[論文レビュー] Advanced Persistent Threat: Detection and Defence

Muhammad Bilal Khan|arXiv (Cornell University)|Apr 22, 2020

Network Security and Intrusion Detection参考文献 12被引用数 6

ひとこと要約

本論文は、先進的で恒久的な脅威（APT）の検出および防御戦略について包括的な分析を提供し、既存の研究と実務的知見を統合して、検出技術と防御策を評価する。特に、政府機関を含む大規模組織における上位レベルのセキュリティアプローチの重要性を強調し、APTリスクを低減するための実行可能な提言を結論として提示する。

ABSTRACT

The critical assessment presented within this paper explores existing research pertaining to the Advanced Persistent Threat (APT) branch of cyber security, applying the knowledge extracted from this research to discuss, evaluate and opinionate upon the areas of discussion as well as involving personal experiences and knowledge within this field. The synthesis of current literature delves into detection capabilities and techniques as well as defensive solutions for organisations with respect to APTs. Higher-tier detection and defensive strategies bear greater importance with larger organisations; especially government departments or organisations whose work impacts the public on a large scale. Successful APT attacks can result in the exfiltration of sensitive data, network down time and the infection of machines which allow for remote access from Command-and-control (C2) servers. This paper presents a well-rounded analysis of the Advanced Persistent Threat problem and provides well-reasoned conclusions of how to mitigate the security risk.

研究の動機と目的

• 先進的で恒久的な脅威（APT）の検出および防御メカニズムに関する現在の研究を評価すること。
• APTに対する既存の検出能力および防御ソリューションにおけるギャップを特定すること。
• 特に政府機関を含む高リスクのAPT脅威に直面する組織に対して、実行可能で証拠に基づいた提言を提供すること。
• 学術的リサーチと実際の経験を統合することで、APT低減戦略を強化すること。
• 大規模かつ高影響を持つ環境における、レイヤードで予防的な防御システムの重要性を強調すること。

提案手法

• 学術論文および技術報告書からのPeer-reviewedリソースに基づく、APT検出および防御に関する既存文献の体系的合成。
• 異常検出、行動分析、ネットワークトラフィック監視などの検出技術の評価。
• インシデント検出システム（IDS）、セキュリティ情報およびイベント管理（SIEM）、エンドポイント検出および応答（EDR）ツールなどの防御ソリューションの評価。
• 実際の運用経験を応用して、理論的検出モデルの妥当性と文脈を検証すること。
• インフラや機密データを保有する組織に適した上位レベルの防御戦略の優先順位付け。
• 異なるAPT低減技術の検出精度、反応時間、スケーラビリティを比較するための構造化フレームワークの使用。

実験結果

リサーチクエスチョン

• RQ1 複雑なエンタープライズ環境においてAPTを特定するのに最も効果的な検出技術は何か？
• RQ2 政府機関および大規模組織を標的とするAPTを緩和するための現在の防御ソリューションの性能はいかがであるか？
• RQ3 実際の展開環境において、既存のAPT検出モデルにどのような制限があるか？
• RQ4 APTキャンペーンの潜伏的かつ長期的な性質に対応するため、検出および防御戦略をどのように強化できるか？
• RQ5 運用経験は、理論的APT検出および防御フレームワークの洗練にどのような役割を果たすか？

主な発見

• APTの侵害がもたらす影響が極めて大きいことから、特に政府部門を含む大規模組織では、上位レベルの検出および防御メカニズムが不可欠である。
• APT攻撃は、通常、コマンドアンドコントロール（C2）サーバーを介した恒久的なリモートアクセス、データの漏洩、ネットワークの停止を引き起こす。
• 行動分析や異常検出といった現在の検出技術は有望ではあるが、生産環境での誤検出を減らすためのチューニングが不可欠である。
• SIEM、EDR、脅威インテリジェンスを統合したソリューションは、検出精度と反応時間を向上させる。
• 脅威ハンティングや継続的監視を含む予防的防御戦略は、潜伏的で長期間にわたるAPTキャンペーンを低減するために不可欠である。
• 学術的リサーチと実務経験の統合は、より強固で運用可能なものとなるAPT低減フレームワークの構築に寄与する。