Gli LLM ora interpretano i log dei cyber attacchi tramite CAM-LDS

Oltre i Chatbot: Come i Modelli Linguistici di Grandi Dimensioni interpretano le manifestazioni di attacchi informatici nei log di sistema

I Modelli Linguistici di Grandi Dimensioni (LLM) stanno rivoluzionando la cybersicurezza attraverso il framework CAM-LDS, un dataset specializzato progettato per l'interpretazione automatica dei log di sistema e degli avvisi di sicurezza. Sviluppato dai ricercatori Max Landauer, Wolfgang Hotwagner e Thorina Boenke, questo framework affronta il critico "divario semantico" nell'informatica forense digitale fornendo una risorsa etichettata che consente all'IA di comprendere l'intento e i meccanismi alla base delle manifestazioni degli attacchi informatici. Questa svolta facilita il passaggio dal semplice pattern matching a un ragionamento sofisticato e simile a quello umano sulle prove forensi.

Cos'è il CAM-LDS nella cybersicurezza?

CAM-LDS è un framework e dataset completo intitolato Cyber Attack Manifestations for Automatic Interpretation of Logs, progettato per aiutare i Modelli Linguistici di Grandi Dimensioni a identificare e spiegare gli eventi nei log derivanti da attacchi informatici. Comprende sette scenari di attacco che coprono 81 tecniche distinte attraverso 13 tattiche, raccolte da 18 fonti diverse in un ambiente riproducibile. Ciò consente agli strumenti di sicurezza di andare oltre il semplice rilevamento verso una comprensione semantica delle azioni specifiche di un intruso.

Il Cyber Attack Manifestation Log Data Set è stato creato per risolvere la scarsità di dati etichettati di alta qualità necessari per addestrare l'IA a compiti forensi. Estraendo gli eventi dei log che derivano direttamente dall'esecuzione di attacchi, Landauer e il suo team hanno reso possibile un'analisi più approfondita dell'osservabilità dei comandi, delle frequenze degli eventi e delle metriche di prestazione. Questa metodologia consente un'interpretazione dei log indipendente dal dominio, il che significa che l'IA può analizzare dati provenienti da diversi ecosistemi software senza che un essere umano debba scrivere regole personalizzate per ogni nuovo strumento o sistema operativo.

Per garantire un'alta fedeltà, i ricercatori hanno utilizzato un ambiente di test completamente open-source e riproducibile. Questo ambiente simula reti aziendali complesse, consentendo la raccolta di dati eterogenei tra cui chiamate di sistema, traffico di rete e log a livello di applicazione. Il dataset CAM-LDS si concentra specificamente sulle manifestazioni — le impronte digitali lasciate durante un'intrusione — consentendo ai Modelli Linguistici di Grandi Dimensioni di collegare voci di log apparentemente non correlate in una narrazione coerente di un attacco in corso.

Quali sono le sfide dell'analisi manuale dei log nell'informatica forense?

L'analisi manuale dei log nell'informatica forense digitale è ostacolata principalmente dal volume massiccio di dati non strutturati e dall'elevata varietà di formati degli eventi che travolgono rapidamente gli esperti umani. Gli analisti devono spesso vagliare milioni di righe di telemetria per trovare un singolo comando dannoso, un processo che non solo richiede tempo ma è anche soggetto a sviste critiche. Man mano che i sistemi aziendali diventano più complessi, l'eterogeneità dei formati dei log rende quasi impossibile per un essere umano mantenere la competenza su tutte le fonti di dati.

Il "Collo di bottiglia dei dati dei log" è un fenomeno ben documentato in cui la velocità di generazione dei dati supera la capacità umana di interpretazione. Nella moderna cybersicurezza, i Sistemi di Rilevamento delle Intrusioni (IDS) possono segnalare migliaia di avvisi ogni giorno, molti dei quali sono falsi positivi o "rumore". Quando si verifica una vera intrusione, le prove sono spesso sparse su più fonti, come:

• Windows Event Logs e voci Syslog di Linux.
• Acquisizioni del traffico di rete (PCAP) e dati di flusso.
• Log specifici dell'applicazione provenienti da server web o database.
• Avvisi dell'orchestratore di sicurezza privi di metadati contestuali approfonditi.

