die het gebruikte, die verklaringen niet altijd stabiel waren. Als de data licht veranderd werd, kon de redenering van de computer drastisch verschuiven. Deze bevinding leidde het team naar een cruciale ontwerpkeuze: ze besloten deze wisselvallige verklaringen niet te gebruiken om de geautomatiseerde beslissingen te nemen. In plaats daarvan vertrouwden ze op de meer stabiele betrouwensscores en modelovereenstemming om te beslissen of er gehandeld moest worden of doorverwezen. Dit zorgt ervoor dat de geautomatiseerde acties gebaseerd zijn op een solide fundament, zelfs als de gedetailleerde redenering te fragiel is om te vertrouwen voor beslissingen met een hoge inzet.

Om de integriteit van het gehele proces te beschermen, legt het systeem elke beslissing vast in een veilig, gedistribueerd grootboek. Denk aan dit grootboek als een publiek, onveranderlijk notitieblok waar elke invoer is verzegeld met een unieke digitale vingerafdruk. Wanneer het systeem een beslissing neemt, maakt het een permanent verslag van wat het zag, wat het besloot en hoe zelfverzekerd het was. Dit verslag wordt op twee plaatsen opgeslagen: de volledige details worden bewaard in een standaarddatabase voor eenvoudige beoordeling, maar een kleine, 32-byte vingerafdruk van dat verslag wordt naar de blockchain geschreven. Deze vingerafdruk is zo klein en snel te berekenen dat het bijna geen vertraging toevoegt aan het proces, namelijk slechts ongeveer zestien microseconden. Toch biedt het een krachtige garantie: als iemand probeert een eerdere beslissing te wijzigen, zal de vingerafdruk niet langer overeenkomen en zal de manipulatie onmiddellijk worden gedetecteerd. Dit creëert een keten van bewaring voor elke geautomatiseerde actie, waardoor wordt gegarandeerd dat het verslag van wat het systeem heeft gedaan, niet achteraf herschreven kan worden.

De onderzoekers namen ook de ongebruikelijke stap om de code van drie andere populaire beveiligingssystemen opnieuw uit te voeren op exact dezelfde data om te zien hoe ze vergeleken. Ze ontdekten dat sommige systemen die voorheen bijna perfecte scores claimden, hadden vertrouwd op shortcuts, zoals het kijken naar specifieke adresnummers die uniek waren voor de testdata, in plaats van het werkelijke gedrag van een aanval te leren. Wanneer die shortcuts werden verwijderd, verloren die systemen de meeste van hun effectiviteit. In contrast hiermee behield het XTrust-Chain systeem zijn prestaties omdat het gebouwd was om naar het gedrag van het verkeer zelf te kijken, en niet naar de labels die eraan bevestigd waren. Deze rigoureuze test bevestigde dat het vermogen van het nieuwe systeem om slechte beslissingen te filteren echt was en niet slechts een artefact van hoe de data was voorbereid.

Uiteindelijk laat de studie zien dat automatisering in beveiliging niet een gok hoeft te zijn. Door meerdere modellen te combineren, hun zekerheid te meten en hun beslissingen vast te leggen in een onveranderlijk verslag, is het mogelijk om een systeem te bouwen dat zijn eigen grenzen kent. Het systeem claimt niet perfect te zijn; in plaats daarvan claimt het eerlijk te zijn over wanneer het het wel en wanneer het niet weet. Het stelt beveiligingsteams in staat om het grootste deel van hun werk met hoog vertrouwen te automatiseren, terwijl menselijke aandacht wordt gereserveerd voor de gevallen die dat echt nodig hebben. Deze aanpak transformeert de rol van de security analist van een persoon die verdrinkt in meldingen naar een supervisor die de machine vertrouwt voor het routinematige werk en pas ingrijpt wanneer de machine aangeeft dat hij assistentie nodig heeft. Het resultaat is een efficiëntere, transparantere en betrouwbaardere manier om digitale netwerken te beschermen.