Network-Centric Ransomware Intrusion Detection Framework

In de digitale wereld is een specifiek soort dreiging geëvolueerd van een overlast tot een wereldwijde crisis. Al decennia lang houdt kwaadaardige software, bekend als ransomware, computergegevens gegijzeld door bestanden te versleutelen en betaling te eisen voor de vrijgave ervan. Hoewel beveiligingssoftware die op individuele computers is geïnstalleerd, deze programma's vaak kan stoppen voordat ze beginnen, hebben slimme aanvallers geleerd hun acties te verbergen, waardoor ze de defensie omzeilen. Wanneer een computer al gecompromitteerd is, komt het enige resterende zicht op wat er gebeurt vaak van het netwerk zelf — de stroom gegevens die tussen machines beweegt. Dit is waar de laatste verdedigingslinie ligt. Door het verkeer te observeren dat stroomt tussen een computer en de centrale bestandservers waar gegevens worden opgeslagen, hopen beveiligingsexperts de unieke handtekening van een aanval in uitvoering te ontdekken, zelfs als het kwaadaardige programma probeert zichzelf te camoufleren.

Een team onderzoekers aan de La Trobe Universiteit in Australië heeft een nieuwe manier ontwikkeld om dit digitale verkeer te observeren, waarbij ze een framework hebben gecreëerd dat is ontworpen om ransomware te vangen die al een systeem is binnengedrongen. Hun aanpak gaat verder dan simpelweg zoeken naar bekende kwaadwillenden en richt zich in plaats daarvan op het gedrag van de gegevens zelf. Ze introduceerden een methode die ze "Traffic of Interest" noemen, die fungeert als een filter om specifieke pakketjes informatie te groeperen die een verhaal vertellen over wat een computer aan het doen is. In plaats van elk afzonderlijk stukje data te analyseren dat het netwerk kruist, wat overweldigend en traag kan zijn, isoleert deze techniek de specifieke momenten waarop een computer bestanden leest, schrijft of wijzigt op een gedeelde schijf. Door zich op deze kritieke momenten te concentreren, kan het systeem onderscheid maken tussen een gebruiker die simpelweg zijn werk een back-up geeft en een kwaadaardig programma dat alles in zicht versleutelt.

De onderzoekers bouwden een testomgeving om te zien of deze methode in de echte wereld zou kunnen werken. Ze zetten een virtueel netwerk op met een bestandsserver en verschillende clientcomputers, en introduceerden vervolgens een grote verscheidenheid aan ransomware-families, variërend van oudere stammen tot de meest recente varianten ontdekt tussen 2013 en 2022. Cruciaal was dat ze deze aanvallen niet alleen tegen normale, rustige computeractiviteit testten. Ze draalden ook legitieme applicaties die zware bestandoperaties uitvoeren, zoals het comprimeren van grote mappen, het versleutelen van gegevens voor privacy of het kopiëren van enorme hoeveelheden bestanden. Deze legitieme acties kunnen soms erg lijken op ransomware, en veel eerdere detectiesystemen hadden moeite om het verschil te zien, wat vaak leidde tot valse alarmen. Door hun systeem te trainen om de subtiele verschillen te herkennen tussen een gebruiker die een bestand comprimeert en een virus dat een bestand versleutelt, wilden de onderzoekers een detector creëren die zowel gevoelig is voor dreigingen als kalm bij normale activiteit.

De resultaten van hun experimenten waren opmerkelijk. Wanneer het systeem werd getest tegen de volledige omvang van de aanvallen, identificeerde het de ransomware met een precisie van bijna 99,64 procent. Misschien wel het belangrijkste is dat het een ransomware-aanval slechts één keer in de duizend pogingen niet detecteerde, een snelheid die zo laag is dat het effectief nul is. Dit betekent dat het systeem zelden een dreiging mist. Tegelijkertijd gaf het zelden een vals alarm; het markeerde een onschadelijke applicatie als kwaadaardig in slechts vier van de honderdduizend controles. De onderzoekers hebben ook aangetoond dat deze detectie heel vroeg in een aanval kan plaatsvinden. Door de eerste tientallen momenten van verdachte activiteit te analyseren, kon het systeem de indringing met 99,44 procent nauwkeurigheid identificeren, vaak nog voordat de schade was aangericht. Deze vroege waarschuwingscapaciteit is essentieel, omdat het beheerders de tijd geeft om de aanval te stoppen voordat cruciale gegevens verloren gaan.

Naast het machine learning-model dat de detectie aandrijft, hebben de onderzoekers ook een reeks gedragsclues ontdekt, bekend als indicators of compromise, die uniek zijn voor ransomware. Dit zijn niet alleen eenvoudige lijsten van slechte adressen of bestandsnamen, die aanvallers gemakkelijk kunnen veranderen. In plaats daarvan zijn deze indicatoren patronen in hoe de data beweegt. Zo ontdekten de onderzoekers dat ransomware vaak een specifiek type berichtbestand aanmaakt met een consistente grootte om het slachtoffer te vertellen wat te doen, en dat het een zeer specifieke sequentie van commando's volgt wanneer het bestanden vergrendelt. Deze patronen blijven zichtbaar, zelfs wanneer aanvallers proberen hun sporen te wissen. Het team heeft deze patronen samengevoegd in een repository die kan worden gebruikt als een handtekening voor bekende dreigingen, wat een tweede verdedigingslaag biedt die naast het machine learning-model werkt.

De studie daagt expliciet het idee uit dat eerdere detectiemethoden voldoende waren. De auteurs stellen dat veel eerdere studies vertrouwden op datasets die geen legitieme applicaties bevatten die zich als ransomware gedragen, wat leidde tot te optimistische resultaten die niet stand zouden houden in een drukke kantooromgeving. Ze merkten ook op dat veel bestaande tools afhankelijk zijn van het zien van ongeëncrypteerde data, wat minder voorkomt naarmate netwerken sterkere encryptie adopteren. Hun framework werd echter getest met zowel versleuteld als ongeëncrypteerd verkeer, wat bewees dat het door de ruis heen kan kijken, ongeacht de beveiligingsinstellingen. Door zich te richten op het werkelijke gedrag van de bestandoperaties in plaats van alleen op de statische code van het virus, hebben de onderzoekers een robuustere manier geboden om netwerken te beschermen. Het werk suggereert dat hoewel ransomware zal blijven evolueren, het observeren van de datastroom met een scherp oog voor specifieke gedragspatronen een betrouwbaar pad biedt om het te stoppen.