A Two-Population Delayed Evolutionary Game with Bayesian Learning for Cyber Defense

In de hooggespannen wereld van cybersecurity is tijd de meest waardevolle valuta, maar het is ook de meest ongrijpbare. Verdedigers opereren onder een constante druk om indringers te detecteren en te reageren voordat er schade wordt aangericht, maar de realiteit van moderne cyberaanvallen wordt gedefinieerd door een frustrerende vertraging. Aanvallers, die vaak werken als geraffineerde, hardnekkige groepen, kunnen maandenlang binnen een netwerk verborgen blijven, waarbij ze langzaam en geruisloos bewegen. Ondertussen worden de eigen systemen van de verdedigers vaak verstopt met valse alarmen en overweldigd door de enorme hoeveelheid data waar ze doorheen moeten ploeteren. Dit creëert een gevaarlijke kloof tussen het moment waarop een aanval plaatsvindt en het moment waarop de verdedigers eindelijk begrijpen wat er aan de hand is en kunnen handelen om het te stoppen. Decennialang hebben informatici geprobeerd dit kat-en-muisspel met behulp van wiskunde te modelleren, maar veel van deze modellen gingen ervan uit dat beide zijden onmiddellijk konden reageren, alsof tijd niet bestond. Deze aanname negeerde de rommelige, trage realiteit van hoe informatie daadwerkelijk door een beveiligingsteam reist en hoe aanvallers hun tactieken over dagen of weken aanpassen.

Een nieuwe studie door Sina Keyhanian daagt dit vereenvoudigde beeld uit door een realistischer model van het cyberconflict op te bouwen. In plaats van uit te gaan van directe reacties, behandelt het onderzoek de strijd als een traag bewegende evolutionaire strijd tussen twee populaties: de verdedigers, die moeten beslissen of ze actief op zoek gaan naar dreigingen (hunten) of passief hun systemen monitoren, en de aanvallers, die kiezen tussen agressieve, snel bewegende tactieken of sluipende, langzame tactieken. De kern van het model richt zich op de vertraging in informatie. Verdedigers zien de aanvallers niet direct; ze zien alleen een stroom meldingen die laat binnenkomen en vaak ruis bevatten. Om dit te begrijpen, gebruiken de verdedigers een wiskundige filter, een soort slim gemiddeld proces, om te raden wat de aanvallers aan het doen zijn. De studie introduceert twee specifieke soorten vertragingen in dit systeem: de tijd die het kost om een inbreuk te detecteren en de tijd die het kost om het probleem op te lossen zodra het gevonden is. Door complexe simulaties uit te voeren die rekening houden met deze vertragingen, ontdekten de onderzoekers dat het systeem heel anders werkt dan voorheen werd gedacht.

De meest significante bevinding is dat er een precies kantelpunt is voor hoe lang een verdediger het zich kan veroorloven te wachten voordat hun reactie instabiel wordt. Als de vertraging in het detecteren van een aanval onder een bepaalde limiet blijft, komen de verdedigers en aanvallers tot een voorspelbaar evenwicht. Zodra de vertraging echter die drempel overschrijdt, wordt het systeem niet alleen iets slechter, maar begint het wild te oscilleren. De verdedigers, reagerend op verouderde informatie, leggen zich te veel in op agressief jagen, wat hun eigen systemen verstopt met valse alarmen en vermoeidheid. Dit dwingt hen om terug te trekken, waardoor het netwerk kwetsbaar wordt, precies op het moment dat de aanvallers, die de ruimte zien, een nieuwe golf van agressie lanceren. Deze cyclus herhaalt zich, wat een terugkerend patroon van inbreuken en paniekerige reacties creëert die nooit echt wordt opgelost. Het onderzoek bewijst dat deze instabiliteit geen willekeurige fout is, maar een wiskundige zekerheid die optreedt wanneer de tijdvertraging te lang is in verhouding tot hoe snel de verdedigers kunnen leren.

