An End-to-End Framework for Functionality-Embedded Provenance Graph Construction and Threat Interpretation

Resumo Técnico: Auto-Prov

1. Problema e Motivação

Os gráficos de proveniência são essenciais para modelar interações causais no nível do sistema (processos, arquivos, rede) a partir de logs, permitindo que detectores de anomalias aprendam comportamentos normais e identifiquem desvios como ataques (especialmente Ameaças Persistentes Avançadas - APTs). No entanto, a abordagem atual enfrenta três desafios principais:

1. Construção Frágil e Não Escalável: A construção de gráficos de proveniência depende de regras manuais (expressões regulares) para extrair entidades e interações de logs. Essas regras são difíceis de manter, não escalam para sistemas heterogêneos e tornam-se obsoletas com pequenas mudanças nos formatos de log.
2. Falta de Contexto Funcional: Os detectores existentes representam nós (entidades) apenas por nomes ou tipos grosseiros (ex: "processo"). Eles não capturam a funcionalidade da entidade (ex: "editor de texto" vs. "serviço do sistema"). Isso dificulta a distinção entre comportamentos maliciosos e benignos que possuem estatísticas similares, mas intenções diferentes.
3. Interpretação Limitada para Analistas: Os alertas gerados são frequentemente gráficos complexos e de baixo nível, difíceis de interpretar. A falta de resumos em linguagem natural e mapeamento para táticas de ataque (como MITRE ATT&CK) sobrecarrega os analistas.

O uso direto de Grandes Modelos de Linguagem (LLMs) para resolver isso é inviável devido ao volume de dados e à natureza não estruturada dos logs (que carecem de narrativa, diferentemente de relatórios de inteligência).

2. Metodologia: O Framework Auto-Prov

O Auto-Prov é um framework adaptativo de ponta a ponta que utiliza LLMs de forma inteligente para automatizar a construção de gráficos de proveniência, enriquecê-los com contexto funcional e resumir ataques. O fluxo de trabalho consiste em cinco componentes principais:

1. Descoberta Automática de Tipos de Log:

   • O sistema amostra logs em janelas de tempo e usa embeddings (com RoBERTa) para agrupar logs com formatos estruturais similares.
   • Utiliza o algoritmo de clustering em streaming DBStream para identificar continuamente novos tipos de log à medida que surgem, sem conhecimento prévio.
   • Seleciona um pequeno conjunto de logs representativos para cada tipo descoberto.

2. Extrator de Proveniência Candidato (CPE):

   • Usa um LLM poderoso (GPT-4o) em um cenário zero-shot para processar os logs representativos.
   • O LLM decompõe a tarefa em: sumarização do log, extração de entidades, extração de tipos e extração de arestas (interações).
   • Isso gera "proveniências candidatas" de alta qualidade que servem como referência.

3. Gerador de Regras (Rule Generator):

   • Para escalar para o volume de logs em tempo real, um LLM menor e open-source (LLaMA-3) é usado para induzir regras de expressão regular baseadas nas extrações do CPE.
   • Essas regras são armazenadas em um banco de dados e aplicadas aos fluxos de logs contínuos para extrair os gráficos de proveniência de forma eficiente, sem depender do LLM grande para cada entrada.

4. Enriquecimento de Nós com Funcionalidade (Node Enricher):

   • Para resolver a falta de contexto, o sistema infere rótulos funcionais (ex: "navegador", "driver") para cada entidade.
   • Para entidades conhecidas: Usa o LLM para inferir a função baseada no nome/caminho.
   • Para entidades desconhecidas: Usa um classificador comportamental que compara o perfil de interações de um nó (quem ele lê/escreve) com o de nós conhecidos para estimar sua funcionalidade.
   • Esses rótulos são incorporados como atributos nos nós do gráfico.

5. Assistente de Gráfico (Graph Assistant):

   • Após a detecção de anomalias, o sistema converte os gráficos de ataque em resumos em linguagem natural.
   • O LLM gera uma narrativa explicativa das atividades suspeitas e mapeia essas atividades para táticas de APT (MITRE ATT&CK), fornecendo justificativas para o analista.

3. Contribuições Principais

• Framework Adaptativo: O Auto-Prov automatiza a construção de gráficos de proveniência a partir de logs heterogêneos e em evolução, eliminando a necessidade de engenharia manual de regras.
• Representação Funcional: Propõe uma nova representação de nós que incorpora rótulos de funcionalidade, combinando inferência via LLM para entidades conhecidas e estimativa baseada em comportamento para entidades novas.
• Resumo de Ameaças: Introduz uma abordagem para traduzir gráficos de ataque complexos em resumos naturais e mapeá-los para táticas de adversário, auxiliando a investigação humana.
• Escalabilidade: Utiliza uma arquitetura híbrida onde um LLM grande gera regras e contexto, mas um LLM menor e regras regex executam a extração em massa, tornando o sistema viável para produção.

4. Resultados Experimentais

O Auto-Prov foi avaliado em quatro detectores de anomalias baseados em gráficos de proveniência de última geração (Flash, MAGIC, OCR-APT, Kairos) usando dois conjuntos de dados heterogêneos: THEIA (Linux) e ATLAS (Windows, Firefox, DNS).

• Desempenho de Detecção: O Auto-Prov melhorou consistentemente o desempenho de detecção em todos os detectores avaliados.
  • Aumentou a média de AUC-ROC em 0,23 no conjunto THEIA e 0,15 no ATLAS.
  • Melhorou significativamente a Precisão de Detecção de Ataque (ADP), garantindo que ataques furtivos (com poucos nós maliciosos) não sejam perdidos.
• Generalização: O sistema demonstrou capacidade de generalizar entre formatos de log drasticamente diferentes (JSON estruturado vs. logs de auditoria Windows não estruturados).
• Análise de Componentes:
  • Gráficos gerados pelo Auto-Prov superaram gráficos construídos manualmente, mesmo sem os recursos de funcionalidade.
  • A adição de recursos funcionais aumentou ainda mais a precisão, especialmente para detectores que dependem de estatísticas comportamentais.
  • O uso de LLaMA-3 para geração de regras e extração de funcionalidade mostrou-se o mais robusto e completo entre os modelos open-source testados.
• Robustez do Assistente: O resumo de ataques manteve alta precisão na identificação de táticas (MITRE ATT&CK) e estabilidade na geração de texto, mesmo quando os nomes das entidades foram "envenenados" (substituídos por strings aleatórias), graças ao uso do classificador comportamental.

5. Significado e Impacto

O Auto-Prov representa um avanço significativo na detecção de intrusões baseada em proveniência ao:

1. Resolver o gargalo de engenharia: Torna viável a aplicação de gráficos de proveniência em ambientes reais e dinâmicos onde os formatos de log mudam constantemente.
2. Melhorar a interpretabilidade: Ao enriquecer os dados com contexto funcional e fornecer resumos em linguagem natural, reduz a carga cognitiva dos analistas de segurança.
3. Aumentar a robustez: Demonstra que é possível detectar ataques sofisticados mesmo quando as entidades do sistema são desconhecidas, desde que seu comportamento seja analisado em relação ao contexto funcional.

Em suma, o Auto-Prov avança a detecção de anomalias de um modelo baseado em regras estáticas e cego ao contexto para um sistema adaptativo, rico em semântica e orientado ao analista.