In de digitale wereld worden beveiligingssystemen vaak overspoeld door de enorme hoeveelheid gegevens die ze moeten bewaken. Elke seconde genereren computers eindeloze stromen records die details geven over wie een bestand heeft geopend, welk programma is uitgevoerd of waar een netwerkverbinding is gemaakt. Decennialang hebben verdedigers geprobeerd indringers op te sporen door te zoeken naar specifieke, bekende kwaadaardige gedragingen, zoals een inbreker die een slot kraakt. Echter, er is een nieuw soort dreiging opgekomen die helemaal niet lijkt op een inbreker. Dit zijn Advanced Persistent Threats, of APT's. In plaats van een enkele, luidruchtige inbraak, is een APT een langzame, stille infiltratie die weken of maanden duurt. De aanvallers verbergen hun kwaadaardige stappen in de normale, saaie ruis van dagelijkse computeroperaties, waardoor het bijna onmogelijk is om het verschil te zien tussen een routinebestand-update en een geheime datadiefstal. Om deze sluwe vijanden te vangen, zijn onderzoekers begonnen met het in kaart brengen van de volledige geschiedenis van computeractiviteit in een gigantisch web van verbindingen, bekend als een provenance-graaf. In dit web is elke gebruiker, elk bestand en elk programma een punt, en elke actie die zij ondernemen een lijn die hen verbindt. Het doel is om de kleine, verdachte patronen te vinden die verborgen liggen in deze massieve, complexe kaart.

Lange tijd vertrouwden de beste instrumenten voor het lezen van deze kaarten op een techniek die self-supervised learning wordt genoemd. Stel je een student voor die probeert de regels van een taal te leren door een boek te lezen waarin veel woorden zijn afgedekt. De student moet de ontbrekende woorden raden op basis van de context van de omliggende zinnen. Als de student de woorden correct raadt, leert hij de structuur van de taal. In computerbeveiliging gebruiken onderzoekers een vergelijkbare methode: ze verbergen delen van de computeractiviteitskaart en vragen de AI om de ontbrekende stukjes te reconstrueren. Als de AI hier goed in is, heeft het geleerd hoe "normaal" gedrag eruitziet. Wanneer het een nieuwe kaart tegenkomt waarbij de ontbrekende stukjes niet kunnen worden gereconstrueerd omdat het patroon fout is, markeert het dit als een potentiële aanval. Deze aanpak is effectief geweest, maar heeft een gebrek. De standaardmethode voor het verbergen van delen van de kaart is willekeurig; het dekt woorden af zonder na te denken over de vraag of ze belangrijk zijn. In een computersysteem zijn sommige acties slechts achtergrondruis, zoals een programma dat de tijd controleert, terwijl andere cruciale schakels zijn in een keten van gebeurtenissen, zoals een gebruiker die een specifiek bestand opent voordat er een geheime verbinding wordt gemaakt. Het willekeurig afdekken van de cruciale schakels laat de AI achter met een gebroken verhaal, wat het moeilijker maakt om de ware vorm van een aanval te leren.

Een team van onderzoekers aan de Xi'an University of Technology heeft een nieuwe manier ontwikkeld om deze systemen te onderwijzen, een manier die nauwlettend let op wat er toe doet. Ze realiseerden zich dat niet alle onderdelen van de computeractiviteitskaart gelijk zijn. Sommige knooppunten, die specifieke bestanden of programma's vertegenwoordigen, staan centraal in het verhaal, terwijl andere slechts minder belangrijke details zijn. Hun nieuwe methode, genaamd AMH-APT, verandert de spelregels. In plaats van willekeurig delen van de kaart af te dekken, berekent het systeem eerst hoe belangrijk elk onderdeel is. Het kijkt naar hoeveel verbindingen een onderdeel heeft en hoe uniek de kenmerken ervan zijn. Als een onderdeel een belangrijke hub in het netwerk is of zeer onderscheidend gedrag vertoont, besluit het systeem dit zichtbaar te laten. Het verbergt alleen de minder belangrijke, ruisachtige delen van de kaart. Dit zorgt ervoor dat wanneer de AI probeert de ontbrekende informatie te raden, het werkt met de meest cruciale context die beschikbaar is, waardoor het skelet van het aanvalstraject behouden blijft, zelfs terwijl het wordt getraind.

