[論文レビュー] HOLMES: Real-time APT Detection through Correlation of Suspicious Information Flows

Sadegh M. Milajerdi, Rigel Gjomemo+3 more|arXiv (Cornell University)|Oct 3, 2018

Advanced Malware Detection Techniques参考文献 41被引用数 30

ひとこと要約

Holmesは、APTキルチェーンモデルを意味的フレームワークとして用い、ホストログとIDSアラートの間で疑わしい情報フローを相関させることで、リアルタイムにAPTを検出するシステムである。相関されたアラートからハイレベルアタックグラフ（HSG）を構築することで、高精度かつ低ノイズな多段階APTキャンペーンの検出を可能にする。

ABSTRACT

In this paper, we present HOLMES, a system that implements a new approach to the detection of Advanced and Persistent Threats (APTs). HOLMES is inspired by several case studies of real-world APTs that highlight some common goals of APT actors. In a nutshell, HOLMES aims to produce a detection signal that indicates the presence of a coordinated set of activities that are part of an APT campaign. One of the main challenges addressed by our approach involves developing a suite of techniques that make the detection signal robust and reliable. At a high-level, the techniques we develop effectively leverage the correlation between suspicious information flows that arise during an attacker campaign. In addition to its detection capability, HOLMES is also able to generate a high-level graph that summarizes the attacker's actions in real-time. This graph can be used by an analyst for an effective cyber response. An evaluation of our approach against some real-world APTs indicates that HOLMES can detect APT campaigns with high precision and low false alarm rate. The compact high-level graphs produced by HOLMES effectively summarizes an ongoing attack campaign and can assist real-time cyber-response operations.

研究の動機と目的

• 複数のホストにまたがり、数週間から数か月にわたる長期間にわたる多段階APTキャンペーンを検出する課題に対処すること。
• タイムスタンプに基づく相関に依存する伝統的なSIEMおよびIDS/IPSシステムが、複雑なホスト間の攻撃関係を捉えられず、限界に達することを克服すること。
• リアルタイムでのサイバー対応を支援する分析者が理解しやすい、人間が読み取り可能なハイレベルな攻撃キャンペーンの要約を提供すること。
• APTキルチェーンと情報フロー依存関係を用いて攻撃の意味的構造をモデル化することで、アラートのノイズを低減し、検出の正確性を向上させること。
• アプリケーションレベルのインストルメンテーションや細粒度のタンタッキングを必要とせず、リアルタイムでの検出とシナリオ再構築を可能にすること。

提案手法

• 低レベルのシステムイベントの主なデータソースとして、カーネル監査データ（例：Linux auditd、Windows ETW）を用いる。
• キルチェーンモデルを意味的基準として用い、低レベルのシステムイベントを高レベルのAPT戦術・手法・手順（TTPs）にマッピングする。
• イベント間の因果関係および情報フロー関係を追跡するため、低メモリフットプリントのメインメモリ上に依存関係グラフを構築する。
• 生成されたプロヴェナスグラフの爆発的増大を防ぐために、最小祖先被覆（minimum ancestral cover）の概念を適用し、効率的なインクリメンタル計算を実現する。
• TTPの意味的特徴と情報フローのパターンに基づき、重要な攻撃ステップを優先・抽象化することでハイレベルなシナリオグラフ（HSG）を導出する。
• アラートの相関を時間的近接性ではなく、因果関係およびデータフロー依存関係に基づくことで、ゆっくりで静かめのAPTを検出可能にする。

実験結果

リサーチクエスチョン

• RQ1 アラートの時間的近接性だけでなく、攻撃ステップ間の意味的関係を活用することで、APT検出はどの程度向上できるか？
• RQ2 ホスト監査ログとIDSアラートから、複雑な多段階APTキャンペーンを要約するハイレベルアタックグラフ（HSG）を自動的に生成できるか、その程度はいかほどか？
• RQ3 システムイベント間の情報フロー相関を用いることで、従来の時間ベースの相関と比較して、APT検出における誤検出を著しく低減できるか？
• RQ4 APTキルチェーンモデルを低レベルのシステムイベントからアクション可能な検出シグナルにマッピングする意味的フレームワークとして用いる場合、その有効性はどの程度か？
• RQ5 スケーラビリティと低メモリフットプリントを維持しながら、高精度かつ低誤報率のリアルタイムAPT検出が可能か？

主な発見

• Holmesは、リアルタイムでの展開において、9件の実世界のAPTキャンペーンを高精度かつ低誤報率で検出に成功した。
• 本システムは、攻撃者の行動を的確に要約するコンパクトなハイレベルアタックグラフ（HSG）を生成し、分析者が攻撃の範囲と進行状況を迅速に理解できるようにした。
• 時間的近接性ではなく、情報フローと因果関係を用いることで、従来の時間ベースの相関手法では検出できないゆっくりで静かめのAPTも検出可能となった。
• 最小祖先被覆の使用により、プロヴェナスグラフの爆発的増大が抑制され、効率的なインクリメンタル計算と低メモリフットプリントが実現された。
• Sleuthなどの既存ツールに比べ、スケーラビリティと抽象化レベルの面で優れており、インストルメンテーションを必要とせず、よりアクション可能な明確なHSGを生成した。
• 必要に応じて細粒度のタンタッキングに対応できるが、本システムは粗い監査ログのみで効果的に動作し、パフォーマンスと正確性のバランスを保った。