Детектор lateral movement, обученный только на синтетических данных, нашёл реальные атаки в логах Лос-Аламоса

Можно ли научить детектор атак, ни разу не показав ему настоящую атаку? Звучит как противоречие: чтобы нейросеть находила боковое движение, ей вроде бы нужно показать само боковое движение. Автор эксперимента пошёл от обратного — сгенерировал выдуманную корпоративную сеть вместе с её историей входов, устроил в этом мире нападение и обучил модели исключительно на синтетике. Ни одной настоящей строки в обучающей выборке не было. Описание всего выдуманного мира уместилось в конфиг на 135 строк. Каждая сеть весит около четырёх тысяч параметров и обучается за секунды на обычном ноутбуке. Лучший результат показал ансамбль из шести сетей, обученных на шести разных синтетических мирах.

Подробности

Проверка проводилась на реальных данных — журналах аутентификации Лос-Аламосской лаборатории: 1,65 миллиарда событий с размеченными учениями красной команды. Сети выстроили 3,6 миллиона окон по степени подозрительности, и в верхних двадцати трёх строках списка оказались шестнадцать настоящих атак и семь ложных тревог. Аналитику достаточно открыть эти строки, чтобы увидеть инциденты. Для сравнения: пороговому счётчику на тех же данных, чтобы добраться до шестнадцатой атаки, требуется 161 тысяча ложных тревог. По метрике AUC синтетический подход вошёл в диапазон исследовательских работ, обученных на настоящих размеченных данных, — хотя автор отдельно оговаривает, что сравнивать их в лоб нельзя. Чуда, по словам исследователя, не случилось. Ценность в другом: он дважды формулировал красивый вывод и дважды отказывался от него, когда эксперимент его опровергал. Главная находка — петля обратной связи, ради которой и стоит писать генератор: ошибка детектора указывает на конкретную машину, становится понятно, какого явления не хватает в выдуманном мире, в конфиг дописываются две строки — и ошибка исчезает.

Что делать

Подход стоит рассматривать как дополнение к существующим системам детектирования, а не как замену. Практические шаги для команд ИБ: — проверить, есть ли в вашем контуре классы угроз (в частности lateral movement), по которым нет собственной размеченной телеметрии — именно там синтетические данные дают максимальный эффект; — начать с изолированного пилота: генератор синтетической сети, обучение на ноутбуке, проверка на исторических логах аутентификации без отправки данных во внешние сервисы; — настроить процесс разбора ложных срабатываний: каждая ошибка детектора должна превращаться в правку конфига генератора, а не в ручную корректировку весов; — оценивать результат по числу реальных инцидентов в top-N выдачи, а не только по AUC, поскольку именно этот показатель определяет нагрузку на аналитика; — не отказываться от классических пороговых правил: они остаются дешёвым baseline для сравнения. Итог: синтетические данные не заменяют реальную телеметрию, но позволяют строить рабочие детекторы бокового движения там, где размеченных атак нет вовсе. Ключевой актив такого подхода — не сама модель, а петля «ошибка → правка конфига → переобучение», которую можно воспроизвести в любом SOC.

Источник: Хабр — Информационная безопасность