XFedHunter: Ein neuer Ansatz zur Erkennung von APT-Angriffen

In der heutigen digitalen Welt sehen sich Organisationen ernsthaften Bedrohungen durch Advanced Persistent Threat (APT)-Angriffe gegenüber. Diese Angriffe sind gut geplant und hochqualifiziert, von Angreifern, die darauf abzielen, über einen langen Zeitraum unbemerkt auf sensible Informationen zuzugreifen. Im Gegensatz zu üblichen Cyberangriffen, die oft zufällig oder kurzlebig sind, sind APTs sorgfältig darauf abgestimmt, bestimmte Organisationen wie Regierungen und grosse Unternehmen zu treffen, wobei verschiedene ausgeklügelte Techniken verwendet werden.

Um diesen Bedrohungen effektiv zu begegnen, ist es wichtig, Anzeichen für APT-Aktivitäten mithilfe von Machine-Learning-Techniken zu identifizieren und gleichzeitig zu erklären, wie die Erkennung funktioniert. Das ist entscheidend, um das Verhalten der Angreifer in einem Netzwerk aufzudecken. Gleichzeitig hat sich Federated Learning (FL) als ein wichtiges Verfahren herauskristallisiert, das die Entwicklung intelligenter Anwendungen ermöglicht und gleichzeitig die Privatsphäre schützt. Dies ist besonders wichtig in Bereichen wie der Cybersicherheit, wo die Qualität der Daten eine grosse Rolle beim Erstellen effektiver Systeme zur Identifizierung von Cyberbedrohungen spielt.

Der Fokus dieser Arbeit liegt auf einem neuen Ansatz namens XFedHunter. Dieses System wurde entwickelt, um APTs in Software-Defined Networking (SDN)-Umgebungen zu erkennen und nutzt Wissen von mehreren Organisationen, ohne sensible Daten auszutauschen. XFedHunter verwendet fortschrittliche Modelle wie Graph Neural Networks (GNN) und Deep Learning, um bösartige Aktivitäten effektiv unter einem Meer regulären Netzwerkverhaltens hervorzuheben. Erste Tests mit verschiedenen Datensätzen zeigen, dass XFedHunter das Vertrauen und die Verantwortlichkeit in Machine-Learning-Systemen, die in der Cybersicherheit verwendet werden, verbessern kann, während die Privatsphäre gewahrt bleibt.

#Verständnis von APT-Angriffen

APT-Angriffe gehören zu den gefährlichsten Bedrohungen in der Cybersicherheit. Im Gegensatz zu herkömmlichen Angriffen, die zufällig sein können, dringen APT-Angreifer heimlich in das Netzwerk eines Ziels über einen längeren Zeitraum ein. Diese Angriffe werden in der Regel von hochkompetenten Gruppen durchgeführt, die oft mit Regierungen oder Organisationen in Verbindung stehen. Das Augenmerk liegt auf wertvollen Zielen wie Regierungssystemen oder grossen Unternehmen.

Normale Cybersicherheitsmassnahmen haben oft Schwierigkeiten, gegen APT-Angriffe anzukommen. Daher suchen Experten aktiv nach fortschrittlichen Lösungen, um diesen Bedrohungen entgegenzuwirken.

#Intrusion Detection Systems

Intrusion Detection Systems (IDS) spielen eine wichtige Rolle bei der Identifizierung von APT-Aktivitäten. Die netzwerkbasierten IDS (NIDS) bieten einen breiten Überblick über den Netzwerkverkehr und ermöglichen eine schnellere Erkennung von Angriffen über mehrere Systeme hinweg. Das bedeutet, dass NIDS Netzwerkdaten auf ungewöhnliche Muster scannen können, die auf einen APT-Angriff hindeuten könnten. Die Identifizierung neuer Bedrohungen ist jedoch aufgrund der zunehmenden Komplexität von APT-Angriffen schwieriger geworden.

Eine andere Methode ist das Provenance-based IDS (PIDS), insbesondere bei der Verwendung von Provenance-Graph-Techniken. Dieser Ansatz kann APT-ähnliche Angriffe, die in mehreren Phasen ablaufen, effektiv aufdecken. Allerdings kann die Analyse von Provenance-Graphen herausfordernd sein, und das schnelle Wachstum von Organisationen kann während der Analysephase weiteren Druck auf Sicherheitsteams ausüben.

Künstliche Intelligenz (KI) kann helfen, einige dieser Herausforderungen anzugehen. KI-Systeme können grosse Mengen an Informationen besser verwalten und Entscheidungen schnell treffen, was sie zu einem wichtigen Asset im Kampf gegen Cyberkriminalität und zur Verbesserung der nationalen Sicherheit macht.

