Semantic-Aware Advanced Persistent Threat Detection Using Autoencoders on LLM-Encoded System Logs

Resumo Técnico: Detecção de APT Semântica-Consciente Usando Autoencoders em Logs de Sistema Codificados por LLM

Declaração do Problema
As Ameaças Persistentes Avançadas (APTs) representam um desafio crítico para a cibersegurança devido à sua natureza furtiva, de longo prazo e "low-and-slow" (baixa intensidade e longa duração). Os atacantes frequentemente utilizam técnicas de "living off the land", aproveitando ferramentas legítimas do sistema (ex: PowerShell, WMI) para misturar atividades maliciosas com tarefas administrativas normais. Os métodos de detecção tradicionais, incluindo abordagens estatísticas e técnicas de aprendizado de máquina raso como Isolation Forest (IForest), One-Class Support Vector Machines (OC-SVM) e Análise de Componentes Principais (PCA), dependem fortemente da frequência de tokens ou propriedades estatísticas. Esses métodos "rasos" falham em capturar a intenção semântica e as relações contextuais dentro dos logs do sistema. Consequentemente, eles têm dificuldade em distinguir entre ações administrativas benignas e ataques sofisticados quando a probabilidade estatística das entradas de log é semelhante. Além disso, o enorme volume de logs de sistema não estruturados torna a análise manual impossível, necessitando de uma detecção de anomalias automatizada que compreenda o significado por trás dos dados, em vez de apenas sua frequência.

Metodologia: O Framework MPNet-AE
O artigo propõe o MPNet-AE, um framework de detecção de anomalias não supervisionado que preenche a lacuna entre os logs brutos do sistema e a compreensão semântica. A metodologia procede através de três estágios primários:

1. Proveniência de Dados e Conversão Textual:
   O framework utiliza o conjunto de dados DARPA Transparent Computing (TC), que contém traços de proveniência detalhados (execuções de processos, chamadas de sistema, acessos a arquivos, comunicações de rede). Esses logs brutos são normalizados e transformados em descrições de linguagem natural estruturadas. Por exemplo, um registro de processo é convertido em uma frase como: "Processo 1054 iniciou /bin/bash e conectou ao socket 192.168.1.5:80 e alterou /etc/passwd." Esta conversão captura relações contextuais (ex: links pai-filho de processos, interações de rede) que são perdidas nos formatos de log brutos.

2. Geração de Embedding Semântico:
   Em vez de usar recursos padrão baseados em tokens ou variantes anteriores do BERT, o sistema emprega o modelo pré-treinado all-mpnet-base-v2 (baseado na arquitetura MPNet da Microsoft). Este modelo, que combina Modelagem de Linguagem Mascarada (MLM) e Modelagem de Linguagem Permutada (PLM) com ajuste fino contrastivo, codifica as frases de linguagem natural geradas em vetores densos de alta dimensão (768 dimensões). Esses embeddings representam a semântica comportamental de alto nível das atividades do sistema, em vez de apenas palavras-chave superficiais.

3. Detecção de Anomalias via Autoencoder:
   Os embeddings semânticos são alimentados em um Autoencoder (AE) vanilla. O AE é treinado exclusivamente em embeddings derivados de comportamentos benignos (normais) do sistema. A arquitetura consiste em um codificador que comprime a entrada de 768 dimensões em um espaço latente de 128 dimensões, e um decodificador que reconstrói a entrada original.

   • Mecanismo de Detecção: Durante a inferência, o modelo calcula o erro de reconstrução (Erro Quadrático Médio) para cada amostra. Como o AE é treinado apenas em dados normais, ele reconstrói padrões benignos com baixo erro. Atividades maliciosas ou anômalas, que possuem estruturas semânticas diferentes, resultam em erros de reconstrução elevados. Um limiar (threshold) é aplicado a esses erros para classificar as amostras como anomalias.

Principais Contribuições

1. Framework Inovador: Os autores propõem uma transição da detecção de anomalias estatística para a semântica, integrando modelos de transformadores pré-treinados (especificamente o MPNet) com autoencoders para detectar APTs com base em diferenças semânticas, em vez de frequência.
2. Avaliação Comparativa: O estudo fornece uma avaliação comparativa rigorosa contra três baselines não supervisionados estabelecidos: Isolation Forest, OC-SVM e PCA.
3. Utilização de Dataset: A pesquisa utiliza os conjuntos de dados do projeto DARPA TC (incluindo cenários 5DIR, CADETS, CLEARSCORES, THEIA e TRACE), que são benchmarks reconhecidos contendo cenários de ataque APT realistas e altamente desbalanceados, gerados por red teams.

Resultados Experimentais
O framework foi avaliado em cinco contextos de proveniência distintos (ProcessEvent, ProcessExec, ProcessParent, ProcessNetflow e ProcessAll) através de múltiplos sistemas operacionais (BSD, Windows, Linux, Android).

• Métricas de Desempenho: O desempenho foi medido pela Área Sob a Curva ROC (AUC-ROC), uma métrica adequada para dados altamente enviesados onde eventos maliciosos constituem menos de 0,004% dos registros.
• Vantagem Comparativa: A abordagem MPNet-AE superou consistentemente os baselines tradicionais (IForest, OC-SVM, PCA). Em 11 de 23 condições experimentais, o modelo alcançou pontuações AUC superiores a 0,95.
• Robustez: Visualizações usando t-SNE confirmaram que as atividades normais formam clusters compactos, enquanto as anomalias aparecem como pontos isolados no espaço semântico. O modelo demonstrou robustez particular em cenários complexos e ruidosos (ex: TRACE ProcessNetflow), onde métodos tradicionais como OC-SVM sofreram quedas de desempenho.
• Convergência: As curvas de treinamento indicaram convergência rápida com mínimo overfitting, validando a capacidade do modelo de generalizar padrões de comportamento normal.

Significância e Alegações
O artigo afirma que a integração da compreensão semântica com a modelagem baseada em reconstrução oferece uma vantagem decisiva na detecção de APTs. Ao capturar a intenção e o contexto das atividades do sistema, o framework MPNet-AE pode identificar comportamentos de ataque sutis, não lineares e furtivos que muitas vezes são perdidos por técnicas convencionais que dependem de propriedades estatísticas. Os autores alegam que esta abordagem aborda efetivamente as limitações do aprendizado "raso" diante de ameaças sofisticadas e de baixa frequência.

O estudo conclui que, embora o framework atual seja eficaz, trabalhos futuros devem focar no ajuste fino de modelos de linguagem especificamente para logs de cibersegurança, explorar dependências temporais e baseadas em grafos para ataques de múltiplos estágios, e integrar mecanismos de explicabilidade para implantação prática em ambientes corporativos reais.