De onderzoekers pakten ook een tweede probleem aan: de verschillende soorten zaken op de kaart. Een computersysteem bevat gebruikers, bestanden, netwerkverbindingen en processen, die allemaal anders gedragen. Eerdere methoden probeerden al deze verschillende typen in één enkele, uniforme ruimte te persen, wat hun unieke kenmerken vervaagde. Het was alsof je een auto, een vogel en een vis probeerde te beschrijven met slechts één set regels voor beweging. De nieuwe aanpak geeft elk type entiteit zijn eigen toegewijde ruimte om begrepen te worden. Wanneer het systeem een bestand verbergt, behandelt het dit als een verborgen bestand, en niet slechts als een generiek verborgen object. Dit voorkomt dat de AI de label van het object gebruikt om de inhoud ervan te raden. Door de afzonderlijke identiteiten van gebruikers, bestanden en netwerken gescheiden te houden terwijl ze elkaar nog steeds kunnen bereiken, bouwt het systeem een veel duidelijker beeld van wat er gebeurt.

Om te testen of deze veranderingen daadwerkelijk werkten, draaiden de onderzoekers hun nieuwe systeem op vijf verschillende sets van real-world data, variërend van kleine gesimuleerde aanvallen tot grote, complexe scenario's met duizenden gebeurtenissen. Ze vergeleken hun resultaten met de vorige beste methode, die vertrouwde op willekeurig verbergen. De bevindingen waren duidelijk. Het nieuwe systeem vond consequent meer aanvallen terwijl het veel minder fouten maakte. In één specifieke test met een grote dataset genaamd CADETS, markeerde de oude methode bijna 2.900 normale activiteiten onterecht als aanvallen, wat voor veel valse alarmen zorgde. Het nieuwe systeem verminderde dat aantal tot net boven de 1.100, waardoor het aantal valse alarmen met meer dan de helft werd teruggebracht, terwijl de kwaadwillenden nog steeds werden betrapt. In een andere test, genaamd Wget, verbeterde het vermogen van het systeem om aanvallen correct te identificeren aanzienlijk, van een succespercentage van ongeveer 94,5 procent naar bijna 98,1 procent. Deze verbeteringen waren niet slechts kleine aanpassingen; ze vertegenwoordigden een fundamentele verschuiving in hoe het systeem leerde het onderscheid te maken tussen de ruis van het dagelijks leven en de stille stappen van een geraffineerde indringer.

Het succes van deze methode ligt in het vermogen om een balans te vinden tussen moeilijkheidsgraad en helderheid. De onderzoekers ontdekten dat het simpelweg verbergen van een vaste hoeveelheid data niet genoeg was. In plaats daarvan introduceerden ze een schema dat begon met eenvoudigere taken, waarbij minder dingen werden verborgen, en de moeilijkheid geleidelijk verhoogde naarmate het systeem leerde. Dit stelde de AI in staat om eerst de lokale patronen van normaal gedrag onder de knie te krijgen voordat het werd uitgedaagd om de complexe, langetermijnverbindingen te begrijpen die een aanval definiëren. Door deze zorgvuldige planning te combineren met de strategie om belangrijke knooppunten te beschermen en respect te tonen voor de unieke aard van verschillende datatypen, leerde het systeem zowel het bos als de bomen te zien. Het resultaat is een detectietool die gevoeliger is voor de subtiele tekenen van een inbreuk en minder snel de wolf roept bij onschadelijke activiteit.

Dit werk suggereert dat de toekomst van cybersecurity wellicht minder afhangt van het vinden van nieuwe, complexe regels en meer van het leren van machines hoe ze op de juiste dingen moeten letten. Door te begrijpen dat niet alle datapunten gelijk zijn en dat verschillende soorten digitale objecten een verschillende vorm van begrip vereisen, hebben onderzoekers een systeem gebouwd dat beter is in het opsporen van het onzichtbare. De studie beweert niet het probleem van cyberdreigingen volledig te hebben opgelost, maar biedt een krachtige nieuwe lens waardoor we naar de chaos van digitale activiteit kunnen kijken. Het laat zien dat door te verfijnen hoe we machines leren van hun eigen geschiedenis, we ze scherper, nauwkeuriger en betrouwbaarder kunnen maken als bewakers van onze digitale wereld. De weg vooruit houdt in dat deze methoden blijven verfijnen, om ervoor te zorgen dat ze kunnen adapteren aan de steeds veranderende tactieken van hen die schade willen berokkenen, terwijl de valse alarmen laag genoeg worden gehouden zodat menselijke verdedigers zich op de echte dreigingen kunnen concentreren.