Network-Centric Ransomware Intrusion Detection Framework

在数字世界中，一种特定类型的威胁已从一种滋扰演变成了一场全球性的危机。几十年来，被称为勒索软件的恶意软件一直通过加密文件并要求支付赎金来挟持计算机数据。虽然安装在个人电脑上的安全软件通常可以在这些程序启动前拦截它们，但聪明的攻击者已经学会了隐藏其行为，从而绕过这些防御措施。当一台计算机已经被攻破时，观察正在发生之事的唯一剩余视角往往来自于网络本身——即机器之间流动的数字数据流。这正是最后一道防线所在。通过观察计算机与存储数据的中央文件服务器之间流动的数据流量，安全专家希望能够捕捉到攻击进行中的独特特征，即使恶意程序试图伪装自己。

澳大利亚拉筹伯大学（La Trobe University）的一个研究小组开发了一种观察这种数字流量的新方法，创建了一个旨在捕捉已经突破系统的勒索软件的框架。他们的方法超越了仅仅寻找已知的恶意行为，而是转而关注数据本身的特征。他们引入了一种被称为“感兴趣流量”（Traffic of Interest）的方法，该方法就像一个过滤器，将能够讲述计算机正在做什么故事的特定数据包组合在一起。该技术并非分析跨越网络的每一件数据（这可能会导致系统过载且运行缓慢），而是隔离出计算机在共享驱动器上读取、写入或修改文件的那些关键时刻。通过专注于这些关键时刻，该系统可以区分用户是在简单地备份工作，还是在进行恶意程序式的全面加密。

研究人员构建了一个测试环境，以观察这种方法在现实世界中是否可行。他们搭建了一个包含一个文件服务器和若干客户端计算机的虚拟网络，然后引入了各种各样的勒索软件家族，范围涵盖了从旧版本到 2013 年至 2022 年间发现的最新的变种。至关重要的一点是，他们不仅在正常的、安静的计算机活动中测试这些攻击，还在运行一些执行大量文件操作的良性应用程序，例如压缩大型文件夹、对数据进行加密以保护隐私或复制海量文件。这些合法的操作有时看起来与勒索软件非常相似，许多之前的检测系统都难以区分它们，经常引发误报。通过训练他们的系统去识别用户压缩文件与病毒加密文件之间的细微差别，研究人员旨在创建一个既对威胁敏感、又对正常活动保持冷静的检测器。

他们的实验结果令人瞩目。当系统针对全方位的攻击进行测试时，它以接近 99.64% 的精确度正确识别了勒索软件。或许更重要的是，它在每千次尝试中仅有一次未能检测到勒租软件攻击，这一失败率低到几乎可以忽略不计。这意味着该系统极少错过威胁。与此同时，它也很少“虚报军情”；在每十万次检查中，它仅有四次错误地将无害程序标记为恶意程序。研究人员还证明，这种检测可以在攻击发生的早期阶段实现。通过分析最初的几十个可疑活动瞬间，该系统就能以 99.44% 的准确率识别入侵，且通常发生在破坏造成之前。这种早期预警能力至关重要，因为它为管理员提供了在关键数据丢失前阻止攻击的时间。

除了驱动检测的机器学习模型外，团队还发现了一组被称为“入侵指标”（indicators of compromise）的行为线索，这些线索是勒索软件所特有的。这些不仅仅是简单的黑名单地址或文件名，因为攻击者可以轻易更改这些内容。相反，这些指标是数据移动方式中的模式。例如，研究人员发现勒索软件通常会创建一个具有一致大小的特定类型消息文件，用以告知受害者该如何操作，并且在锁定文件时遵循一套非常特定的命令序列。即使攻击者试图掩盖踪迹，这些模式依然清晰可见。团队将这些模式汇编成一个存储库，作为已知威胁的特征码，从而提供第二层防御，与机器学习模型协同工作。

这项研究明确挑战了此前检测方法已足够充分的观点。作者认为，许多早期的研究依赖于不包含类勒索软件良性应用的数据库，这导致了过于乐观的结果，而在繁忙的办公环境中无法经受考验。他们还指出，许多现有工具依赖于查看未加密的数据，但随着网络采用更强的加密技术，这种情况正变得越来越少见。然而，他们的框架使用了加密和未加密的流量进行测试，证明了无论安全设置如何，它都能看穿其中的噪声。通过关注文件操作的实际行为而非病毒的静态代码，研究人员提供了一种更稳健的保护网络的方式。这项工作表明，尽管勒索软件将持续进化，但通过敏锐观察特定行为模式的数据流，为阻止其蔓й提供了一条可靠的路径。