1 Введение
Центры безопасности (SOC) всё чаще внедряют платформы Security Orchestration, Automation, and Response (SOAR) для управления кибербезопасностью. Эти платформы интегрируют различные инструменты безопасности через API, но ручной подбор API создаёт значительные сложности из-за неоднородности данных, семантических вариаций и огромного количества доступных API.
APIRO решает эти проблемы с помощью автоматизированного обучающего фреймворка, который рекомендует наиболее релевантные API инструментов безопасности для конкретных задач реагирования на инциденты. Фреймворк демонстрирует точность Top-1 91,9%, значительно превосходя существующие подходы.
91,9%
Точность Top-1
26,93%
Улучшение относительно базового метода
3
Оцененных инструмента безопасности
36
Методов аугментации
2 Архитектура фреймворка APIRO
Фреймворк APIRO состоит из трёх основных компонентов, предназначенных для решения проблем подбора API инструментов безопасности в средах SOAR.
2.1 Модуль аугментации данных
Для преодоления нехватки данных APIRO использует 36 методов аугментации данных, включая замену синонимов, обратный перевод и контекстуальное эмбеддинг. Этот модуль обогащает описания API путём генерации синтетических обучающих данных с сохранением семантического смысла.
2.2 Модель эмбеддинга API
APIRO использует специализированную модель векторных представлений слов, обученную на корпусах текстов по безопасности. Модель захватывает семантические связи между функциональностями API с использованием следующей целевой функции эмбеддинга:
$\min_{\theta} \sum_{(w,c) \in D} -\log \sigma(v_c \cdot v_w) - \sum_{(w,c') \in D'} \log \sigma(-v_{c'} \cdot v_w)$
где $v_w$ и $v_c$ представляют векторы слов и контекста соответственно, $D$ обозначает позитивные обучающие пары, а $D'$ представляет негативные сэмплы.
2.3 Классификация с помощью CNN
Свёрточная нейронная сеть обрабатывает эмбеддинги описаний API для предсказания трёх наиболее релевантных API для данной задачи. Архитектура CNN включает множественные размеры фильтров (2,3,4 граммы) для захвата n-gram паттернов в документации API.
3 Результаты экспериментов
APIRO был оценён с использованием трёх инструментов безопасности с обширной документацией API: Malware Information Sharing Platform (MISP), Limacharlie EDR и платформа Phantom SOAR.
3.1 Метрики производительности
Фреймворк достиг выдающихся результатов по множественным метрикам оценки:
- Точность Top-1: 91,9%
- Точность Top-2: улучшение на 23,03% относительно базового метода
- Точность Top-3: улучшение на 20,87% относительно базового метода
- Средний взаимный ранг (MRR): улучшение на 23,7%
3.2 Сравнение с базовыми методами
APIRO значительно превзошёл современные базовые методы по всем метрикам. Улучшение производительности демонстрирует эффективность подхода аугментации данных и специализированного эмбеддинга в обработке семантических вариаций в документации API по безопасности.
Диаграмма сравнения производительности
Результаты экспериментов показывают метрики точности APIRO по сравнению с базовыми подходами. Визуализация в виде столбчатой диаграммы демонстрирует последовательное превосходство по метрикам точности Top-1, Top-2 и Top-3, с наиболее значительным улучшением в точности Top-1 (улучшение на 26,93%).
4 Технический анализ
Ключевое понимание
APIRO фундаментально преобразует то, как команды SOC взаимодействуют с API инструментов безопасности, заменяя ручные, подверженные ошибкам процессы интеллектуальными, основанными на данных рекомендациями. Настоящий прорыв фреймворка заключается в его прагматичном подходе к хаотичной реальности документации по безопасности — он не пытается стандартизировать хаос, а учится эффективно в нём ориентироваться.
Логический поток
Архитектура следует сложному трёхэтапному конвейеру: сначала она агрессивно аугментирует ограниченные обучающие данные с помощью 36 методов (напоминающих стратегии аугментации данных CycleGAN); во-вторых, она строит предметно-ориентированные эмбеддинги, которые понимают нюансы терминологии безопасности; в-третьих, она использует многомасштабные фильтры CNN для захвата как локальных, так и глобальных семантических паттернов. Это не просто ещё одно приложение ML — это целенаправленно построенная система для конкретной, высокорисковой области.
Сильные стороны и недостатки
Точность Top-1 91,9% впечатляет, но я скептически отношусь к обобщению в реальных условиях за пределами трёх протестированных инструментов. Зависимость от обширной аугментации данных предполагает лежащие в основе проблемы нехватки данных, которые могут ограничить масштабируемость развёртывания. Однако улучшение на 26,93% относительно базовых методов демонстрирует подлинные технические инновации, а не просто постепенную доработку.
Практические рекомендации
Поставщикам средств безопасности следует немедленно изучить возможность интеграции функциональности, подобной APIRO, в свои платформы SOAR. Фреймворк предоставляет чёткий план решения проблемы узкого места интеграции API, которая преследует современные SOC. Организации должны оказывать давление на поставщиков SOAR с целью принятия этих подходов на основе ИИ, вместо продолжения использования ручных, хрупких методов интеграции.
Пример аналитического фреймворка
Рассмотрим задачу реагирования на инцидент: "Исследовать подозрительный сетевой трафик с IP-адреса 192.168.1.100"
Рабочий процесс обработки APIRO:
- Предобработка и токенизация описания задачи
- Поиск в эмбеддингах с использованием векторных представлений слов, специфичных для безопасности
- Многомасштабное извлечение признаков CNN
- Оценка схожести с доступными API инструментов безопасности
- Рекомендации трёх лучших API с показателями уверенности
Результат: [MISP: search_events, Limacharlie: get_connections, Phantom: ip_reputation_check]
5 Перспективы применения
Методология APIRO имеет значительный потенциал за пределами рекомендаций инструментов безопасности:
- Обнаружение корпоративных API: Расширение на общие экосистемы корпоративных API для лучшего обнаружения и интеграции сервисов
- Кросс-платформенная автоматизация безопасности: Обеспечение автоматизированных рабочих процессов безопасности across облачных провайдеров и поставщиков средств безопасности
- Стандартизация API: Информирование разработки стандартизированных спецификаций API безопасности
- Архитектура нулевого доверия: Поддержка динамического применения политик безопасности через интеллектуальный подбор API
Будущие направления исследований включают внедрение трансферного обучения для новых инструментов безопасности, разработку возможностей обучения с малым количеством примеров и интеграцию объяснимого ИИ для прозрачности рекомендаций.
6 Ссылки
- Zhu, J.Y., et al. "Unpaired Image-to-Image Translation using Cycle-Consistent Adversarial Networks." ICCV 2017.
- MISP Project. "Malware Information Sharing Platform." https://www.misp-project.org/
- Limacharlie. "Endpoint Detection and Response." https://limacharlie.io/
- Saxe, J., et al. "Deep Neural Network Based Malware Detection Using Two Dimensional Binary Program Features." IEEE S&P 2015.
- MITRE ATT&CK. "Enterprise Matrix." https://attack.mitre.org/
- Phantom. "Security Orchestration, Automation and Response Platform." https://www.phantom.us/
- Rapid7. "SOAR Platform for Threat Hunting." Technical Documentation, 2021.