Verknüpfung von Cyberangriffsmustern in IoT-Systemen

Der Aufstieg des Internets der Dinge (IoT) hat viele Geräte in unsere Netzwerke gebracht, was sie komplexer und anfälliger für Cyberangriffe macht. Diese Angriffe können neue Schwachstellen in den Systemen ausnutzen und dadurch lebenswichtige Dienste gefährden. Die Bewertung der Risiken in diesen Systemen wird durch fehlendes aktuelles Wissen über Cybersicherheit immer schwieriger. Das schafft einen dringenden Bedarf für effektivere Risikobewertungen und Techniken, um diese Risiken zu minimieren.

In der Vergangenheit basierten Bemühungen, Schwachstellen in Systemen zu finden, auf Regeln und einfachen Programmieransätzen. Neue Fortschritte bei grossen Sprachmodellen (LLMs) bieten uns jedoch eine frische Möglichkeit, Informationen über Cyberbedrohungen zu sammeln. Diese Modelle können Daten besser analysieren und zusammenfassen als traditionelle Methoden. Wir können diese Modelle nutzen, um Informationen über verschiedene Angriffsarten und die Techniken, die Angreifer verwenden, zu organisieren.

Unser Ansatz verwendet fortschrittliche Werkzeuge, um Informationen über verschiedene Arten von Cyberbedrohungen zu verknüpfen. Indem wir Modelle benutzen, die Wörter in numerische Daten umwandeln, können wir Zusammenhänge zwischen Angriffsarten und den Strategien, die Angreifer anwenden, herstellen. Ausserdem führen wir eine neue Methode ein, die Datenabruf mit Sprachgenerierung kombiniert. Diese Methode hilft uns, organisierte Rahmen zu erstellen, die verschiedene Angriffsformen miteinander verbinden.

Um diese neue Methode zu testen, verwenden wir einen kleinen Datensatz, den wir sorgfältig gekennzeichnet haben. So können wir unseren Ansatz mit Standardmethoden in der Cybersicherheit vergleichen. Das Ziel ist es, ein komplettes System zu entwickeln, das hilft, Wissenslücken über Cyberbedrohungen zu schliessen.

#Die Auswirkungen von industriellen Steuerungssystemen

Die Integration von IoT in industrielle Steuerungssysteme (ICS) hat die Abläufe in der Industrie verbessert, indem sie die Prozesse effizienter und produktiver gemacht hat. Allerdings öffnet diese erhöhte Konnektivität auch Türen für Cyberangriffe. Diese Angriffe können die Vertraulichkeit, Integrität und Verfügbarkeit von Diensten und Daten gefährden. Sie können verschiedene Formen annehmen, darunter Malware, Ransomware, Denial-of-Service-Attacken und Angriffe auf die Lieferkette. Jeder Angriff kann ernsthafte Risiken für kritische Infrastrukturen mit sich bringen, die Sicherheit, Wirtschaft und öffentliche Gesundheit beeinträchtigen.

Um besser zu verstehen, wie Angreifer Schwachstellen ausnutzen, können wir auf etablierte Kataloge von Angriffsformen zurückgreifen. Zum Beispiel bietet das Common Attack Pattern Enumeration and Classification (CAPEC) eine öffentliche Liste verschiedener Methoden für Cyberangriffe. Zudem liefert der MITRE Adversarial Tactics, Techniques, and Common Knowledge (ATT&CK)-Rahmen wertvolle Einblicke in feindliche Verhaltensweisen basierend auf realen Beispielen.

Sowohl CAPEC als auch ATT&CK sind wichtige Ressourcen für Organisationen, die ihre Systeme schützen wollen. Sie helfen Cybersicherheitsteams, potenzielles Angreiferverhalten zu verstehen, sich besser auf Risiken vorzubereiten und effektive Strategien zur Bekämpfung von Bedrohungen zu entwickeln. Allerdings gibt es eine Herausforderung darin, diese beiden wertvollen Ressourcen effektiv miteinander zu verbinden. Während es einige Verbindungen für Unternehmensbedrohungen gibt, fehlen solche Verbindungen für ICS- oder mobile Bedrohungen.

