[論文レビュー] Enabling Efficient Attack Investigation via Human-in-the-Loop Security Analysis

Xinyu Yang, Haoyuan Liu+2 more|arXiv (Cornell University)|Nov 10, 2022

Network Security and Intrusion Detection被引用数 12

ひとこと要約

Zebraは、ドメイン固有言語（Tstl）を用いて攻撃パターン検索と因果的依存関係追跡を包括的に統合する人間を含むループ型のセキュリティ分析システムを導入し、複雑で長距離にわたる攻撃シーケンスの段階的でユーザー主導の調査を可能にする。大規模な監査ログ上で最適化された実行と表現力豊かなクエリ機能を組み合わせることで、Zebraは依存関係の爆発を軽減し、企業環境におけるタイムリーなフォレンジック分析を加速する。

ABSTRACT

System auditing is a vital technique for collecting system call events as system provenance and investigating complex multi-step attacks such as Advanced Persistent Threats. However, existing attack investigation methods struggle to uncover long attack sequences due to the massive volume of system provenance data and their inability to focus on attack-relevant parts. In this paper, we present Raptor, a defense system that enables human analysts to effectively analyze large-scale system provenance to reveal multi-step attack sequences. Raptor introduces an expressive domain-specific language, ProvQL, that offers essential primitives for various types of attack analyses (e.g., attack pattern search, attack dependency tracking) with user-defined constraints, enabling analysts to focus on attack-relevant parts and iteratively sift through the large provenance data. Moreover, Raptor provides an optimized execution engine for efficient language execution. Our extensive evaluations on a wide range of attack scenarios demonstrate the practical effectiveness of Raptor in facilitating timely attack investigation.

研究の動機と目的

• 従来の攻撃調査ツールが長距離攻撃シーケンスを追跡できない、または攻撃関連イベントに焦点を当てていないために依存関係の爆発を引き起こすという限界に対処すること。
• セキュリティアナリストがドメイン固有の知識を活用して、検索と追跡を繰り返し切り替えながら、段階的に攻撃再構築を精緻化できるようにすること。
• 検索と追跡の両方を細かく制御できる一貫性があり、簡潔なドメイン固有言語（Tstl）を設計すること。この言語は、イベントの優先順位付けや依存関係の走査に細かいつながりを制御できる。
• 大規模なシステム監査ログ上でTstlクエリの実行を最適化し、実世界の企業環境における展開において効率性とスケーラビリティを確保すること。

提案手法

• Zebraは、OSカーネル監査ログから得られるシステムレベルのプロビジョニングデータを統合し、システムエンティティ（例：プロセス、ファイル、ソケット）間の相互作用を表す依存関係グラフを構築する。
• Tstlというドメイン固有言語を導入し、パターンベースの検索と因果的依存関係の追跡を統合的にサポートする。複雑なクエリを指定するための包括的で簡潔な構文を備える。
• Tstlは、イベント、関係、走査パスに制約を表現でき、攻撃関連のエンティティの優先順位付けによりノイズと依存関係の爆発を低減する。
• システムは、大容量の監査データ上でTstlクエリを効率的に処理できる最適化されたクエリ実行エンジンを採用しており、インクリメンタルでインタラクティブな分析をサポートする。
• Zebraは、特定のイベントから因果的チェーンを追跡する作業と、悪意あるパターンを検索する作業を繰り返す段階的調査ワークフローをサポートする。
• アーキテクチャは、ユーザーインタラクションと低レベルのデータ処理を分離しており、アナリストが中間結果を確認・操作して段階的に改善できる。

実験結果

リサーチクエスチョン

• RQ1 一貫性があり簡潔なドメイン固有言語が、ユーザー主導の反復的調査を可能にする形で、監査ログ分析における検索と追跡機能を効果的に統合できるか。
• RQ2 因果的追跡における依存関係の爆発を、完全性や正確性を損なわずにどのように軽減できるか。
• RQ3 Tstlのようなドメイン固有言語は、一般言語のクエリ言語や一時的なスクリプトに比べて、フォレンジック分析の表現力と効率性をどの程度向上できるか。
• RQ4 Tstlを介した検索と追跡の統合は、実世界の攻撃シナリオにおける攻撃調査の速度と正確性にどのように影響を与えるか。

主な発見

• Zebraは、従来の検索のみまたは追跡のみのアプローチでは追跡が困難な長距離攻撃シーケンスの再構築に成功している。
• Tstlの使用により、攻撃関連のエンティティと関係の優先順位付けが可能になり、追跡結果における無関係な依存関係の数が顕著に減少した。
• 幅広い攻撃事例を用いた評価では、Zebraがベースライン手法に比べてより高速かつ正確な攻撃調査を可能にしていることが示された。
• Zebraの最適化された実行エンジンは、大規模な監査ログの処理を効率的に行えるものであり、企業システムにおけるリアルタイムまたはニアリアルタイムのフォレンジック分析に適している。
• Zebraがサポートする段階的かつインタラクティブなワークフローにより、セキュリティアナリストは反復的に調査を精緻化でき、精度と使いやすさの両方が向上した。