SECURE Framework for Detecting Integrity Attacks in High-Frequency Trading Systems

In de digitale wereld wordt beveiliging vaak voorgesteld als een fort met muren die ontworpen zijn om indringers buiten te houden. Dit traditionele beeld richt zich op drie belangrijke pijlers: het geheim houden van geheimen, het waarborgen dat systemen online blijven, en het ervoor zorgen dat de informatie binnenin precies blijft zoals deze is verzonden. Hoewel het geheimhouden van gegevens en het draaiende houden van systemen goed begrepen uitdagingen zijn, gaat een subtieler gevaar vaak onopgemerkt voorbij. Dit is de bedreiging voor de integriteit van gegevens. In tegenstelling tot een virus dat een systeem laat crashen of een hacker die een wachtwoord steelt, verandert een aanval op de integriteit de gegevens zelf stilletjes. Het verandert hier een getal of daar een record zonder de machine te stoppen. In traag bewegende systemen kan een kleine verandering onschadelijk zijn, maar in omgevingen waar beslissingen duizenden keren per seconde worden genomen, kan een klein, gemanipuleerd getal een cascade van foutieve acties triggeren. Dit is met name het geval bij hoogfrequente handel, waarbij computers aandelen kopen en verkopen in een oogwenk op basis van de gegevens die ze zien. Als die gegevens licht verdraaid zijn, kan de hele markt misleid worden, terwijl het systeem gewoon soepel blijft draaien, waardoor de misleiding in het volle zicht verborgen blijft.

Onderzoekers S. Malathy en R. Anandhi van de Dwaraka Doss Goverdhan Doss Vaishnav College in India hebben een nieuwe manier voorgesteld om deze onzichtbare manipulaties te vangen. Ze noemen hun aanpak het SECURE-framework, een proces van zes stappen dat is ontworpen om datastromen in realtime te bewaken, te analyseren en erop te reageren. De naam staat voor Surveillance (bewaking), Examination (onderzoek), Control (controle), Understanding (begrip), Response (reactie) en Enhancement (verbetering). Het systeem begint met het constant bewaken van de binnenkomende datastroom, vergelijkbaar met een beveiligingscamera die nooit knippert. Zodra de gegevens zijn verzameld, gaan ze naar de onderzoeksfase, waar een computerprogramma dat getraind is om patronen te herkennen, zoekt naar alles wat ongewoon is. De onderzoekers kozen een specifiek type patroonherkenningsinstrument genaamd Random Forest, dat werkt door veel verschillende beslissingsbomen op te bouwen en ze te laten stemmen over de vraag of een stuk data normaal of verdacht is. Deze methode is bijzonder goed in het omgaan met de ruisachtige, chaotische aard van snel bewegende gegevens.

Het weten dat er iets mis is, is echter niet genoeg; beveiligingsexperts moeten weten waarom. Om dit op te lossen, voegden de onderzoekers een laag van uitlegbaarheid toe aan hun systeem. Ze gebruikten een techniek genaamd SHAP, die werkt als een spotlight die schijnt op de specifieke details die ervoor zorgden dat de computer een gebeurtenis als verdacht markeerde. In plaats van alleen te zeggen "dit is slecht", kan het systeem wijzen naar de exacte prijsverandering of ordergrootte die het alarm heeft getriggerd. Deze transparantie helpt menselijke analisten om het oordeel van de machine te vertrouwen. Het framework gaat vervolgens over naar de controlefase, waar het verdachte gegevens kan blokkeren of markeren, gevolgd door een reactiefase waarin meldingen worden verzonden en records worden bijgehouden. Ten slotte gaat het systeem een verbeteringsfase in, waarbij het leert van nieuwe gegevens om beter te worden in het opsporen van toekomstige trucs.

Om te testen of dit idee werkt, pasten de onderzoekers het toe op een realistische scenario: de aandelenmarkt. Ze gebruikten een dataset van Level-2 orderboekgegevens, die elke koop- en verkooporder registreert die voor een aandeel wordt geplaatst, inclusief de prijs, hoeveelheid en tijd. In deze omgeving simuleerden ze twee veelvoorkomende vormen van marktmanipulatie, bekend als spoofing en layering. Spoofing vindt plaats wanneer een handelaar een enorme order plaatst zonder de intentie om te kopen, enkel om een vals gevoel van vraag te creëren en anderen te misleiden tot kopen. Layering houdt in dat er veel orders op verschillende prijsniveaus worden geplaatst om kunstmatige druk te creëren. Beide tactieken veranderen de gegevens om de markt te beïnvloeden zonder het handelsysteem daadwerkelijk te verstoren, wat hen perfecte voorbeelden maakt van integriteitsaanvallen. De onderzoekers behandelden deze manipulaties als de "slechte" data en normale handel als de "goede" data, en voerden vervolgens alles in hun SECURE-framework.

De resultaten toonden aan dat het nieuwe systeem aanzienlijk beter was in het vangen van deze trucs dan een standaard computermodel alleen. Wanneer de onderzoekers een basisversie van hun patroonherkenningsinstrument testten zonder het volledige zesstappenplan, identificeerde het ongeveer 91,84 procent van de aanvallen correct. Maar wanneer ze de volledige SECURE-structuur toevoegden, inclusief de specifieke stappen voor controle en de uitlegbaarheidsinstrumenten, steeg de nauwkeurigheid naar 96,82 procent. Het systeem werd veel beter in het vinden van de echte aanvallen, terwijl het minder fouten maakte bij normale handel. De analyse van de gegevens onthulde dat het systeem aandacht besteedde aan de juiste zaken. Het leerde dat plotselinge veranderingen in prijsbewegingen, ongebruikelijke hoeveelheden aandelen en pieken in volume op specifieke prijsniveaus de sterkste signalen van manipulatie waren. Dit zijn exact de gedragingen waar een menselijke handelaar naar zou kijken, wat bewijst dat de computer niet alleen gokte, maar logische patronen herkende.

Wat dit werk bijzonder waardevol maakt, is dat het niet afhankelijk is van het precies weten wat de aanvaller de volgende stap zal doen. In plaats van te zoeken naar een specifieke lijst van bekende slechte gedragingen, leert het systeem de algemene vorm van een leugen in de gegevens te herkennen. Dit betekent dat het framework niet beperkt is tot alleen de aandelenmarkten. De onderzoekers suggereren dat dezelfde methode gebruikt kan worden om andere snel bewegende systemen te beschermen, zoals netwerken van sensoren in een smart city of medische apparaten die patiënten in realtime monitoren. In elke omgeving waar gegevens snel stromen en een kleine verandering een grote impact kan hebben, is het vermogen om subtiele manipulatie te detecteren cruciaal. Door een snelle patroonherkenningsmethode te combineren met een methode die haar eigen denken uitlegt, biedt het SECURE-framework een manier om snelle systemen eerlijk te houden. Het laat zien dat in de race om gegevens te beschermen, de sleutel niet alleen het letten op de ruis is, maar het begrijpen van het verhaal dat de gegevens vertellen.