[論文レビュー] ATTACK2VEC: Leveraging Temporal Word Embeddings to Understand the Evolution of Cyberattacks

Yun Shen, Gianluca Stringhini|arXiv (Cornell University)|May 29, 2019

Network Security and Intrusion Detection参考文献 45被引用数 10

ひとこと要約

本稿では、サイバー攻撃手順の進化する文脈を、セキュリティアラートの系列を文として扱うことでモデル化する attack2vec を提案する。時間的単語埋め込みを用いることで、攻撃戦略の変化を効果的に検出でき、共起的に頻繁に利用される脆弱性を同定できる。2年間にわたる本物のIPSデータ（週間19000万件以上のアラート）を用いることで、予防的防御と向上した状況認識を実現する。

ABSTRACT

Despite the fact that cyberattacks are constantly growing in complexity, the research community still lacks effective tools to easily monitor and understand them. In particular, there is a need for techniques that are able to not only track how prominently certain malicious actions, such as the exploitation of specific vulnerabilities, are exploited in the wild, but also (and more importantly) how these malicious actions factor in as attack steps in more complex cyberattacks. In this paper we present ATTACK2VEC, a system that uses temporal word embeddings to model how attack steps are exploited in the wild, and track how they evolve. We test ATTACK2VEC on a dataset of billions of security events collected from the customers of a commercial Intrusion Prevention System over a period of two years, and show that our approach is effective in monitoring the emergence of new attack strategies in the wild and in flagging which attack steps are often used together by attackers (e.g., vulnerabilities that are frequently exploited together). ATTACK2VEC provides a useful tool for researchers and practitioners to better understand cyberattacks and their evolution, and use this knowledge to improve situational awareness and develop proactive defenses.

研究の動機と目的

• 複雑なサイバー攻撃において、攻撃手順の進化とそれらの関係を監視するツールの不足に対処すること。
• 時間経過に伴うセキュリティイベント（例：悪用された脆弱性）の文脈的関係をモデル化すること。
• 本物の侵入防止システム（IPS）データを用いて、新たな攻撃パターンや攻撃戦略の変化を検出すること。
• 攻撃戦略の変化や商品化の兆候を特定することで、予防的防御を支援すること。
• 時間的分析による攻撃手順の共起を活用し、状況認識を向上させるとともに、攻撃の原因特定を支援すること。

提案手法

• 攻撃キャンペーンからのセキュリティアラートの系列を「文」として扱い、個々のアラートを「語」（単語）として扱う。
• 時間的単語埋め込み技術（例：ネガティブサンプリングを用いた skip-gram）を適用し、攻撃手順の低次元ベクトル表現を学習する。
• 週次で取得した19000万件以上のセキュリティアラートのスナップショットを用いて、時間経過に伴う埋め込み関係の変化を追跡する。
• 攻撃手順の文脈を、その手順と共起する他の手順の集合としてモデル化する。
• 埋め込み空間におけるベクトル類似度を活用し、頻繁に共起する攻撃手順のクラスタを同定する。
• 埋め込み関係の顕著な変化を検出することで、新たな攻撃戦略や進化する戦略を特定する。

実験結果

リサーチクエスチョン

• RQ1 本番環境において、サイバー攻撃手順が悪用される文脈の進化をどのようにモデル化できるか。
• RQ2 時間的埋め込みを用いることで、セキュリティイベントの時間的変化に伴い、攻撃戦略パターンにどのような変化が検出できるか。
• RQ3 どの脆弱性や攻撃手順が頻繁に同時に悪用され、その共起性はどのように変化するか。
• RQ4 時間的埋め込みを用いることで、実際に広がりを見せ始めた新しい統合型攻撃戦略（例：エクスプロイトキットに統合された攻撃）を検出できるか。
• RQ5 埋め込みベースの分析は、単なるアラート頻度監視を越えて、予防的防御と状況認識をどのように向上できるか。

主な発見

• attack2vec は、時間経過に伴う攻撃手順間の文脈的関係の変化を特定することで、攻撃戦略の変化を効果的に検出できる。
• 本システムは、頻繁に同時に悪用される脆弱性のクラスタを同定し、共通の攻撃パターンを明らかにする。
• 新たな攻撃戦略が出現する際、以前は独立していたエクスプロイトが一貫した順序で共起し始めると、それを即座にフラグとして検出する。
• 本手法は、2年間にわたる本物のIPSデータ（週間19000万件以上のアラート）を用いて、攻撃キャンペーンの進化を効果的にモデル化できる。
• 特定のエクスプロイトシーケンスが一貫して繰り返し使用されることを観察することで、エクスプロイトキットに統合された攻撃の早期検出が可能になる。
• 本手法は、単なるアラート頻度を超えたスケーラブルでデータ駆動型の攻撃進化監視を可能とし、予防的防御と改善された脅威インテリジェンスを支援する。