ANCHOR: investigação de intrusões assistida por LLM sobre grafos de proveniência do sistema
Pesquisadores apresentam o ANCHOR, um sistema que usa LLMs para transformar os alertas brutos de sistemas de detecção de intrusão baseados em proveniência (PIDS) em narrativas de ataque coerentes e organizadas por estágios da kill chain. A ferramenta combina curadoria de evidências com contexto de implantação (linhas de base de comportamento normal do ambiente) e um cache de rastreamento de ataques que mantém o estado da investigação ao longo de múltiplas janelas temporais. Avaliado em seis datasets DARPA Transparent Computing (E3/E5) cobrindo três sistemas operacionais, o sistema melhora a recuperação de indicadores de comprometimento e a atribuição de estágios de ataque em relação a baselines anteriores, a um custo de poucos dólares por dia de auditoria processado.
Fonte ↗