"Aanvallers slaan niet altijd meteen toe"

In een hedendaags computernetwerk is altijd van alles gaande: duizenden toestellen communiceren bliksemsnel met elkaar, medewerkers loggen in vanop verschillende locaties, cloudtoepassingen wisselen massa’s gegevens uit, terwijl software continu wordt bijgewerkt. En ergens tussen die immense hoeveelheid activiteiten kan de eerste aanwijzing van een cyberaanval verstopt zitten.
Cyberaanvallen worden almaar geavanceerder en gevaarlijker. Als de digitale inbraak wordt ontdekt, is het hele netwerk vaak al besmet. Zo'n infectie begint met één aangetast toestel, maar verspreidt zich stiekem over het hele systeem. "Ze bouwen stap voor stap hun toegang uit, tot ze uiteindelijk gevoelige informatie kunnen stelen of systemen kunnen saboteren", zegt Corneliu Cofaru, onderzoeker aan het AI Lab van de VUB. 

Het Europese onderzoeksproject aSIEMmetry wil die zoektocht aanzienlijk efficiënter maken. Samen met partners uit Roemenië ontwikkelen VUB-onderzoekers AI-modellen om afwijkend netwerkgedrag op te sporen. Zo'n afwijking kan duiden op een aanval. Het is daarom van belang die zo vroeg mogelijk te ontdekken. De naam van het project verwijst naar de computerterm SIEM (Security Information and Event Management). Dit is een beveiligingsmethode die gegevens uit verschillende IT-systemen analyseert om verdachte activiteiten en cyberaanvallen snel op te sporen.

De mate van chaos 
Traditionele beveiligingssystemen gaan vaak uit van vooraf vastgelegde regels of bekende aanvalspatronen. Maar cybercriminelen bedenken voortdurend nieuwe technieken, waardoor het onmogelijk is om elke mogelijke aanval vooraf te kennen. 
Daarom kiezen de onderzoekers voor een andere aanpak. Niet de vraag ‘Gedraagt het netwerk zich zoals verwacht?’ staat centraal, maar wel: ‘Hoe sterk verandert het gedrag van het netwerk?’ Daarvoor grijpen ze verrassend genoeg terug naar een concept uit de fysica: entropie.
 

Dat blijkt geen eenvoudige opdracht, vooral omdat computernetwerken zelf voortdurend veranderen. "Netwerken evolueren zowel in de tijd als in de ruimte", zegt Corneliu. "Er komen voortdurend nieuwe toestellen bij, toepassingen communiceren op andere manieren en gebruikers veranderen hun gedrag. Niets blijft hetzelfde. 

"De uitdaging is AI-modellen te ontwikkelen die zich voortdurend kunnen aanpassen"

Wiskunde in stelling gebracht 
Aan de VUB ligt de focus op de ontwikkeling van de wiskundige fundamenten achter de detectiemodellen. VUB-computerwetenschapper Patrick Van der Spiegel ontwikkelt in het kader van zijn doctoraat een model voor het opsporen van anomalieën. Dat model wordt ingezet in uiteenlopende onderzoeksdomeinen, van neurowetenschappen tot voorspellend onderhoud van gebouwen. Binnen aSIEMmetry wordt het model toegepast op cybersecurity. 
"Het basisidee is eigenlijk heel eenvoudig", zegt Corneliu. "We leren eerst wat normaal gedrag is. Vervolgens vergelijken we nieuwe observaties met wat we eerder gezien hebben. Wanneer iets voldoende afwijkt, weten we dat het de moeite waard is om verder te kijken."

Ook AI zelf wordt gemonitord
Een van de meest vernieuwende aspecten van het onderzoek is dat entropie niet alleen wordt toegepast op het netwerkverkeer. De onderzoekers analyseren ook de complexiteit van de AI-modellen zelf terwijl die zich aanpassen aan nieuwe gegevens. 
"Naarmate het netwerk verandert, moeten ook de modellen evolueren", legt Corneliu uit. "Na elke nieuwe trainingsronde analyseren we de structuur van de modellen. Zo kunnen we opvolgen hoe hun interne representatie verandert." 
Met andere woorden: de onderzoekers monitoren niet alleen het netwerk, maar ook de manier waarop de AI dat netwerk ‘begrijpt’. Die extra analyse moet de detectiemodellen uiteindelijk robuuster maken en beter bestand tegen veranderende netwerkomgevingen.

Cybersecurityspecialisten worden niet vervangen
Het project is bedoeld om ondersteuning te bieden aan zogenaamde Security Operations Centres (SOC's), gespecialiseerde teams die grote organisaties beschermen tegen cyberaanvallen. Volgens Corneliu staan die teams vandaag onder steeds grotere druk. 
"De technologie heeft de explosieve groei van de netwerkcomplexiteit niet kunnen bijbenen", zegt hij. "Er is simpelweg te veel informatie om alles nog handmatig te analyseren. Ons doel is dan ook niet om securityanalisten te vervangen, maar om de hoeveelheid informatie die zij moeten bekijken drastisch te verminderen.”

Van theorie naar praktijk
Het project, dat van start ging in 2025 en tot eind 2027 loopt, heeft intussen een belangrijk deel van zijn theoretische onderzoeksfase afgerond. De VUB-wetenschappers ontwikkelden de architectuur en de onderliggende modellen. In de volgende fase zullen die worden getest en verfijnd met gegevens uit de praktijk.
"We hebben het skelet gebouwd", besluit Corneliu. "Nu moet het systeem gevoed worden met echte data. Dat gebeurt samen met onze partners, die werken met reële cyberaanvallen en grootschalige operationele netwerken. Pas dan zullen we zien hoe goed onze modellen presteren buiten het labo."
Als het onderzoek succesvol blijkt, kan het organisaties helpen om een van de grootste uitdagingen in cybersecurity aan te pakken: dat ene afwijkende signaal detecteren vóór het uitgroeit tot een grootschalig beveiligingsincident.