Die Nutzung KI-basierter IDS, insbesondere solcher, die auf Deep Learning (DL) basieren, erfordert jedoch eine grosse Menge an aktuellen Trainingsdaten, um das Leistungsniveau hoch zu halten. Leider reicht die Datenlage einer einzelnen Organisation in den meisten Fällen nicht aus. Der Austausch von Daten wirft verschiedene Datenschutz- und Sicherheitsbedenken auf. Hier kommt Federated Learning ins Spiel, da es einen dezentralen Trainingsprozess bietet, der keinen Austausch sensibler lokaler Daten erfordert.

Mit Federated Learning können teilnehmende Organisationen ein gemeinsames globales Modell verbessern, ohne ihre Daten offenzulegen. Dieser Prozess ist besonders nützlich in der Cybersicherheit, wo der Schutz sensibler Informationen von grösster Bedeutung ist. Während einige Forschungsarbeiten den Einsatz von Federated Learning für DL-basierte IDS-Systeme untersucht haben, bleibt der Fokus auf PIDS begrenzt.

#Software Defined Networking

Software Defined Networking (SDN) bietet eine moderne Netzwerkarchitektur, die die Kontrolle über softwarebasierte Systeme anstelle der manuellen Konfiguration verschiedener Geräte zentralisiert. Durch die Verwendung eines SDN-Controllers erhalten Organisationen eine verbesserte Sicht auf ihr gesamtes Netzwerk, was es einfacher macht, Sicherheitsprobleme zu erkennen und robuste Lösungen zur Erkennung von Cyberbedrohungen bereitzustellen.

Viele Studien haben erfolgreich SDN mit Methoden des Federated Learning kombiniert, um die Erkennung von Cyberangriffen zu verbessern.

#Herausforderungen mit Deep Neural Networks

Trotz der Vorteile von Deep Neural Networks (DNNs) werden sie oft als "Black Boxes" betrachtet, da ihre inneren Abläufe und Ergebnisse schwer zu erklären sind, sowohl für Benutzer als auch für Entwickler. Für die Sicherheitsanalyse ist es wichtig, dass diese KI-Systeme interpretierbar und transparent sind. Zu wissen, wie KI-Systeme Entscheidungen treffen, kann unsere Fähigkeit zur Analyse von Angriffen erheblich verbessern, Fehlalarme reduzieren und die Gesamtergebnisse von IDS verbessern.

Allerdings gibt es nur begrenzte Forschungen zur Interpretierbarkeit von IDS-Systemen, die Federated Learning verwenden. Der Bedarf an weiteren Studien, die sich darauf konzentrieren, wie Vorhersagen aus diesen Systemen erklärt werden können, ist offensichtlich.

#Vorstellung von XFedHunter

Um diese Herausforderungen anzugehen, präsentieren wir XFedHunter, ein neues erklärbares Federated Learning-Framework, das speziell für die Erkennung von APTs in SDN-Umgebungen entwickelt wurde. Dieses Framework umfasst ein auf Federated Learning basierendes IDS, das Funktionen von sowohl NIDS als auch PIDS kombiniert und die Vorteile der SDN-Struktur nutzt, um effektiv auf APT-Bedrohungen zu reagieren.

In diesem System integrieren wir ein Graph Neural Network (GNN), um komplexe Beziehungen innerhalb der Daten zu verwalten, und verwenden eine Mischung aus Convolutional Neural Network (CNN) und Gated Recurrent Unit (GRU) für die Bearbeitung von Netzwerkdaten. Darüber hinaus integrieren wir ein beliebtes Erklärungstool namens SHapley Additive exPlanations (SHAP) in das IDS, um Einblicke in die Entscheidungsfindung der KI zu bieten.

Unser Ansatz hilft nicht nur, Vorhersagen zu verstehen, wenn Fehlalarme auftreten, sondern verbessert auch die allgemeine erklärende Analyse der Genauigkeit von Modellvorhersagen.

#Beiträge von XFedHunter

1. Robustes Framework: Wir schlagen XFedHunter als ein umfassendes kollaboratives APT-Erkennungsframework vor, das Federated Learning im SDN-Kontext nutzt. Durch die Kombination von CNN und GRU für NIDS und die Einbeziehung von GNN für PIDS zielen wir darauf ab, APT-Bedrohungen, die im Netzwerkverkehr verborgen sind, effektiv aufzudecken.

