[論文レビュー] Provenance-based Intrusion Detection: Opportunities and Challenges

Xueyuan Han, Thomas Pasquier+1 more|arXiv (Cornell University)|Jun 4, 2018

Network Security and Intrusion Detection参考文献 9被引用数 8

ひとこと要約

本稿では、システム実行を有向無閉路 provenance グラフとしてモデル化することにより、攻撃ベクトルに依存しない堅牢なシステムセキュリティ手法として、provenance に基づく不正検知を提案する。グラフベースの異常検知により、因果的依存関係を分析することで、隠れ、長期間にわたる攻撃の検知が可能であるが、スケーラビリティ、リアルタイム処理、データセットベンチマークの面で課題が残っている。

ABSTRACT

Intrusion detection is an arms race; attackers evade intrusion detection systems by developing new attack vectors to sidestep known defense mechanisms. Provenance provides a detailed, structured history of the interactions of digital objects within a system. It is ideal for intrusion detection, because it offers a holistic, attack-vector-agnostic view of system execution. As such, provenance graph analysis fundamentally strengthens detection robustness. We discuss the opportunities and challenges associated with provenance-based intrusion detection and provide insights based on our experience building such systems.

研究の動機と目的

• ゼロデイ攻撃や高度で持続的な脅威（APT）に対して失敗する、従来のエクスプロイトおよびシグネチャベースの不正検知システムの限界を解消すること。
• 細粒度の全システム provenance データを活用して完全な実行トレースをモデル化することで、包括的かつ因果関係に基づいた検知を可能にすること。
• オーディットログベースの異常検知の欠陥を克服し、対象間の依存関係を捉える構造的 provenance グラフを用いること。
• provenance に基づく IDS の展開における主な課題、ならびにスケーラビリティ、リアルタイム性能、ラベル付きデータセットの不足を特定・解決すること。
• ドメイン固有の知見とシステム統合を通じて、provenance グラフの形式的定式化および provenance に基づく IDS のベンチマーク化の基盤を構築すること。

提案手法

• ノードがデータオブジェクト、アクティビティ、エージェントを表し、エッジが因果的依存関係を表す有向無閉路グラフ（DAG）としてシステム実行をモデル化する。
• ホストベースの不正検知を、学習済みの正常モデルから著しく逸脱する部分グラフを同定するグラフベースの異常検知問題として定式化する。
• provenance グラフの不変性を活用し、履歴の再処理を必要としないインクリメンタルかつ前方指向の因果的推論を可能にする。
• イベントのレアネスやデータフローの終了といったドメイン固有のヒューリスティクスを用い、複雑な provenance 部分グラフの優先順位付けと要約を行う。
• サブグラフ同型判定のような NP 困難な代替手法ではなく、効率的な多項式時間グラフアルゴリズム（例：グラフカーネル）を用いてリアルタイム分析を実現する。
• Vagrant を用いた仮想化された実験フレームワークを開発し、IDS ベンチマーク用に再現可能な provenance データセットを生成する。

実験結果

リサーチクエスチョン

• RQ1 provenance グラフは、従来のシグネチャベースのシステムで回避される、隠れ、長期間にわたる攻撃の検知をどのように可能にするか？
• RQ2 全システム、リアルタイム展開を想定した provenance に基づく不正検知をスケーリングするにあたり、どのような主な課題があるか？
• RQ3 provenance グラフ解析は、システムコンponents間の長距離因果的依存関係を捉えることで、どのように攻撃に対する耐性を高められるか？
• RQ4 不正検知において、フラットなオーディットログとネイティブな provenance 抜き取りの間には、どのような限界があるか？
• RQ5 部分グラフを「攻撃的」としてラベルづける複雑さを考慮すると、信頼性がありラベル付きのベンチマークデータセットをどのように構築できるか？

主な発見

• provenance グラフは、攻撃ベクトルに依存しない包括的なシステム実行の視点を提供し、複雑で段階的な実行フローを悪用する高度な攻撃の検知を可能にする。
• provenance グラフの不変性により、履歴の再処理を必要としない効率的でインクリメンタルな分析が可能になり、リアルタイム検知が簡素化される。
• LSM インターフェースを介した全システム provenance 抜き取りにより、すべてのセキュリティ関連の相互作用が完全かつ検証可能にログ記録され、検知カバレッジが向上する。
• provenance グラフ上でグラフベースの異常検知は、高次元のオーディットログ空間におけるポイントベースの外れ値検知を上回り、構造的依存関係をモデル化できる。
• 例えば、1つの sshd コマンドが数千ものシステムコールを生成するような、provenance グラフの複雑さは、分析効率を維持するための知的な要約技術の必要性を要求する。
• ラベル付きでベンチマーク品質の provenance データセットの不足は、この分野における IDS 性能の評価と比較の主要な障壁のままである。