[論文レビュー] On Preempting Advanced Persistent Threats Using Probabilistic Graphical Models

Phuong Cao|arXiv (Cornell University)|Mar 21, 2019

Network Security and Intrusion Detection参考文献 97被引用数 5

ひとこと要約

PULSAR は要因グラフに基づく確率的グラフィカルモデル（因子グラフベース）フレームワークであり、過去の APT データから攻撃パターンを学習し、リアルタイムでの攻撃進行を推論することで、先制的に Advanced Persistent Threats（APTs）を検知・遮断する。本研究では、データ損失発生前に APT を 91.7% の正確度で同定し、システム整合性侵害以前に未観測 APT の 80% を遮断した。生産環境における中央値意思決定時間は 1 秒であった。

ABSTRACT

This paper presents PULSAR, a framework for pre-empting Advanced Persistent Threats (APTs). PULSAR employs a probabilistic graphical model (specifically a Factor Graph) to infer the time evolution of an attack based on observed security events at runtime. PULSAR (i) learns the statistical significance of patterns of events from past attacks; (ii) composes these patterns into FGs to capture the progression of the attack; and (iii) decides on preemptive actions. PULSAR's accuracy and its performance are evaluated in three experiments at SystemX: (i) a study with a dataset containing 120 successful APTs over the past 10 years (PULSAR accurately identifies 91.7%); (ii) replaying of a set of ten unseen APTs (PULSAR stops 8 out of 10 replayed attacks before system integrity violation, and all ten before data exfiltration); and (iii) a production deployment of PULSAR (during a month-long deployment, PULSAR took an average of one second to make a decision).

研究の動機と目的

• 低速で多段階的な攻撃パターンにより従来の検知手法を回避する Advanced Persistent Threats（APTs）の検知と先制対策の課題に対処すること。
• ヒューリスティックまたは異常検知ルールではなく、実世界の APT からのイベントパターンの統計的有意性を活用することで、APTs 検知における誤検出率を低減すること。
• 最小限のパフォーマンスオーバーヘッドで大規模生産環境におけるリアルタイムかつスケーラブルな推論を可能にすること。
• 歴史的データから学習した構成的で統計的に有意な攻撃パターンを用いて、未観測 APT への一般化を実現すること。
• 時間的および条件付きイベント依存関係の確率的モデリングを通じて、攻撃進行の解釈可能で実行可能なインサイトを提供すること。

提案手法

• PULSAR は要因グラフ（FGs）を用いて、セキュリティイベントの系列と攻撃段階間の条件付き依存関係をエンコードすることで、APTs の進行をモデル化する。
• 120 件の実世界 APT から得たイベントパターンの統計的有意性を学習し、99.7% のアノテーションが自動生成されたため、手動ラベリング作業が大幅に削減された。
• 学習されたパターンを組み合わせて、因果的順序を仮定せずに攻撃の時間的進行を捉える確率的グラフィカルモデルを構築する。
• リアルタイム推論は、大量のイベントストリーム（例：1 日 94k イベント）を 1 秒あたり約 1,900 個の有意なイベントにフィルタリングすることで実現され、低遅延意思決定が可能になった。
• モデルが、データ漏洩やルートキットインストールなどの重要な段階への進行確率が高くなると、攻撃の先制遮断がトリガーされる。
• モデルは縦断的で実際の生産トラフィック（10 年分のデータセット）を用いて学習され、背景ノイズを含むライブトラフィックに未観測 APT を注入して検証された。

実験結果

リサーチクエスチョン

• RQ1 確率的グラフィカルモデルは、最小限の手動ラベリングで実世界の攻撃データから APT の進行を効果的に学習・予測できるか？
• RQ2 このようなモデルは、学習データとは異なる攻撃ベクトルやペイロードを持つ未観測 APT に対してもどの程度一般化できるか？
• RQ3 大容量で実世界の生産環境において、高い検知正確度を維持しながら低誤検出率を達成できるか？
• RQ4 顕著な背景ノイズを伴うリアルタイムかつ大規模なイベントワークロード下で、モデルの推論パフォーマンスはどの程度スケーリングするか？
• RQ5 フレームワークは、データ漏洩やシステム損傷などの重要な攻撃段階が発生する前に対策を講じられるか？

主な発見

• PULSAR は、10 年分の 120 件の実 APT を含むデータセットから、過去に未観測であった 60 件の APT をデータ損失発生前に 91.7% の正確度で同定した。
• IBM サイバー脅威インテリジェンスインデックスの上位技術に基づく 10 件の未観測 APT を用いたテストでは、PULSAR はシステム整合性侵害以前に 8 件を遮断し、全 10 件をデータ漏洩以前に遮断した。
• SystemX での 1 か月間の生産環境デプロイでは、PULSAR が 1 日平均 94,238 イベントを処理し、1 イベントあたり平均 1 秒未満で意思決定を行った。
• フレームワークは、1 日平均 1,885 個の有意なイベントにストリームを絞り込み、効果的なフィルタリングとスケーラビリティを示した。
• 99.7% のデータで自動アノテーションが行われたことにより、PULSAR はラベリング負荷を顕著に削減しながらも、高い検知性能を維持した。
• 過去の攻撃から 12～30 個の共通イベントしか持たない APT も正常に検知できたことから、重複が限られているにもかかわらず、新しい攻撃パターンへの強力な一般化能力が示された。