2. Integration von erklärbarer KI: Wir integrieren Erklärbare KI in XFedHunter, um Vorhersageergebnisse zu analysieren und Klarheit über die Elemente zu bieten, die die Entscheidungen der APT-Erkennungsmodelle beeinflussen.

3. Überprüfung der Entscheidungsqualität: Wir entwickeln eine Methode, um die Qualität der Entscheidungen des Modells zu gewährleisten, indem wir die Ausgaben von entscheidenden Modellschichten bewerten.

#Verwandte Arbeiten

Viele Studien haben APT-Angriffe und deren Bekämpfung untersucht. Besonders hervorzuheben sind Arbeiten, die IDS-Module mit fortschrittlichen Algorithmen wie GRU untersucht haben, um bösartige Verhaltensweisen effektiv zu identifizieren. Andere haben neue Methoden untersucht, um sowohl die technischen Aspekte eines Graphen als auch dessen Gesamtstruktur zur Netzwerk-Eindringungserkennung zu erfassen.

Dennoch haben frühere Forschungsarbeiten, die die Fähigkeiten von ML-basierten IDS-Systemen zur Erkennung von APTs betonen, nur wenig Federated Learning verwendet, um deren Erkennungsfähigkeiten zu verbessern, insbesondere unter Bedingungen mit begrenzten beschrifteten Daten.

Mehrere Frameworks haben versucht, verschiedene Deep Learning-Techniken im Bereich der Cybersicherheit zu kombinieren und dabei Federated Learning zu integrieren. Dennoch bleiben Probleme bezüglich der Transparenz und Interpretierbarkeit dieser Modelle weitgehend unbehandelt.

Bemühungen zur Verbesserung der Interpretierbarkeit von DNN-basierten IDS sind entstanden, etwa durch die Kombination von Grad-CAM-Erklärungen mit Nachbarschaftsanalysen. Diese Methoden richten sich jedoch oft nach spezifischen Modellen und sind nicht anpassungsfähig für andere Architekturen.

Um diese Lücken zu schliessen, stellen wir XFedHunter vor, das SHAP in die Analyse vollständig föderierter IDS-Systeme integriert und dabei die Erkennungsfähigkeiten mit modernsten Techniken verbessert.

#Systemmodell von XFedHunter

Die Erstellung eines zuverlässigen APT-Erkennungssystems kann ressourcenintensiv sein. Um diesen Prozess zu vereinfachen, haben wir ein optimiertes APT-Jagd-System innerhalb von XFedHunter entwickelt, das aus vier Hauptkomponenten besteht:

#1. SDN-Netzwerk

Das SDN-Netzwerk dient als Hauptumgebung zur Erkennung schädlicher Aktivitäten. Die Switches im Netzwerk sind so konfiguriert, dass sie Flussdaten an ein zentrales System zur Verarbeitung weiterleiten. Darüber hinaus sammeln Software-Agenten Protokolldaten zur weiteren Analyse.

#2. SIEM-System

Die gesammelten Daten werden innerhalb eines Security Information and Event Management (SIEM)-Systems verarbeitet. Dieses System ermöglicht es Organisationen, verdächtige Aktivitäten zu visualisieren und zu analysieren, was schnelle Reaktionen auf potenzielle APT-Angriffe unterstützt.

#3. FL-basiertes IDS-Modell

Diese Komponente nutzt fortschrittliche DNNs, insbesondere eine Kombination aus CNN und GRU für NIDS sowie GNN-basierte Modelle für PIDS, um die Erkennungsleistung des Systems zu verbessern.

#4. Erklärungsmodul

Das Erklärungsmodul nutzt das SHAP-Framework, um Einblicke in den Entscheidungsprozess des IDS-Modells zu bieten. Dieses Modul erhöht die Interpretierbarkeit des gesamten Systems.

#Federated Learning-Schema

Unser Framework verwendet einen dezentralen Trainingsprozess mit dem Federated Averaging (FedAvg)-Algorithmus. Hier ist ein Überblick, wie das Training abläuft:

1. Jede Organisation kommuniziert mit einem zentralen Server, um globale Modellparameter zu erhalten.

2. Die kooperierenden Organisationen trainieren dann ihre lokalen Modelle mit ihren Daten und den vom zentralen Server bereitgestellten Parametern.

3. Nach dem Training teilen die lokalen Modelle ihre Ergebnisse zurück an den Server, der sie in ein neues globales Modell konsolidiert.

4. Das aktualisierte globale Modell wird an alle Organisationen zurückgesendet, um weiteres Training oder Nutzung zu ermöglichen.

