RansomShield: Threat-score-driven adaptive backup with multi-modal behavioural ransomware detection

In de digitale wereld heeft het beschermen van waardevolle informatie lang geleund op een eenvoudige, tweeledige strategie: waken voor indringers en een reservekopie van je werk bewaren. Beveiligingssoftware fungeert als een bewaker die bestanden en programma's scant om bekende dieven of verdacht gedrag op te sporen. Als het iets gevaarlijks ziet, slaat het alarm. Apart daarvan fungeert een back-upsysteem als een vangnet dat op regelmatige intervallen kopieën van bestanden opslaat, zoals een klok die elk uur of elke dag slaat. Decennialang opereerden deze twee systemen onafhankelijk van elkaar. De bewaker riep als hij een dreiging zag, maar de back-upklok bleef op zijn eigen schema doortikken, onwetend van het gevaar. Deze scheiding creëerde een kwetsbaarheid. Moderne dieven, specifiek zij die data gijzelen voor geld, hebben geleerd om snel toe te slaan en richten zich vaak op de back-upsystemen zelf, waarbij ze oude kopieën verwijderen of vergrendelen voordat er een nieuwe kan worden gemaakt. De oude regel om drie kopieën op twee plaatsen te bewaren, waarvan één op een externe locatie, was ontworpen voor een tijd waarin back-ups passieve doelwitten waren, geen actieve slagvelden.

Onderzoekers aan de University of Medical Sciences in Ondo, Nigeria, hebben een nieuwe manier voorgesteld om deze kloof te overbruggen. Ze bouwden een systeem genaamd RansomShield, dat de bewaker en het vangnet verbindt zodat ze werken als een enkele, ademende eenheid. In plaats van een simpel aan/uit-alarm, berekent hun systeem een continue "dreigingsscore". Deze score stijgt en daalt op basis van wat het systeem ziet gebeuren binnen de computer. Als de score laag is, gedraagt het systeem zich normaal en worden bestanden op een standaardtempo opgeslagen. Als de score begint te stijgen, wat aangeeft dat er iets verdachts gebeurt, verstevigt het systeem automatisch zijn verdediging. Het begint kopieën vaker op te slaan, vergrendelt die kopieën zodat ze niet gewijzigd kunnen worden, en isoleert ze van de rest van het netwerk. Het systeem wacht niet op absolute zekerheid om in actie te komen; het reageert evenredig aan het niveau van het waargenomen gevaar.

Om dit systeem te bouwen, combineerden de onderzoekers vier verschillende manieren om de computer te observeren. Ten eerste keken ze naar het geheugen van de computer, de tijdelijke ruimte waar actieve programma's leven, op zoek naar specifieke tekenen van kwaadaardige code. Ten tweede volgden ze de reeks commando's die een programma naar het besturingssysteem stuurt, op zoek naar patronen die typerend zijn voor bestandversleuteling. Derde monitorden ze hoe gegevens naar de harde schijf werden geschreven, waarbij ze zochten naar plotselinge pieken in activiteit of vreemde veranderingen in bestandstypen. Ten slotte maten ze de willekeur van de geschreven gegevens; versleutelde bestanden zien eruit als pure statische ruis, wat wiskundig duidelijk verschilt van normale documenten of afbeeldingen. Het systeem weegt deze vier signalen samen en vlakt de resultaten af om valse alarmen door tijdelijke storingen te voorkomen. Deze gecombineerde score stuurt vervolgens een controller aan die beslist hoe de gegevens precies beschermd moeten worden.

De onderzoekers testten dit idee met behulp van gegevens uit publieke archieven en door aanvallen te simuleren van zeven verschillende families van ransomware. In deze simulaties identificeerde het systeem elke aanval succesvol. Gemiddeld detecteerde het de dreiging na het observeren van slechts dertien bestandssysteemgebeurtenissen, wat een zeer korte tijd is in de wereld van digitale operaties. Zodra de dreiging werd opgemerkt, escaleerde het systeem onmiddellijk de reactie. Het bewoog van een normale staat naar een verhoogde staat waarin een volledige kopie van de gegevens elke dertig seconden werd opgeslagen. Deze kopieën werden "onveranderlijk" gemaakt, wat betekent dat ze op een manier werden vergrendeld waardoor zelfs de aanvaller ze niet kon verwijderen of wijzigen, en ze werden geplaatst in een geïsoleerde omgeving, effectief losgekoppeld (air-gapped) van de gecompromitteerde machine. Het systeem bereikte niet zijn hoogste waarschuwingsniveau, wat het stoppen van alle processen zou hebben behelst, omdat de gesimuleerde aanvallen vroeg genoeg werden gedetecteerd om de sterke, maar niet extreme, reactie te triggeren.

De studie onderzocht ook hoe vaak het systeem "vals alarm" zou slaan. In een scenario waarin alleen normale, onschadelijke computeractiviteit plaatsvond, markeerde het systeem ongeveer vijf procent van de gebeurtenissen als een potentiële dreiging. Hoewel dit een laag percentage is, merkten de onderzoekers op dat dit in een echte werkomgeving tot onnodig extra werk zou kunnen leiden, zoals het vaker opslaan van bestanden dan nodig is. Het systeem was echter slim genoeg om deze valse alarmen op een beheersbaar niveau te houden; het escaleerde nooit naar de meest extreme, verstorende maatregelen bij normale activiteit. De resultaten toonden aan dat de geheugentoepassing het krachtigste enkelvoudige instrument was, waarbij het kwaadaardige activiteit met bijna perfecte nauwkeurigheid identificeerde in de tests. De andere instrumenten, hoewel minder precies op zichzelf, voegden waardevolle context toe wanneer ze werden gecombineerd.

Dit werk blijft een bewijs van concept (proof of concept), een demonstratie dat het idee werkt in een gecontroleerde omgeving. De onderzoekers gebruikten gesimuleerde aanvallen in plaats van live virussen in een echt netwerk, en ze hebben het systeem nog niet getest in een ziekenhuis of bedrijfsomgeving. Ze erkennen dat de regels die ze gebruikten om het gedrag van de computer te beoordelen handmatig waren opgesteld en dat het systeem verder getest moet worden om te zien hoe het omgaat met de enorme variëteit aan realtime dreigingen. De auteurs stellen voor dat toekomstig werk moet bestaan uit het testen van het systeem tegen live malware in een veilige sandbox, het verfijnen van de regels op basis van echte gegevens, en het uiteindelijk implementeren van het systeem in organisaties waar de middelen beperkt zijn. De kernbevinding is duidelijk: door de detectie van een dreiging direct te koppelen aan de intensiteit van de back-upreactie, is het mogelijk om een verdediging te creëren die zowel sneller als veerkrachtiger is dan de traditionele, losgekoppelde methoden. Het systeem kijkt niet alleen uit naar problemen; het past zijn schild in realtime aan, en verstevigt zijn grip op het moment dat het gevaar begint toe te nemen.