Diese Verbindungen herzustellen, erfordert erhebliches Fachwissen, um gültige Verknüpfungen zwischen den beiden Systemen zu bestätigen. Da die Informationen regelmässig aktualisiert werden, können manuelle Verbindungen unpraktisch und zeitaufwändig sein.

#Die Rolle von Sprachmodellen in der Cybersicherheit

Traditionelle maschinelle Lerntechniken benötigen oft strukturierte Eingaben, um genaue Vorhersagen zu treffen, aber viele der Daten zu Angriffsarten sind unstrukturiert. Hier können grosse Sprachmodelle helfen. Diese Modelle können Text in numerische Daten umwandeln, wodurch wir schwierige textliche Informationen als mathematische Vektoren behandeln können. Indem wir analysieren, wie ähnlich oder unterschiedlich diese Vektoren sind, können wir Verbindungen zwischen verschiedenen Angriffsformen identifizieren.

Unsere Forschung konzentriert sich darauf, den Prozess der Verknüpfung zwischen CAPEC und ATT&CK zu verbessern. Wir nutzen verschiedene Ansätze, um einen zuverlässigen Weg zu finden, Angriffsformen genau zu verknüpfen. Unsere Methodik umfasst zwei wichtige Aufgaben: Erstens die Evaluierung verschiedener Modelle, um herauszufinden, welches am besten für die Verknüpfung von Cyberangriffswissen geeignet ist, und zweitens die Erstellung und Bestätigung der Verknüpfung zwischen diesen beiden Systemen.

Diese Bemühungen zielen darauf ab, Wissenslücken in der Cybersicherheit zu schliessen und eine solide Grundlage für bessere Risikobewertungen und Planungen zu bieten.

#Bestehende Methoden und ihre Einschränkungen

Früher versuchten Forscher, den Prozess der Ausrichtung von Cybersicherheitswissen über verschiedene Datenbanken zu automatisieren. Während Methoden wie Random Forest und naive Bayes-Klassifizierer hilfreich sind, können sie aufgrund fehlender präziser Daten für das Training auf Einschränkungen stossen. Einige Forscher verwendeten ontologiebasierte Ansätze zur Automatisierung von Risikobewertungen, diese erreichen jedoch oft nicht das gewünschte Ergebnis.

In unserer Arbeit verlassen wir uns auf fortschrittliche Sprachmodelle, um Verbindungen zwischen verschiedenen Cybersicherheitsdatensätzen zu schaffen. Unsere früheren Forschungen und andere Studien haben gezeigt, dass Modelle wie BERT und Google T5 effektiv zur Automatisierung des Mapping-Prozesses mit hoher Genauigkeit genutzt werden können. Allerdings haben wir festgestellt, dass neuere Sprachmodelle, die sich auf die Textgenerierung konzentrieren, sich erheblich verbessert haben, insbesondere in Kontexten mit begrenzten Daten.

Um den besten Ansatz für unsere Aufgabe zu finden, haben wir modernste Modelle bewertet und ihre Effektivität bei der Durchführung von Cybersicherheitswissensaufgaben verglichen. Durch unsere Methoden wollen wir den Mapping-Prozess einfacher und genauer gestalten.

#Aufbau des Rahmens für das Mapping

Für unsere Forschung betrachten wir CAPEC-Angriffsformen und MITRE ATT&CK-ICS-Techniken. Unser Ziel ist es, den besten Weg zu finden, um Verbindungen zwischen diesen beiden Datensätzen herzustellen und sicherzustellen, dass sie dasselbe Angreiferverhalten genau repräsentieren.

Indem wir textuelle Beschreibungen in numerische Vektoren umwandeln, können wir sie mit maschinellen Lerntechniken analysieren. Unser Ansatz beinhaltet sowohl nächstgelegene Nachbarschaftssuchen, um mögliche Verbindungen zu identifizieren, als auch RAG-basiertes Mapping, das diese Zuordnungen für mehr Genauigkeit verfeinert.