Inoltre, l'analisi manuale richiede il collegamento di eventi disparati a una singola sequenza temporale di intrusione. Ciò richiede una comprensione semantica — sapere che un evento di "file creato" in un log e un evento di "processo avviato" in un altro sono in realtà due parti della stessa tecnica di movimento laterale. Senza automazione, gli investigatori forensi faticano a raggiungere la velocità necessaria per mitigare una minaccia attiva prima che avvenga l'esfiltrazione dei dati.

Come funziona l'analisi automatizzata dei log con i Modelli Linguistici di Grandi Dimensioni?

L'analisi automatizzata dei log che sfrutta i Modelli Linguistici di Grandi Dimensioni funziona trattando i log di sistema come un linguaggio naturale, consentendo all'IA di interpretare il "significato" degli eventi di sistema piuttosto che limitarsi a far corrispondere firme predefinite. Utilizzando il dataset CAM-LDS, questi modelli imparano a estrarre manifestazioni rilevanti e a fornire spiegazioni causali per gli avvisi di sicurezza. Questo approccio consente il rilevamento di nuove varianti di attacco che i tradizionali sistemi basati su regole potrebbero ignorare, poiché l'LLM comprende la logica sottostante della tecnica di attacco.

L'automazione convenzionale si affida spesso a parser di log creati manualmente e regole di rilevamento definite da esperti. Questi sistemi sono intrinsecamente fragili; un leggero cambiamento in una versione del software o in un formato di log può rendere inutile una regola di rilevamento. Al contrario, i Modelli Linguistici di Grandi Dimensioni forniscono uno strato di intelligenza indipendente dal dominio. Non richiedono feature engineering manuale perché possono ingerire testo grezzo o semistrutturato e utilizzare i loro pesi linguistici interni per identificare anomalie e intenti malevoli attraverso 13 distinte tattiche MITRE ATT&CK.

L'efficacia di questo approccio è stata dimostrata in un caso di studio condotto da Landauer, Hotwagner e Boenke. Applicando un LLM ai dati CAM-LDS, i ricercatori hanno scoperto che:

• Le tecniche di attacco corrette sono state previste perfettamente per circa il 33% delle fasi di attacco.
• Le previsioni erano "adeguatamente" accurate per un altro 33%, identificando la categoria generale della minaccia.
• Il modello ha evidenziato con successo l'osservabilità dei comandi, mostrando quali log fossero più utili per la ricostruzione forense.

Il vantaggio semantico e il futuro dell'IA nella difesa

Il vantaggio principale dell'integrazione dei Modelli Linguistici di Grandi Dimensioni nel SOC (Security Operations Center) è la capacità di fornire spiegazioni causali. Gli strumenti di sicurezza tradizionali potrebbero avvisare un analista che uno specifico indirizzo IP è sospetto, ma un sistema potenziato dall'LLM può spiegare *perché* quell'IP è pericoloso correlando la sua attività con manifestazioni specifiche nei log di sistema. Ciò riduce il carico cognitivo sugli analisti e consente un processo decisionale rapido e informato durante la risposta a un incidente.

Guardando al futuro, i ricercatori sottolineano che CAM-LDS funge da risorsa fondamentale per scalare le capacità di difesa. Man mano che gli attacchi informatici diventano più sofisticati e multi-fase, i sistemi di difesa devono essere in grado di seguire il "filo" di un attacco attraverso un mare di rumore digitale. Il futuro dell'Informatica Forense Digitale risiede in questa sinergia tra dataset di alta qualità e le capacità di ragionamento dell'IA generativa, guidando l'industria verso un futuro in cui i Sistemi di Rilevamento delle Intrusioni non sono solo reattivi, ma interpretativi.

Il prossimo passo per questa ricerca prevede l'espansione del dataset CAM-LDS per includere ambienti ancora più diversificati, come le architetture cloud-native e gli ecosistemi IoT. Fornendo un banco di prova riproducibile e open-source, Landauer e i suoi colleghi hanno invitato la comunità globale della cybersicurezza a perfezionare ulteriormente questi Modelli Linguistici di Grandi Dimensioni. L'obiettivo è raggiungere un livello di automazione in cui l'IA possa non solo rilevare e interpretare un attacco, ma anche raccomandare passi precisi di rimedio in tempo reale, neutralizzando efficacemente le minacce man mano che si manifestano nei log.