Behavior-Specialized Anomaly Detection for Improving Alert Quality in Provenance-Based Intrusion Detection
Dit artikel introduceert Targeter, een gedragsspecifiek framework dat systeemprocessen in categorieën verdeelt en voor elk een toegewijde lichtgewicht graph autoencoder traint, waardoor een superieure precisie-recallemeteric en verbeterde waarschuwingskwaliteit wordt bereikt bij provenance-gebaseerde intrusiedetectie, terwijl een lage computationele overhead behouden blijft.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de digitale wereld laat elke actie die een computer onderneemt een spoor achter, vergelijkbaar met voetstappen in de sneeuw. Wanneer een gebruiker een bestand opent, een programma uitvoert of een bericht verzendt, legt het systeem vast wie wat deed, wanneer en met welke hulpmiddelen. Beveiligingsexperts gebruiken deze gegevens om een kaart van oorzaak en gevolg te bouwen, die laat zien hoe één gebeurtenis tot een andere leidt. Deze kaart wordt een provenance-grafiek genoemd. Jarenlang hebben onderzoekers geprobeerd deze kaarten te gebruiken om cyberaanvallen op te sporen, in de hoop de verborgen stappen te vinden die een indringer zet om gegevens te stelen of een systeem te beschadigen. De uitdaging is echter dat deze kaarten ongelooflijk omvangrijk en complex zijn. Een enkele computer kan in een korte tijd miljoenen van deze verbindingen genereren, en de meeste daarvan zijn volkomen normaal. Wanneer een beveiligingssysteem probeert de kwaadwillenden in zo'n enorme menigte te vinden, raakt het vaak in de war. Het kan een alarm slaan voor een onschadelijk bestand, simpelweg omdat het er enigszins ongewoon uitziet, of het kan een gevaarlijk proces missen omdat het zich verstopt tussen miljoenen gewone processen. Het resultaat is vaak een vloedgolf aan valse alarmen die menselijke analisten overweldigt, of erger nog, een stille mislukking om een aanval te zien die al gaande is.
Een team van onderzoekers aan de Sharif University of Technology in Iran heeft een nieuwe manier voorgesteld om dit probleem op te lossen door de manier waarop de computer naar de gegevens kijkt te veranderen. In plaats van te proberen één groot computerprogramma te leren om elke mogelijke soort activiteit op een machine te begrijpen, besloten ze het probleem op te splitsen in kleinere, meer beheersbare stukken. Ze realiseerden zich dat verschillende soorten computerprogramma's op een zeer duidelijke manier gedrag vertonen. Een webbrowser opent bijvoorbeeld van nature netwerkverbindingen en leest specifieke soorten bestanden. Een systeemhulpmiddel dat de klok beheert, gedraagt zich anders, en een command-line shell die door beheerders wordt gebruikt, heeft zijn eigen unieke ritme. Wanneer één detectiemodel probeert om het "normale" gedrag van al deze verschillende programma's tegelijkertijd te leren, worstelt het om het verschil te zien tussen een onschuldige variatie en een echte dreiging.
Om dit aan te pakken, creëerden de onderzoekers een systeem dat ze Targeter noemen. Dit systeem sorteert eerst elk draaiend programma op een computer in specifieke groepen op basis van wat het daadwerkelijk doet. Een webbrowser gaat in de ene groep, een tekstverwerker in een andere, en een systeemdienst in een derde. Zodra de programma's zijn gesorteerd, traint het systeem een aparte, gespecialiseerde detector voor elke groep. De detector voor de webbrowsers leert alleen wat normaal webbrowsergedrag is. De detector voor de systeemdiensten leert alleen wat normaal systeemgedrag is. Omdat elke detector gefocust is op een nauwe, consistente groep activiteiten, wordt hij veel beter in het opsporen van wanneer iets binnen die groep vreemd gedrag vertoont. Het probeert niet een expert te zijn in alles; het is een expert in één specifiek ding.
De onderzoekers testten deze aanpak met behulp van gegevens uit het DARPA Transparent Computing-programma, een collectie van real-world systeemlogs die zowel normale activiteiten als geavanceerde cyberaanvallen bevatten. Ze vergeleken hun nieuwe systeem met verschillende bestaande methoden die momenteel als de beste in het vakgebied worden beschouwd. De resultaten lieten zien dat Targeter een betere balans vond tussen het vangen van echte aanvallen en het vermijden van valse alarmen. Eerdere systemen moesten vaak kiezen tussen zeer strikt zijn en veel aanvallen missen, of zeer losjes zijn en duizenden onschuldige programma's als verdacht markeren. Targeter slaagde erin een veel groter deel van de werkelijke aanvalstappen te vangen terwijl het aantal valse alarmen laag genoeg hield om bruikbaar te zijn voor menselijke onderzoekers. In één test met een dataset van meer dan een miljoen systeemgebeurtenissen identificeerde het nieuwe systeem aanzienlijk meer aanval-gerelateerde knooppunten dan zijn concurrenten, zonder de analist te verdrinken in ruis.
Een cruciaal onderdeel van het succes was hoe het systeem de gegevens afhandelde na de initiële detectie. De onderzoekers voegden een laatste stap toe waarbij het systeem kijkt naar de verbindingen tussen de verdachte items die het heeft gevonden. Als het een verdacht bestand ziet dat verbonden is met een verdacht proces, voegt het dat bestand toe aan de lijst met zaken die onderzocht moeten worden, zelfs als het bestand zelf niet vreemd leek op zichzelf. Dit helpt ervoor dat het onderzoek het volledige pad van de aanval dekt, in plaats van slechts geïsoleerde fragmenten. Het team controleerde ook hoeveel rekenkracht deze nieuwe methode vereiste. Ze kwamen tot de conclusie dat het snel en efficiënt is en soepel draait op standaard computerprocessoren zonder dat er dure, gespecialiseerde hardware nodig is. Dit suggereert dat de aanpak praktisch bruikbaar kan zijn voor de echte wereld, en niet alleen voor een onderzoekslaboratorium.
De studie suggereert dat de weg vooruit voor het detecteren van cyberaanvallen niet noodzakelijkerwijs het bouwen van grotere, complexere modellen is, maar het bouwen van slimmere, meer gefocuste modellen. Door te erkennen dat een webbrowser en een systeemhulpmiddel fundamenteel verschillend zijn, en door elk zijn eigen toegewezen observator te geven, krijgt het systeem een helderder beeld van wat er werkelijk mis is. De onderzoekers merkten op dat hoewel hun methode goed werkt, deze momenteel afhankelijk is van mensen om de categorieën van programma's te definiëren. In de toekomst hopen ze een manier te ontwikkelen waarop het systeem deze categorieën zelfstandig kan ontdekken. Voor nu demonstreert hun werk echter dat aandacht schenken aan de specifieke aard van wat een programma doet, in plaats van alleen aan de vorm ervan in een datagrafiek, kan leiden tot veel scherpere en betrouwbaardere beveiligingsmeldingen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.