GRASP -- Graph-Based Anomaly Detection Through Self-Supervised Classification

Resumo Técnico: GRASP - Detecção de Anomalias Baseada em Grafos por Meio de Classificação Auto-supervisionada

Declaração do Problema

Os ataques de Ameaça Persistente Avançada (APT) estão cada vez mais difíceis de detectar devido ao seu sigilo, adaptabilidade e dependência de técnicas de "living-off-the-land" (LOTL), onde os atacantes utilizam componentes legítimos do sistema. Embora os Sistemas de Detecção de Intrusão Baseados em Proveniência (PIDS) ofereçam uma defesa promissora ao capturar relações de granularidade fina entre componentes do sistema, as soluções atuais enfrentam limitações significativas:

1. Dependência de Limiares: Os sistemas existentes dependem de limiares predefinidos ou determinados por subconjuntos para sinalizar anomalias. Essa abordagem limita a estabilidade da detecção, exige ajuste manual e corre o risco de mineração de dados (data snooping).
2. Negligência de Executáveis: Muitas obras relacionadas ignoram o papel dos executáveis de processos, que são os principais impulsionadores do comportamento do sistema à medida que interagem com arquivos, redes e outros processos.
3. Instabilidade e Reprodutibilidade: Sistemas recentes de última geração (por exemplo, ORTHRUS, VELOX) exibem alta instabilidade entre execuções e frequentemente falham em reproduzir resultados consistentemente em diferentes execuções ou divisões de conjuntos de dados.
4. Cobertura Limitada de Anomalias: Os métodos atuais frequentemente filtram "falsos positivos" que podem, na verdade, representar ataques não documentados ou mudanças no comportamento normal, levando a uma cobertura de detecção incompleta.

Metodologia: GRASP

Os autores propõem o GRASP (Detecção de Anomalias Baseada em Grafos por Meio de Classificação Auto-supervisionada), um PIDS que utiliza classificação auto-supervisionada mascarada em grafos de proveniência.

• Construção do Grafo: O sistema transforma dados de proveniência (logs de auditoria) em grafos onde os nós representam sujeitos (processos), arquivos e fluxos de rede, e as arestas representam interações (leitura, gravação, execução, etc.). O sistema utiliza um vizinhança de dois saltos para capturar tanto dependências diretas quanto indiretas, equilibrando informações contextuais com eficiência computacional.
• Tarefa de Aprendizado Auto-supervisionado: Em vez de prever tipos de arestas ou rótulos de nós com base em padrões de ataque, o GRASP mascara as informações do executável de um nó de processo alvo. O modelo (um codificador de Rede de Atenção em Grafos combinado com um decodificador de Perceptron Multicamada) é treinado para inferir o executável mascarado com base exclusivamente no contexto da vizinhança de dois saltos do nó.
• Mecanismo de Detecção de Anomalias:
  • Treinamento: O modelo aprende os padrões de comportamento normal de executáveis dentro de seus contextos de vizinhança específicos.
  • Inferência: Durante a inferência, se o comportamento observado de um processo desviar significativamente do padrão aprendido de seu executável associado (resultando em uma classificação incorreta), ele é sinalizado como uma anomalia.
  • Agrupamento (Clustering): Para lidar com comportamentos indistinguíveis (por exemplo, executáveis semelhantes ou eventos raros), o sistema agrupa as classificações incorretas observadas durante a época final de treinamento. Esses agrupamentos representam permutações benignas, impedindo que sejam sinalizados como anomalias durante a inferência.
• Engenharia de Recursos: Para evitar mineração de dados e lidar com caminhos/IPs de comprimento variável, o sistema emprega um autoencoder baseado em transformador para codificação de localização e codificação one-hot para tipos de nós/arestas. Executáveis desconhecidos na vizinhança são representados como vetores zero.
• Relatórios com Janela de Tempo: O sistema processa dados usando janelas deslizantes, gerando alarmes baseados no tempo em vez de alertas estáticos em nível de nó, facilitando o rastreamento da evolução da anomalia.

