[論文レビュー] Kidemonas: The Silent Guardian

Rudra Prasad Baksi, Shambhu Upadhyaya|arXiv (Cornell University)|Dec 3, 2017

Network Security and Intrusion Detection参考文献 7被引用数 3

ひとこと要約

Kidemonas は、政府および産業用システムにおける高度持続的脅威（APTs）を、攻撃者に気づかれることなく静かに特定・報告するための、脅威検出および報告アーキテクチャである。スパイ行為による検出と管理者への秘密通信を可能にすることで、深刻な被害が発生する前に攻撃者の行動を観察し、対策を講じることが可能になる。

ABSTRACT

Advanced Persistent Threats or APTs are big challenges to the security of government organizations or industry systems. These threats may result in stealth attacks, but if the attack is confronted before the attacker end goal has been achieved, the attackers could become aggressive by changing the mode of attack or by resorting to some form of contingency plan, which might cause unexpected damage. Therefore, the attack detection and the notification to the system administrator should be done surreptitiously. This paper presents an architecture, called Kidemonas, to silently detect the threat and secretly report it to the user or the system administrator. This way the attacker is deceived into carrying out the attack, without sending any clear signal so that the defender can buy time to develop countermeasures to deal with the attack. We consider several attack scenarios and perform a security analysis to demonstrate the features of Kidemonas.

研究の動機と目的

• 従来の検出メカニズムを回避する、巧妙な高度持続的脅威（APTs）を検出する課題に対処すること。
• 攻撃者が検出されたことに気づかないようにすることで、攻撃的反撃や予備措置を回避すること。
• 検出プロセスの整合性を損なわせることなく、システム管理者が密かにアラートを受け取れるようにすること。
• 検出メカニズム自体が敵に発見されないよう、運用上のセキュリティを維持すること。
• 攻撃者の行動をリアルタイムで観察することで、時間遅延を伴う防御的対応のフレームワークを提供すること。

提案手法

• 脅威特定中に明示的なシグナルを発信しない、ステルスモードで動作する検出アーキテクチャを設計すること。
• 検出された脅威を、システム管理者やセキュリティチームに静かに報告するための隠れ通信チャネルを実装すること。
• 従来のシステム監視およびログ記録メカニズムと統合し、APTsを示す異常行動を検出すること。
• 攻撃者が検出および報告活動を発見できないように、難読化およびステガノグラフィー技術を用いること。
• 特定の事前に定義されたAPTsを示す行動が観察されるまで、検出ロジックを不活性状態に保つこと。
• 検出フェーズと報告フェーズを分離することで、攻撃ライフサイクル中に露出のリスクを最小限に抑えること。

実験結果

リサーチクエスチョン

• RQ1 攻撃者に気づかれることなく、APTsを検出する方法は何か？ これにより、攻撃のエスカレーションや予備措置の発動を防げるか？
• RQ2 検出モジュールとシステム管理者との間で、どのようにして隠れ通信が可能になるか？
• RQ3 洗練された敵対者に対しても検出システムが発見されないが、依然として効果的である方法は何か？
• RQ4 長期間にわたり攻撃者が存在する状況でも、システムの整合性と機密性をどのように維持できるか？
• RQ5 検出プロセスが通常のシステム動作を乱したり、攻撃者が防御的行動をとるのを誘発しないようにするための設計原則は何か？

主な発見

• Kidemonas は、検出フェーズ中に明示的なシグナルを発信しないことで、APTsの静かなる検出を実現した。
• アーキテクチャは、攻撃者に検出メカニズムの存在を明らかにせず、管理者への脅威報告を可能にしている。
• セキュリティ分析により、攻撃者が積極的に探査してもシステムが発見されないことが確認された。
• フレームワークにより、防御側は攻撃者の行動を長期間にわたり観察でき、戦略的対応計画を立てられるようになった。
• ステガノグラフィーおよび難読化された通信チャネルの使用により、検出レポートが敵に発見されないことが保証された。
• 重要な兆候が発動するまで不活性状態を維持することで、システムはラテラルムーブメントやデータ漏洩など、一般的なAPT戦術に対して耐性を示した。