Resumo Técnico: FuseChain

Declaração do Problema

Ataques à cadeia de suprimentos de software (SSC - Software Supply-Chain) são cada vez mais caracterizados por comportamentos de múltiplos estágios, trans-fontes e distribuídos temporalmente. Diferente do malware tradicional em execução, os ataques modernos de SSC fragmentam as evidências em diversas fontes de telemetria: logs de pacotes, execução de processos, eventos do sistema, fluxos DNS/TLS e tráfego de rede. Fontes individuais frequentemente contêm apenas traços fracos ou ambíguos; por exemplo, uma conexão de rede pode parecer benigna sem o contexto do processo, ou uma execução de processo pode parecer normal sem a procedência do pacote.

Os sistemas de detecção de tempo de execução existentes normalmente analisam essas fontes de forma independente ou dependem de modelos de grafos estáticos que falham em capturar a dinâmica do tempo dos eventos. Essa fragmentação torna difícil identificar evidências de ataque de baixa frequência ou reconstruir o contexto temporal no qual elas aparecem. Além disso, os sistemas de detecção de intrusão baseados em proveniência existentes costumam visar configurações de APT empresariais com fluxos de auditoria densos e centrados no host, que não se traduzem bem para a natureza esparsa, heterogênea e de múltiplas fontes da telemetria de runtime de SSC. Um desafio crítico identificado é que a otimização conjunta da detecção de anomalias com a predição de estágio de ataque é ineficaz sob supervisão de estágios esparsa e desbalanceada, pois os rótulos de estágio podem interferir no aprendizado de representações centradas em anomalias.

Metodologia

O FuseChain é um framework de detecção em tempo de execução projetado para alinhar telemetria heterogênea em um grafo de proveniência temporal unificado. A metodologia consiste em quatro componentes primários:

1. Grafo de Proveniência Temporal Multi-Fonte

O FuseChain normaliza a telemetria bruta de segurança (de gerenciadores de pacotes, hosts, redes e alertas) em um esquema canônico de eventos temporais tipados. Cada evento é representado como uma tupla contendo tempo de evento unificado, entidades de origem/destino, tipos de relação, evidência de múltiplos atributos e o identificador da fonte de telemetria. Esses eventos são mapeados em um eixo de tempo de evento unificado para construir um grafo heterogêneo temporal. O framework suporta tanto arestas observadas (diretamente de logs) quanto arestas derivadas (dependências temporais baseadas em regras) para enriquecer o contexto do grafo sem introduzir novas observações.

2. Detecção de Anomalia Autossupervisionada

O núcleo do FuseChain é um detector de anomalias de grafo temporal autossupervisionado baseado em uma Rede de Grafos Temporais (TGN).

• Protocolo de Treinamento: O modelo é treinado em um prefixo histórico cronológico de telemetria benigna usando predição de ligação temporal. Ele aprende a prever interações futuras com base nos estados de memória dos nós históricos.
• Independência de Rótulos: Crucialmente, o backbone de anomalia é treinado sem usar anotações de IOC ou rótulos de estágio de ataque. Isso evita que a supervisão de estágio esparsa e desbalanceada corrompa o aprendizado de representação comportamental.
• Pontuação: As pontuações de anomalia são derivadas do log-verossimilhança negativa dos eventos observados sob a dinâmica normal aprendida. Eventos que são difíceis de prever recebem pontuações mais altas.

3. Interpretação de Estágio Desacoplada

Para abordar o desafio dos rótulos de estágio esparsos, o FuseChain desacopla a detecção de anomalias da interpretação de estágio.

• Backbone Congelado: Após o treinamento, o backbone de anomalia é congelado.
• Decodificador Leve: Um decodificador separado e leve é treado sobre o backbone congelado para prever estágios de ataque observáveis. Este design trata a reconstrução de estágio como uma tarefa de interpretação downstream, preservando a qualidade das representações comportamentais aprendidas enquanto permite a classificação por nível de estágio.

4. Recuperação e Reconstrução Adaptativa

Para mitigar o problema onde pontuações de anomalia altas se concentram em estruturas benignas repetidas (evidência redundante), o FuseChain emprega estratégias de recuperação adaptativa. Essas estratégias (por exemplo, PairDedupe, SourceQuota, Adaptive) selecionam os eventos de ranking superior com base na diversidade em origem, padrão ou tuplas de entidade, em vez de apenas pelo score bruto. Isso garante que a cadeia de ataque reconstruída cubra um conjunto mais amplo de estágios observáveis sem modificar o detector subjacente.

