Automated Root Cause Analysis of Security Incidents Using Causal Machine Learning

当安全系统发出警报时，眼前的挑战不仅仅是注意到出了问题，而是要准确理解问题的源头究竟在哪里。现代网络产生着持续的数据流：谁登录了、运行了哪些程序、打开了哪些文件以及权限如何变化。通常，连锁反应开始时的一个微小错误，就会引发一系列看起来同样可疑的异常事件。如果调查人员只关注最响亮或最异常的信号，他们可能会将症状误认为原因，从而在追逐下游效应时，让真正的核心问题依然隐藏在下游。为了解决这个问题，研究人员正转向一种被称为“因果推理”的思维方式。这种方法不再仅仅询问哪些事件同时发生，而是询问哪些事件实际上导致了其他事件的发生。它将系统视为一组相互连接的齿轮：如果一个齿轮转动，它就会推动下一个，进而推动下一个。其目标是找到被拨动的第一个齿轮，而不是仅仅寻找转得最快的那个。

一位名叫雷哈娜·德瓦尼（Rehana Devani）的研究员在一个受控的模拟环境中测试了一种寻找这种“第一个齿轮”的具体方法。该研究并未分析真实的黑客攻击或实时的企业网络。相反，它构建了一个由六个不同部分组成的数字模型，代表了诸如访问、策略和执行等要素。在这个模型中，研究人员完全了解各部分是如何连接以及如何相互影响的。随后，他们引入了一个特定的、人工制造的扰动——即其中一个起始部分的行为发生了突然的四个单位的偏移——并观察这种涟漪如何在系统的其余部分传播。实验提出了一个简单但困难的问题：如果你看到整个系统表现异常，计算机程序能否正确识别出究竟是哪一个起始部分发生了变化，还是会被那些对变化做出反应的部分所产生的噪声所干扰？

研究人员对比了两种观察数据的方法。第一种方法被称为“边缘评分”（marginal scoring），它就像是在孤立地观察每个部分，并询问：“与正常情况相比，这个部分有多异常？”这种方法经常失效，因为一个仅仅是在对问题做出反应的部分，看起来可能与造成问题的部分一样异常。第二种方法被称为“残差评分”（residual scoring），它更为复杂。它利用连接图谱来询问：“考虑到输入到这一部分的那些部分正在发生什么，这一部分本身的行为是否异常？”如果一个部分之所以表现异常仅仅是因为它的邻居表现异常，这种方法就能识别出该部分本身并不是源头。然而，如果该部分即使在邻居表现正常的情况下依然表现异常，它就会被标记为可能的罪魁祸首。

在实验最理想的版本中，即数据非常清晰且没有任何背景噪声的情况下，这种复杂的方法表现得非常出色。它在近 98% 的案例中正确识别出了扰动的起点。而那种忽略了部分间连接关系的简单方法，其正确率仅为 87% 左右。这一差距表明，理解系统的结构有助于将真正的因果关系与症状区分开来。然而，研究还测试了当数据变得混乱时（这也是现实世界系统中常见的状态），这种方法表现如何。研究人员加入了随机的静态噪声或传感器噪声，以模拟不完美的采集数据。随着噪声的增加，这种复杂方法的准确度有所下降，在噪声水平处于中等时，准确率降至约 81%。而简单的那个方法则更加挣扎，降至约 62%。这一结果证实，虽然了解连接关系很有帮助，但数据的质量同样至关重要。如果测量值过于模糊，即使是最好的地图也无法引导调查人员找到正确答案。

研究还探讨了如果“地图”本身出现轻微偏差时会发生什么。在一次测试中，研究人员故意移除了一个已知的连接，假装不知道一个部分会影响另一个部分。该方法仍然表现良好，在干净数据中能以约 94% 的准确率正确识别原因，但随着噪声的增加，准确率有所下降。这表明该方法对缺失信息具有一定的容错性，但并非完美。研究人员还检查了找到正确原因是否真的有助于解决问题。他们通过逆转注入系统的变化来模拟了一次修复过程。当他们针对正确的起始点进行操作时，系统的异常行为几乎完全消失了。当他们针对错误的点进行操作时，系统依然处于扰动状态。这证实了该方法不仅仅是在猜测；它识别出了那个一旦被拨回就能停止连锁反应的具体杠杆。

尽管取得了这些令人鼓舞的成果，论文仍谨慎地指出其局限性。整个实验是在一个包含六个部分的计算机模拟环境中进行的。研究人员并没有在真实的商业网络、真实的黑客或真实的安全性日志上进行测试。他们也没有声称该方法可以发现新型攻击，或者可以在没有预定义系统图谱的情况下发挥作用。这项研究证明了，如果你已经知道系统的连接方式，那么使用一种特定的计算方法，可以比单纯寻找最异常的数值更准确地找到单个注入的问题。它并没有证明这能在混乱、多噪且复杂的实时企业环境中奏效。这项工作的价值在于其清晰性：它将“寻找原因”与“发现地图”这两个概念区分开来，并明确展示了数据质量的影响程度。在这一方法能够用于保护真实组织之前，必须在连接关系并非预先已知且数据并非完全纯净的环境中对其进行测试。目前，它作为一个精确且可复现的演示，展示了在规则明确的前提下，因果推理如何能改进对安全事件源头的追踪。