Cruciaal is dat de studie laat zien dat het simpelweg proberen om aanvallen sneller te detecteren niet altijd genoeg is om de dag te redden. De onderzoekers ontdekten dat als aanvallers zeer aanpasbaar zijn en de verdedigers traag zijn in het leren van de data, geen enkele snelheid in detectie kan voorkomen dat het systeem in chaos vervalt. Er is een minimale snelheid waarmee verdedigers informatie moeten kunnen verwerken en hun overtuigingen over de vijand moeten kunnen bijstellen. Als zij onder deze snelheid zakken, is de verdediging gedoemd te mislukken, ongeacht hoe snel ze de initiële inbreuk opmerken. Dit suggereert dat investeren in betere sensoren of snellere waarschuwingssystemen slechts de helft van de strijd is; het vermogen om snel te leren en zich aan te passen is even cruciaal. Het model onthult ook een verrassende interactie tussen de twee soorten vertragingen. Hoewel men zou aannemen dat het hebben van een vertraging in detectie en een vertraging in het oplossen van problemen simpelweg bij elkaar optelt om het erger te maken, laat de studie zien dat een matige vertraging in het oplossen van het probleem de stabiliteit van het systeem juist kan helpen, waardoor een iets langere detectievertraging mogelijk is zonder dat er een instorting optreden.

Om te waarborgen dat deze bevindingen niet slechts theoretisch waren, testten de onderzoekers hun model tegen de realiteit met behulp van echte data. Ze analyseerden meer dan 300.000 beveiligingsincidenten uit een grote dataset geleverd door Microsoft, die gegevens bevatten over hoe analisten meldingen triageerden en beoordeelden. Ze onderzochten ook logs van IT-service desks om te begrijpen hoe lang het daadwerkelijk duurt om problemen op te lossen. De data bevestigden dat een enkele organisatie de gedragingen van een aanvaller leert met een snelheid van ongeveer 0,07 keer per dag, wat betekent dat het ongeveer twee weken duurt om de strategie volledig aan te passen. Echter, wanneer meerdere organisaties hun data delen, springt deze leersnelheid naar ongeveer drie keer per dag, een enorme verbetering die de tijd die verdedigers kunnen tolereren voordat hun systeem instabiel wordt, aanzienlijk verlengt. Ondanks deze verbetering stelden de onderzoekers vast dat zelfs met gedeelde data, de typische tijd dat een aanvaller in een netwerk aanwezig is (dwell time) — vaak rond de 14 dagen — nog steeds langer is dan wat het systeem veilig kan verwerken.

Het onderzoek keek ook naar de tijd die nodig is om problemen op te lossen, ook wel remediëring genoemd. Door logs van echte incidentresoluties te analyseren, vonden de onderzoekers dat hoewel veel problemen snel worden opgelost, een klein aantal complexe problemen weken of zelfs maanden in beslag neemt. Deze "long tail" van trage resoluties is wat de defensie werkelijk bedreigt. Het systeem is het meest kwetsbaar wanneer niet het gemiddelde herstel te lang duurt, maar wanneer deze zeldzame, moeilijke gevallen zich opstapelen en een achterstand creëren. De studie concludeert dat beveiligingsteams hun prestaties niet moeten zien als één enkel doelwit, zoals een "gemiddelde tijd tot reactie", maar als een gezamenlijk budget van drie onderling verbonden factoren: hoe snel ze kunnen leren, hoe snel ze kunnen detecteren en hoe snel ze kunnen remediëren. Als een van deze vertragingen te ver achterblijft bij de anderen, loopt het gehele defensiemechanisme het risico in een cyclus van falen te vallen. Het werk biedt een duidelijke, wiskundige waarschuwing dat in het moderne cyberlandschap de snelheid van leren net zo essentieel is als de snelheid van reactie, en dat zonder een gebalanceerde aanpak de natuurlijke vertragingen van het systeem uiteindelijk zullen leiden tot terugkerende, onvermijdelijke inbreuken.