Um unsere Methoden zu veranschaulichen, geben wir Beispiele für Angriffsformen aus CAPEC und entsprechende Techniken aus ATT&CK an. Unser Ziel ist es, klare Zusammenhänge zu schaffen, die die Wirksamkeit unseres Mapping-Ansatzes validieren.

#Evaluierung von Genauigkeit und Effektivität

Angesichts des Mangels an gekennzeichneten Daten zur Validierung unserer Ergebnisse erkennen wir die Schwierigkeit, den Erfolg unserer Mapping-Methoden genau zu messen. Um dieses Problem anzugehen, erstellen wir einen kleinen Datensatz von gekennzeichneten Paaren, die als Grundlage für die Evaluierung unserer Mapping-Methodologie dienen.

Wir definieren mehrere wichtige Kennzahlen, um die Genauigkeit unseres Mappings zu analysieren:

• Genauigkeit: Das Gesamtverhältnis von korrekten Zuordnungen zu allen möglichen Zuordnungen.
• Recall: Das Verhältnis korrekt identifizierter relevanter Instanzen zu allen tatsächlich relevanten Instanzen.
• Präzision: Das Verhältnis genau zugeordneter relevanter Instanzen zu den insgesamt gefundenen Instanzen.
• F-Score: Die Balance zwischen Präzision und Recall.

Neben diesen traditionellen Kennzahlen führen wir auch Abdeckungskennzahlen ein, um zu messen, wie viele Angriffsformen gültige Zuordnungen in unserem System haben. Wir definieren auch ein falsches Zuordnungsratio (FMR), um anzuzeigen, wie oft unsere Mapping-Techniken zu fehlerhaften Verbindungen führen. Niedrigere FMR-Werte deuten auf eine bessere Leistung hin.

#Ergebnisse und Erkenntnisse

Unsere Ergebnisse zeigen, dass RAG-basiertes Mapping im Allgemeinen den nächstgelegenen Nachbarschaftsansatz übertrifft. Die RAG-Methode zeigt höhere Präzision und Recall, was zu genaueren Mapping-Vorhersagen führt. Ausserdem neigt die Verwendung von mehr Nachbarn für das Mapping dazu, die Abdeckung zu verbessern, kann jedoch auch falsch-positive Ergebnisse erhöhen.

Unter den getesteten Modellen schneiden bestimmte Einbettungen wie "instructor-large" und "text-embedding-ada-002" in beiden Mapping-Techniken besser ab als andere. Im Gegensatz dazu schneidet "E5-large-v2" konstant schlechter in der Genauigkeit ab.

#Zukünftige Richtungen

Eine bedeutende Herausforderung bleibt bei der Validierung von Mapping-Methoden aufgrund des Fehlens umfassender gekennzeichneter Datensätze. Um dem entgegenzuwirken, sind gemeinschaftsbasierte Anstrengungen entscheidend, um einen gekennzeichneten Datensatz zu erstellen und zu pflegen, der die Beziehungen zwischen CAPEC und ATT&CK genau definiert.

Zukünftige Arbeiten werden sich darauf konzentrieren, unsere Mapping-Ansätze weiter zu verfeinern, möglicherweise unter Einbeziehung fortschrittlicherer Validierungstechniken und Expertenrat, um die Zuverlässigkeit und Genauigkeit zu verbessern. Zudem planen wir, unsere Forschung auf Vorhersagen von Zuordnungen zwischen anderen Wissensquellen auszudehnen, um einen umfassenderen Überblick über Cyberrisiken zu bieten.

Zusammenfassend bietet unsere Studie eine gründliche Evaluierung der Mapping-Methoden zwischen verschiedenen Taxonomien in der Cybersicherheit. Unter Nutzung fortschrittlicher Sprachmodelle können wir effektivere Verbindungen zwischen Datenquellen schaffen und damit den Weg für verbesserte Risikobewertungen und Minderungsstrategien in der sich ständig verändernden Landschaft der Cyberbedrohungen ebnen.