#Erklärungsmodul

Das Erklärungsmodul verbessert die Interpretierbarkeit der IDS-Entscheidungen. Wir nutzen das SHAP-Framework, um Vorhersageentscheidungen zu bewerten und sicherzustellen, dass ein Verständnis dafür besteht, wie das Modell funktioniert.

SHAP funktioniert, indem die Beiträge der Merkmale fair auf die Ausgabe des Modells verteilt werden, sodass die Rolle jedes Merkmals im Vorhersageprozess bewertet werden kann.

#Bewertung der Vorhersagen

Mit SHAP können wir Erklärungen erstellen, die die Vorhersagen unseres APT-Erkennungssystems validieren. Dabei haben wir festgestellt, dass Erklärungen für falsche Vorhersagen oft denen für wahre Vorhersagen ähneln, was die Analyse für Sicherheitsexperten erschwert.

Um diese Verwirrung zu verringern, schlagen wir eine strukturierte Methode vor, um die Entscheidungen des Modells zu validieren und die Ergebnisse besser zu erklären.

#Experimentelle Analyse

Für unsere Bewertungen haben wir zwei Datensätze verwendet: den NF-ToN-IoT-Datensatz, der auf NetFlow-Verkehr basiert, und den DARPA Transparent Computing Engagement 3 (TCE3)-Datensatz.

Der NF-ToN-IoT-Datensatz umfasst eine Vielzahl von Angriffsarten, die sowohl Angriffs- als auch gutartige Daten beinhalten. Der DARPA TCE3-Datensatz besteht aus Protokolldaten, die während einer Sicherheitsübung mit verschiedenen APT-Angriffen gesammelt wurden.

Es wurden Vorverarbeitungsschritte unternommen, um sicherzustellen, dass die Modelle effektiv auf den verfügbaren Daten trainiert werden. Dazu gehörte die Normalisierung von Werten und die Anpassung von Datenformaten.

#Leistungskennzahlen

Um unsere APT-Erkennungsfähigkeiten zu bewerten, verwendeten wir mehrere Kennzahlen:

• Genauigkeit: Die Anzahl der korrekten Vorhersagen im Verhältnis zu den insgesamt gemachten Vorhersagen.
• Präzision: Das Verhältnis der wahren Angriffs-Vorhersagen zu allen vorhergesagten Angriffen.
• Recall: Das Verhältnis der wahren Angriffs-Vorhersagen zu den insgesamt tatsächlichen Angriffen.
• F1-Score: Ein Gleichgewicht zwischen Präzision und Recall.

Für die Interpretierbarkeit bewerteten wir die Erklärungen anhand ihrer Klarheit und Genauigkeit bei der Beschreibung der Funktionsweise des Modells.

#Experimentelle Ergebnisse

Tests wurden sowohl am CNN-GRU-Modell als auch am E-GraphSAGE-Modell durchgeführt. Die Ergebnisse zeigten eine hohe Erkennungsgenauigkeit für beide Modelle, auch bei der Handhabung von Ungleichgewichten in den Daten.

Wir verwendeten verschiedene visuelle Werkzeuge, um Vorhersagen zu interpretieren und zusammenzufassen und bedeutende Einblicke in das Modellverhalten zu gewinnen. Dazu gehörte die Untersuchung, wie bestimmte Merkmale Vorhersagen beeinflussten, und die Bewertung der Konsistenz der Erklärungen über verschiedene Vorhersagekategorien hinweg.

#Fazit

Zusammenfassend lässt sich sagen, dass XFedHunter als neuartiger Ansatz zur Verbesserung der Erkennung von Advanced Persistent Threats innerhalb von Software-Defined Networking-Umgebungen dient. Durch die Integration von Prinzipien des Federated Learning und erklärbarer KI zielt unser Framework darauf ab, die Effektivität von Cybersicherheitsstrategien zu verbessern und gleichzeitig die Datenprivatsphäre zu wahren.

Die Fähigkeit von XFedHunter, klare Erklärungen für Machine-Learning-Vorhersagen zu liefern, trägt zu einem besseren Verständnis davon bei, wie APT-Erkennungssysteme funktionieren. Dies unterstützt Cybersecurity-Fachleute dabei, informierte Entscheidungen zu treffen, um Cyberbedrohungen entgegenzuwirken.

Unsere Arbeit liefert wertvolle Erkenntnisse für die Entwicklung zukünftiger Lösungen, die darauf abzielen, die Sicherheit angesichts sich entwickelnder Cyberbedrohungen zu stärken. Zudem freuen wir uns auf weitere Untersuchungen zur Nutzung erklärbarer KI-Techniken zur Abwehr komplexer Angriffe im Bereich der Cybersicherheit.