Principais Contribuições

1. Framework FuseChain: Um framework de detecção de SSC em tempo de execução que unifica fontes de telemetria heterogêneas em um grafo de proveniência temporal para modelagem de evidência cross-source.
2. Aprendizado de Anomalia Autossupervisionado: Um detector de grafo temporal que aprende representações centradas em anomalias a partir de telemetria de prefixo benigno sem depender de rótulos de estágio de ataque durante a fase de treinamento.
3. Arquitetura Desacoplada: Demonstração empírica de que a reconstrução de estágio de ataque implantável é mais eficaz quando tratada como uma tarefa downstream sobre um backbone de anomalia congelado, em vez de um objetivo de otimização conjunta.
4. Rastreabilidade de IOC e Reconstrução: Introdução de mecanismos para recuperação de cadeia de ataque voltada ao analista, incluindo links explícitos entre interações de grafo e registros originais de telemetria, e a reconstrução de estágios de ataque observáveis.
5. Avaliação Abrangente: Avaliação em sete cenários de ataque SSC no dataset SynthChain, mostrando melhorias significativas na reconstrução de estágios e no desempenho de detecção.

Resultados Experimentais

Os autores avaliaram o FuseChain em sete cenários de ataque SSC usando o dataset SynthChain, que contém telemetria de runtime multi-fonte com evidência de ataque de múltiplos estágios e esparsa.

• Desempenho de Detecção: O FuseChain superou baselines de fonte única (apenas auditoria, apenas rede, apenas alerta) e baselines de grafo multi-fonte estático (GraphSAGE, RGCN) em macro-AUROC, AUPRC e Precisão@500.
• Reconstrução de Estágio:
  • Conjunto vs. Desacoplado: A otimização conjunta da detecção de anomalia e predição de estágio resultou em um Stage Recall@500 de 0,369. Em contraste, a abordagem desacoplada com um decodificador de backbone congelado alcançou um Stage Recall@500 de 0,881.
  • Recuperação Adaptativa: A aplicação de estratégias de recuperação adaptativa aos eventos de ranking superior aumentou o recall de estágios observáveis de 0,524 (baseline by_k) para 0,655 sem modificar o detector.
• Generalização: Em avaliação cross-scenario Leave-One-Scenario-Out (LOSO), o FuseChain manteve sinais úteis de ranking de anomalia, sugerindo que padrões de proveniência temporal podem ser transferidos entre diferentes cenários de SSC.
• Robustez: Atualizações de regras fracas (ex: adicionar regras para execução de setup.py) aumentaram a cobertura de comportamentos específicos sem causar regressão significativa na detecção.

Significância e Alegações

O artigo afirma que uma defesa de SSC em tempo de execução eficaz requer raciocínio temporal sobre evidências heterogêneas distribuídas em múltiplas fontes. A principal significância do FuseChain reside em sua separação arquitetural entre o aprendizado de anomalia comportamental e a interpretação de estágio de ataque implantável.

Os autores afirmam que rótulos de estágio esparsos e desbalanceados interferem no aprendizado de representações de anomalia robustas quando usados conjuntamente. Ao congelar o backbone de anomalia e tratar a predição de estágio como uma tarefa downstream, o FuseChain preserva a qualidade da detecção enquanto melhora significativamente a capacidade de reconstruir estágios de ataque observáveis. Os resultados destacam que o desacoplamento dessas tarefas é essencial para lidar com a esparsidade e diversidade inerentes à telemetria de supply-chain de software do mundo real.

O trabalho posiciona-se como um complemento, e não um substituto, para ferramentas de análise estática e escaneamento de dependências, focando especificamente na fase de detecção em tempo de execução após o deployment. Os autores observam que a qualidade da reconstrução é limitada pela disponibilidade de telemetria; estágios sem evidência baseada em IOC nos logs coletados permanecem inobserváveis, e o sistema é projetado para fundir sensores de runtime complementares em vez de atuar como um detector de fonte única independente.