[論文レビュー] Threat Detection and Investigation with System-level Provenance Graphs: A Survey

Zhenyuan Li, Qi Alfred Chen+2 more|arXiv (Cornell University)|Jun 2, 2020

Advanced Malware Detection Techniques参考文献 75被引用数 8

ひとこと要約

本サーベイは、サイバー脅威検出およびデジタルフォレンジックスのためのシステムレベルのプロヴェナンスグラフについて包括的な分析を提示し、データ収集、データ管理、脅威検出の3モジュールからなるアーキテクチャを提案するとともに、スケーラビリティ、誤検出、リアルタイム性能に関する主な課題を特定している。既存の技術について分類体系を提供し、実世界の環境におけるプロヴェナンスベースの検出システムの導入に実用的なガイダンスを提示している。

ABSTRACT

With the development of information technology, the border of the cyberspace gets much broader, exposing more and more vulnerabilities to attackers. Traditional mitigation-based defence strategies are challenging to cope with the current complicated situation. Security practitioners urgently need better tools to describe and modelling attacks for defence. The provenance graph seems like an ideal method for threat modelling with powerful semantic expression ability and attacks historic correlation ability. In this paper, we firstly introduce the basic concepts about system-level provenance graph and proposed typical system architecture for provenance graph-based threat detection and investigation. A comprehensive provenance graph-based threat detection system can be divided into three modules, namely, "data collection module", "data management module", and "threat detection modules". Each module contains several components and involves many research problem. We systematically analyzed the algorithms and design details involved. By comparison, we give the strategy of technology selection. Moreover, we pointed out the shortcomings of the existing work for future improvement.

研究の動機と目的

• Advanced Persistent Threats（APTs）のような高度で隠密な攻撃を検出するための従来の対策ベースの防御の限界を克服すること。
• システムの動作状態および攻撃履歴をモデル化するための堅牢で意味論的に豊かな方法としてプロヴェナンスグラフを確立すること。
• モジュラーなアーキテクチャと比較分析を通じて、プロヴェナンスグラフベースの検出システムの設計を体系化すること。
• 誤検出、標準化されたデータセットの不足、回避攻撃への耐性といった実用的課題を特定すること。
• 将来的な研究を支援するため、主要な技術的トレードオフと実世界システムにおける導入戦略を提示すること。

提案手法

• データ収集、データ管理、脅威検出の3モジュールからなるシステムアーキテクチャを提案し、それぞれに特化したコンponentsを備える。
• 既存の技術を分類体系化し、データ収集手法、ストレージ最適化、検出アルゴリズムの観点からアプローチを分類する。
• 検出精度、誤検出率、応答時間などのパフォーマンス指標を用いて、40以上の既存システムを比較する。
• シーケンスベースおよびグラフベースの検出モデルを分析し、効率性と耐性の間のトレードオフを強調する。
• タグ伝搬やアラート相関を含むリアルタイム処理戦略を評価し、低遅延と高精度の両立を図る。
• 軽量なリアルタイム検出とグラフベースの分析を組み合わせたハイブリッドアプローチを推奨する。

実験結果

リサーチクエスチョン

• RQ1 意味的忠実度を損なわずに、プロヴェナンスグラフのストレージをどのように空間効率的に最適化できるか？
• RQ2 大規模プロヴェナンスグラフシステムにおいて、ストレージ効率とクエリパフォーマンスのバランスをどのようにとれるか？
• RQ3 真陽性率を高く保ちながら、誤検出率を最小限に抑えるにはどうすればよいか？
• RQ4 リアルタイム脅威検出およびフォレンジックスにおいて、応答時間を短縮するにはどのような技術が有効か？
• RQ5 プロヴェナンスグラフベースのシステムは、生産環境での信頼性を確保するために、どのように回避攻撃に耐性を持たせられるか？

主な発見

• タグ伝搬のようなシーケンスベースの検出モデルは、低遅延を実現し、リアルタイム展開に適している一方で、グラフベースのモデルは高い精度と耐性を提供する。
• 誤検出率は依然として主要な課題であり、大多数のシステムが原理的最適化ではなく経験的パrameterチューニングに依存している。
• プロヴェナンスベース検出のための唯一の公開利用可能なベンチマークデータセットは、DARPA Transparent Computing Engagement 3および5のデータセットであり、規模と多様性に制限がある。
• 既存のシステムは回避攻撃への耐性に関する体系的な評価を欠いており、脅威モデルの信頼性に深刻なギャップが生じている。
• 軽量なリアルタイム分析とグラフベースの相関を組み合わせたハイブリッド検出アプローチが、速度と精度の最良のトレードオフを実現する。
• 再現可能性とシステム間の定量的比較を可能にするために、標準化されたデータセットおよびデータフォーマットの導入が強く求められている。