Ein Sicherungsoperator verfügt über die Berechtigungs- und Verhaltensmarkierungen einer Person, die viele Daten verschiebt. Wie jeder Systemadministrator, bei dem kein dedizierter Sicherungsoperator vorhanden ist.

Snowden war ein Systemadministrator. Er würde alle vorhandenen Schutzprotokolle kennen. Er könnte sich einfach als jemand aus einem beliebigen Bereich ausgeben, Dinge herunterladen, sich als der nächste ausgeben und dies weiterhin tun.

Wenn allgemein bekannt ist, dass es keinen kugelsicheren Schutz gegen einen dedizierten Angreifer gibt, stellen Sie sich einen vertrauenswürdigen internen dedizierten Angreifer vor mit Sysadmin-Berechtigungen.

Anomalieerkennungssysteme wie Beehive machen es einfacher als zuvor, viele Daten zu durchsuchen und verdächtiges Verhalten zu erkennen. Dies bedeutet, dass ein Analyst sich auf die relevanteren Daten konzentrieren, mehr Daten in kürzerer Zeit verarbeiten und auch detailliertere Eingabedaten für die Analyse verwenden kann. Auf diese Weise ist die Wahrscheinlichkeit höher als zuvor, dass jemand unerwünschtes Verhalten erkennen kann.

Im Beehive-Papier wird behauptet (und ich habe keinen Grund, diese Behauptung zu bezweifeln), dass das System mehr Vorfälle erkennen kann als die normalerweise verwendeten Systeme - es wird jedoch nicht behauptet, dass das System jeden Vorfall erkennen kann oder sogar wie viel von allen Vorfällen es erkennen könnte. Daher kann es sein, dass andere Systeme nur 10% aller Vorfälle erkennen und Beehive 20%, was gut, aber nicht wirklich zufriedenstellend ist.

Könnte ein solches System jemanden wie Snowden erkennen? Dies hängt stark davon ab, wie viel und welche Art und welche Details von Daten für die Analyse gesammelt werden, wie streng die vorhandenen Sicherheitsrichtlinien sind, damit Richtlinienverstöße protokolliert werden können, und wie viel illegal (wie von der NSA gesehen). Die Aktivitäten von Snowden unterschieden sich von seiner üblichen Arbeitstätigkeit. Je mehr es sich unterscheidet, desto wahrscheinlicher kann es von einem Anomalieerkennungssystem erkannt werden. Je ähnlicher illegale und legale Aktivitäten in Bezug auf die protokollierten Daten sind, desto weniger wahrscheinlich ist es, dass illegale Aktivitäten als Anomalie gemeldet werden.

Mit anderen Worten: Es kann hilfreich sein, einige Aktionen vom Typ Snowden zu erkennen, es werden jedoch nicht alle Aktionen vom Typ Snowden erkannt. Und das Verhindern solcher Maßnahmen wäre noch schwieriger, wahrscheinlicher ist eine frühzeitige Erkennung, nachdem bereits ein gewisser Schaden angerichtet wurde, und damit eine Begrenzung der Auswirkungen

Snowdens Absicht war die Datenexfiltration und er war auch ein Systemadministrator. Er hatte also Zugriff auf große Datenmengen, die normale Benutzer nicht hatten, und hatte ein anderes Muster für die Interaktion mit dem Netzwerk. Wenn Beehive vorhanden wäre, hätte es möglicherweise protokolliert, dass er etwas getan hat, aber jeder, der die Absicht hat, Daten zu filtern, hätte gewusst, wie man Warnungen umgeht: Machen Sie Ihr Muster der Datenexfiltration ab dem Zeitpunkt, an dem das System trainiert wurde, "normal" und es würde nicht als anomale Aktivität gekennzeichnet werden. Snowden hätte das Muster haben können, 16 GB pro Tag auf einen USB-Stick zu übertragen, aber solange er seine Techniken nicht plötzlich geändert hätte, hätte Beehive ihn nicht markiert.

Ich arbeite auf einige benutzerdefinierte Methoden bei der Arbeit, um diese Art von Muster zu erkennen. Aber im Moment kenne ich nichts Automatisiertes, das gute Arbeit leistet.

Nein, das kann es nicht.

Und das Zitat, das Sie gezogen haben, hat klar erklärt, warum nicht und wie die Leute behaupteten, es könnte.

Was Beehive könnte Sagen Sie Ihnen, dass ein Angriff im Snowden-Stil stattgefunden hat. (Selbst wenn Sie von @ThoriumBR gehen, wäre ein SNOWDEN nicht verhindert worden.)

Was Sie (oder dieser Typ) behaupten, ist, dass es einen solchen Angriff VERHINDERN könnte, der sehr, sehr unterschiedlich ist und (vielleicht nicht zu viel gelesen) dies mit einer erweiterten Analyse zu kombinieren. Dies bedeutet, dass es wahrscheinlich zu spät wäre, selbst wenn Ihr Analyse- und Kennzeichnungssystem in Echtzeit ausgeführt wird.

[Stellen Sie sich vor, wo Beehive ins Spiel kommt:

Verdächtige Aktion -> Sicherheitsprogramm -> Protokoll -> Bienenstock extrahiert Daten -> Bienenstockanalyse -> Flag geworfen -> Intervention?

