LLMs for Zero-Shot Threat Detection via Structured Risk Indicators
Este artigo propõe um framework de LLM de dois estágios que aproveita a geração aumentada por recuperação para criar indicadores de risco estruturados e interpretáveis a partir de cronologias de atividade de usuários, alcançando o estado da arte em detecção zero-shot de ameaças internas e APTs ao demonstrar que a qualidade desses indicadores é o principal motor de desempenho.
Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
Nas fortalezas digitais das organizações modernas, os sistemas de segurança vigiam constantemente em busca de intrusos. Alguns desses sistemas escaneiam o tráfego que flui entre computadores, procurando padrões suspeitos no fluxo de dados. Outros sentam-se diretamente nos próprios computadores, monitorando o que acontece internamente: quem faz login, quais arquivos são abertos, quais dispositivos são conectados e quais e-mails são enviados. Esse monitoramento interno é crucial porque as ameaças mais perigosas costem vir de dentro. Quando um invasor rouba uma senha legítima ou convence um funcionário a agir contra a empresa, eles podem se mover pelo sistema parecendo exatamente com um usuário normal. Para pegá-los, as equipes de segurança devem distinguir entre uma pessoa trabalhando até tarde em um projeto e alguém roubando silenciosamente dados sensíveis, uma tarefa que exige a compreensão da história completa do comportamento de uma pessoa ao longo do tempo, não apenas de um único momento.
Uma equipe de pesquisadores da Universidade de Queensland desenvolveu uma nova maneira de ajudar os computadores a fazer essa distinção sem a necessidade de anos de treinamento em exemplos específicos de comportamento malicioso. Em vez de pedir a um computador para olhar para uma pilha desordenada de registros de segurança brutos e imediatamente gritar "ameaça" ou "seguro", eles construíram um sistema de duas etapas que atua mais como um analista cuidadoso. Primeiro, o sistema organiza a atividade de um usuário em uma linha do tempo e pede a um modelo de linguagem poderoso para traduzir essa linha do tempo em uma lista clara e estruturada de fatores de risco. Ele pede ao modelo para identificar coisas específicas que possam estar erradas, como acessar arquivos em horários incomuns ou conectar-se a servidores estranhos. Em seguida, um segundo modelo observa a sequência dessas listas de risco ao longo do tempo para detectar padrões que sugiram que um ataque está se desenrolando. Essa abordagem permite que o sistema detecte tanto ameaças internas, onde um funcionário de confiança torna-se malicioso, quanto ameaças persistentes avançadas, onde um invasor externo sofisticado se esconde na rede por um longo tempo.
Os pesquisadores testaram este método em dois conjuntos diferentes de dados de segurança. Um conjunto de dados simulou um cenário de ameaça interna envolvendo quase cem funcionários durante dezoito meses, capturando desde trocas de e-mail até transferências de arquivos. O outro conjunto de dados simulou um ataque externo furtivo a uma rede, rastreando milhares de conexões entre computadores. Em ambos os casos, o novo sistema superou significativamente o método anterior mais eficaz que dependia de modelos de linguagem. Nos dados de ameaça interna, a nova abordagem melhorou a capacidade de identificar corretamente ataques, reduzindo simultaneamente os alarmes falsos em mais de onze pontos percentuais. Nos dados de ataque de rede, a melhoria foi ainda mais dramática, saltando mais de trinta e um pontos percentuais. A chave para esse sucesso não foi apenas usar um cérebro de computador maior, mas mudar a forma como a informação era processada. Ao forçar o primeiro modelo a decompor logs complexos em indicadores de risco simples e interpretáveis antes de fazer um julgamento final, o sistema tornou-se muito melhor em detectar as sutis diferenças entre o trabalho normal e a atividade maliciosa.
Uma das descobertas mais interessantes foi como o sistema lidou com a necessidade de contexto. Os pesquisadores descobriram que, para os modelos de linguagem menores e menos poderosos, fornecer um resumo do comportamento passado do usuário ajudava-os a gerar indicadores de risco muito melhores. Era como se o modelo precisasse ver o histórico do usuário para entender o que era incomum no momento presente. No entanto, para os modelos maiores e mais capazes, esse contexto histórico adicional fez pouca diferença; eles já eram capazes de gerar indicadores de risco de alta qualidade por conta própria. Isso sugere que a qualidade da avaliação de risco inicial é o fator mais importante para detectar essas ameaças. Se a primeira etapa do processo produz uma imagem clara e precisa do perigo, a segunda etapa pode facilmente reconhecer o padrão de ataque. Se a primeira etapa for vaga ou confusa, o sistema terá dificuldades, independentemente de quão poderoso seja o classificador final.
O estudo também revelou que a maneira como os dados são agrupados importa imensamente. O sistema funciona melhor quando observa todas as atividades de uma única pessoa como uma história contínua, em vez de olhar para eventos isolados ou conexões entre máquinas. Quando os pesquisadores tentaram agrupar os dados pela conexão entre dois computadores em vez de pela pessoa que os utilizava, o desempenho do sistema caiu significamente. Isso ocorre porque o comportamento de um invasor é definido pelas suas ações através de muitas ferramentas e registros diferentes, e somente ao visualizar o quadro completo é que o sistema pode ver todo o alcance da ameaça. Os pesquisadores observaram que, embora o sistema fosse excelente em detectar as ameaças internas no primeiro conjunto de dados, o segundo conjunto de dados, que envolvia ataques de rede muito furtivos, apresentou um desafio maior, onde os sinais eram muito mais tênues. Mesmo assim, a abordagem estruturada ainda forneceu uma base sólida para a detecção, provando que decompor dados de segurança complexos em partes gerenciáveis e interpretáveis é uma estratégia poderosa.
Em última análise, este trabalho demonstra que o futuro da detecção automatizada de ameaças pode não residir em treinar computadores para memorizar cada ataque possível, mas em ensiná-los a raciocinar sobre o comportamento de forma estruturada. Ao usar modelos de linguagem para traduzir dados brutos em indicadores de risco claros e, em seguida, analisar esses indicadores ao longo do tempo, os sistemas de segurança podem tornar-se mais precisos e confiáveis. As descobertas sugerem que a configuração mais eficaz depende do tipo específico de ameaça que está sendo caçada e das capacidades dos modelos utilizados, mas o princípio central permanece o mesmo: a clareza nas etapas intermediárias leva a melhores decisões no resultado final. Esta abordagem oferece um caminho promissor para proteger as organizações contra o infiltrado que se volta contra elas e contra o invasor que tenta se esconder à vista de todos.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.