Principais Contribuições

1. Classificação Baseada em Executáveis: Uma abordagem inovadora que trata a previsão de executáveis de processos como a tarefa auto-supervisionada primária, modelando diretamente o comportamento dos processos como o núcleo da atividade do sistema.
2. Detecção sem Limiares: O sistema elimina a necessidade de ajuste de limiares ou limiares dependentes de conjuntos de validação, confiando, em vez disso, na distribuição aprendida pelo modelo e no agrupamento de classificações incorretas.
3. Robustez e Reprodutibilidade: Os autores demonstram que o GRASP fornece resultados consistentes em múltiplas execuções, abordando as questões de instabilidade prevalentes em trabalhos relacionados recentes.
4. Cobertura Aprimorada de Anomalias: Ao não filtrar desvios que não correspondem a padrões de ataque conhecidos, o GRASP identifica comportamentos potencialmente maliciosos que não estão documentados nos dados de verdade fundamental (GT), incluindo mudanças no comportamento normal.

Resultados e Avaliação

Os autores avaliaram o GRASP nos conjuntos de dados DARPA Transparent Computing (TC) e Operationally Transparent Cyber (OpTC), comparando-o com os sistemas de última geração ORTHRUS e VELOX.

• Detecção de Ataques: O GRASP detectou consistentemente todos os ataques documentados em conjuntos de dados onde o comportamento do executável era aprendível (por exemplo, Cadets, OpTC), alcançando um Recall de Ataque (Arecall) de 1,00 na maioria dos casos.
• Comparação com o Estado da Arte: Enquanto ORTHRUS e VELOX frequentemente alcançavam alta precisão suprimindo alarmes (às vezes perdendo ataques inteiramente ou dependendo de verdadeiros positivos únicos), o GRASP relatou significativamente mais alarmes. No entanto, esses alarmes adicionais correspondiam a desvios genuínos, incluindo comportamento anômalo não documentado.
• Análise de Falsos Positivos: O sistema identificou que uma parte significativa dos "falsos positivos" em trabalhos relacionados eram, na verdade, anomalias não documentadas. No conjunto de dados Theia E3, por exemplo, 39% dos alarmes do GRASP foram atribuídos a novos executáveis.
• Estudo de Ataque LOTL: Em um cenário modificado onde executáveis desconhecidos foram removidos para simular um ataque LOTL puro, o GRASP manteve capacidades de detecção, embora o desempenho tenha variado com base na aprendibilidade inerente do conjunto de dados.
• Limitações: O sistema teve dificuldades com o conjunto de dados Clearscope (baseado em Android) devido ao domínio de executáveis únicos em lotes e à baixa distinguibilidade das vizinhanças, resultando em baixas pontuações Macro-F1 durante o treinamento.

Significado e Alegações

O artigo afirma que o GRASP representa uma mudança no design de PIDS, afastando-se de modelos de previsão de tipos de arestas dependentes de limiares em direção a aprendizado auto-supervisionado focado em executáveis. Os autores afirmam que:

• A operação sem limiares torna o sistema mais robusto contra interferências e adaptável a atividades desconhecidas sem ajuste manual.
• A previsão de executáveis captura o comportamento do sistema mais efetivamente do que a previsão de tipos de arestas, pois os processos são os principais agentes de interação.
• A reprodutibilidade é uma contribuição crítica, pois o sistema entrega resultados estáveis em múltiplas execuções, ao contrário de trabalhos anteriores que exigiam execuções "sortudas" ou ajuste de hiperparâmetros específico do conjunto de dados.
• Utilidade Prática: Embora o sistema gere mais alarmes do que concorrentes baseados em limiares, ele reduz a carga de trabalho do analista de centenas de milhares de eventos brutos para um número gerenciável de desvios de alta confiança, muitos dos quais revelam mudanças não documentadas no sistema ou potenciais ameaças.

Os autores concluem que, embora o método não seja uma bala de prata (particularmente para conjuntos de dados com baixa distinguibilidade de executáveis), ele oferece uma abordagem mais abrangente e estável para detectar APTs e comportamento anômalo do sistema.