Dies ist viel zu spät (und es wird davon ausgegangen, dass die Protokolle in Echtzeit ausgewertet werden)

Protokolle dienen der rückwirkenden Untersuchung und nicht der Intervention in Echtzeit.

Sie können eine Pseudo-Log für jede Aktion, lassen Sie diese von Beehive analysieren und erst wenn sie grün leuchtet, wird die Aktion ausgeführt. Der enorme Overhead und die spürbare Verzögerung würden diesen Ansatz für jeden Manager zu einem wirklich harten Verkauf machen. [auch ohne Verwendung von lo gs aber eingebaute Bewertungsmechanismen in Ihrer Plattform wäre weitaus besser]

Zunächst einmal gibt es einen sehr wichtigen Unterschied zwischen der Fähigkeit, einen "Snowden-ähnlichen" Schauspieler zu erkennen und einen zu verhindern. Soweit ich gesehen habe, erhebt Beehive keine Ansprüche auf Verhinderung, sondern scheint die Möglichkeit zu versprechen, Sie darauf aufmerksam zu machen, dass in Ihrem Netzwerk verdächtige Aktivitäten stattfinden. Sicher, nicht so gut, aber in einigen Forschungsgemeinschaften immer noch als "heiliger Gral" angesehen.

Vor diesem Hintergrund bin ich äußerst zweifelhaft, ob Beehive diese Erwartungen erfüllen kann. Maschinelles Lernen kann sehr gut komplexe Muster aus großen Datenstapeln mit zuverlässigen Identitäten extrahieren. Zum Beispiel ist die Unterscheidung zwischen Bildern von Katzen und Hunden äußerst zuverlässig. Wir alle können es 99 +% der Zeit tun, aber wenn ich sagen müsste, was der genaue Algorithmus ist, um 100x100 Pixel aufzunehmen und Katze gegen Hund zu bestimmen, hätte ich keine Ahnung, wie ich das tun würde. Aber ich kann Ihnen 100.000 solcher Bilder liefern und ML-Methoden eine Regel herausfinden lassen, die zuverlässig zwischen den beiden anhand der Werte von 100 x 100 Pixel unterscheidet. Wenn ich die Dinge richtig mache, sollten die von ML erstellten Regeln sogar für neue Bilder von Katzen und Hunden gelten, sofern keine großen Änderungen an den neuen Daten vorgenommen werden (dh wenn ich nur Labore und Tabby-Katzen in den Trainingsdaten verwendet habe, versuchen Sie, diese zu erhalten es, um einen Terrier zu identifizieren ... viel Glück). Das ist die Stärke von ML.

Das Ermitteln von "verdächtigem Verhalten" ist ein viel schwierigeres Problem. Wir haben nicht 100.000 Proben von bestätigtem schlechtem Verhalten, und wir haben nicht einmal wirklich 100.000 Proben von bestätigtem gutem Verhalten! Schlimmer noch, was eine gute ML-Methode war, die gestern funktioniert hat, funktioniert heute nicht mehr. Im Gegensatz zu Katzen und Hunden auf Fotos versuchen Gegner wirklich, Sie auszutricksen. Die meisten Leute, von denen ich weiß, dass sie an ML für Cybersicherheit arbeiten, haben akzeptiert, dass die Idee der rein automatisierten Erkennung derzeit außerhalb unserer Reichweite liegt. Vielleicht können wir jedoch Tools entwickeln, um sehr spezifische sich wiederholende Aufgaben zu automatisieren, die ein Sicherheitsanalyst immer wieder ausführen muss. Dadurch werden sie effizienter.

Vor diesem Hintergrund scheinen die Autoren von Beehive diese Lektion übersprungen zu haben und behaupten, dass sie dieses Problem gelöst haben. Ich bin sehr misstrauisch gegenüber der Leistung, insbesondere angesichts der Tatsache, dass die von ihnen vorgeschlagenen Methoden die ersten sind, die ein ML-Forscher möglicherweise versucht, routinemäßig als nicht nützlich abzulehnen. Sie schlagen beispielsweise vor, PCA zu verwenden, um Ausreißer in Protokollen zu identifizieren. Dies und Variationen davon wurden hundertmal versucht, und das Ergebnis ist immer, dass der Sicherheitsanalyst die "automatisierte Erkennung" abschaltet, weil sie so viele Fehlalarme erhalten, dass sie viel mehr Zeit kosten als es spart.

Natürlich ist bei all diesen Methoden der Teufel das Detail, und die Details dieser Methodentypen werden in veröffentlichten Arbeiten nie wirklich offengelegt ("Wir haben PCA verwendet, um in Serverprotokollen nach Ausreißern zu suchen" extrem vage Aussage). Es ist immer möglich, dass sie eine super clevere Möglichkeit haben, die Daten vorzuverarbeiten, bevor sie ihre Methoden anwenden, die es nicht in das Papier geschafft haben. Aber ich wäre bereit, mit meinem rechten Arm darauf zu wetten, dass kein Benutzer von Beehive in der Lage sein wird, in Echtzeit zuverlässig zwischen "Snowden-ähnlichem" Verhalten und der nicht kontroversen realen Nutzung eines Netzwerks zu unterscheiden.