[논문 리뷰] Kairos: Practical Intrusion Detection and Investigation using Whole-system Provenance

Zijun Cheng, Qiujian Lv외 5명|arXiv (Cornell University)|2023. 08. 09.

Network Security and Intrusion DetectionComputer Science인용 수 3

한 줄 요약

Kairos는 전체 시스템 범위, 공격 무관성, 실시간 처리 능력, 효과적인 공격 재구성이라는 네 가지 요건을 동시에 충족하는 최초의 증명 기반 침입 탐지 시스템이다. 실시간 스트리밍 증명 그래프에서 이질적 사건을 탐지하기 위해 새로운 그래프 신경망을 사용하며, 최소한의 성능 오버헤드로 작고 인간이 읽을 수 있는 공격 요약을 재구성한다. 이는 검출 정확도와 효율성 면에서 기존 최고 수준의 방법들을 능가한다.

ABSTRACT

Provenance graphs are structured audit logs that describe the history of a system's execution. Recent studies have explored a variety of techniques to analyze provenance graphs for automated host intrusion detection, focusing particularly on advanced persistent threats. Sifting through their design documents, we identify four common dimensions that drive the development of provenance-based intrusion detection systems (PIDSes): scope (can PIDSes detect modern attacks that infiltrate across application boundaries?), attack agnosticity (can PIDSes detect novel attacks without a priori knowledge of attack characteristics?), timeliness (can PIDSes efficiently monitor host systems as they run?), and attack reconstruction (can PIDSes distill attack activity from large provenance graphs so that sysadmins can easily understand and quickly respond to system intrusion?). We present KAIROS, the first PIDS that simultaneously satisfies the desiderata in all four dimensions, whereas existing approaches sacrifice at least one and struggle to achieve comparable detection performance. Kairos leverages a novel graph neural network-based encoder-decoder architecture that learns the temporal evolution of a provenance graph's structural changes to quantify the degree of anomalousness for each system event. Then, based on this fine-grained information, Kairos reconstructs attack footprints, generating compact summary graphs that accurately describe malicious activity over a stream of system audit logs. Using state-of-the-art benchmark datasets, we demonstrate that Kairos outperforms previous approaches.

연구 동기 및 목표

• 기존 증명 기반 침입 탐지 시스템(PIDSes)이 일반적으로 범위, 공격 무관성, 실시간성, 공격 재구성 중 적어도 하나를 포기하는 심각한 격차를 해결하기 위해.
• 사전에 알려진 공격 서명 없이도 실시간으로 전체 시스템의 증명 그래프를 대규모로 모니터링할 수 있도록 시스템을 설계하기 위해.
• 시스템 관리자가 사용할 수 있는 세밀하고 실질적인 통찰을 제공하기 위해 악성 활동을 요약하는 간결하고 일관된 공격 그래프를 재구성하기 위해.
• 스트리밍 증명 데이터에서 높은 검출 정확도를 유지하면서도 성능 오버헤드를 최소화하기 위해.
• 검출, 단순화, 조사 레이어를 하나의 효율적인 파이프라인으로 통합하여 기업 환경에 스케일링 가능한 시스템을 만들기 위해.

제안 방법

• Kairos는 시간적·공간적 변화를 모델링하기 위해 그래프 신경망(GNN) 기반의 인코더-디코더 아키텍처를 사용하여 증명 그래프의 엣지 수준(즉, 시스템 이벤트)에서 이질성을 정량화한다.
• 모델은 이전의 정상 실행 기록에서 학습하여 노드 행동의 이탈을 탐지하며, 동적 인접 구조와 시간 패턴을 통합하여 맥락 인식 능력을 향상시킨다.
• 증명 그래프가 스트리밍되는 동안 실시간으로 이질적인 엣지를 식별하여 오프라인 처리 없이 저지연 탐지를 가능하게 한다.
• 탐지 후 Kairos는 공격의 흔적을 나타내는 가장 관련성이 높은 하위그래프만 추출하고 요약하기 위해 경량의 그래프 단순화 기법을 적용한다.
• 단순화 과정에서 원인-결과 관계와 구조적 무결성을 유지하여 재구성된 그래프가 작고 의미적으로 유의미한 형태를 유지한다.
• Kairos는 최소한의 성능 오버헤드로 작동하도록 설계되어 생산 환경에서의 배포에 적합하다.

실험 결과

연구 질문

• RQ1 증명 기반 침입 탐지 시스템이 스트리밍 데이터에서 실시간 탐지를 유지하면서 전체 시스템 범위를 확보할 수 있는가?
• RQ2 이러한 시스템은 사전 정의된 서명이나 공격 패tern에 의존하지 않고도 새로운, 알려지지 않은 공격을 탐지할 수 있는가?
• RQ3 시스템은 악성 활동을 정확하게 반영하고 관리자 조사 시간을 줄이는 압축된, 인간이 읽을 수 있는 공격 요약을 생성할 수 있는가?
• RQ4 검출, 단순화, 조사 기능을 정확도나 성능을 희생시키지 않고 하나의 효율적인 파이프라인으로 통합할 수 있는가?
• RQ5 F1 점수, AUC, 계산 오버헤드 측면에서 Kairos의 이상 탐지 능력은 최신 기술 대비 어떻게 비교되는가?

주요 결과

• Kairos는 벤치마크 데이터셋에서 최고 수준의 검출 성능를 달성하여 기존 PIDSes보다 F1 점수와 AUC 모두에서 뛰어난 성능을 보이며, ProGrapher와 SIGL보다 훨씬 높은 검출 정확도를 확보했다.
• 시스템은 최소한의 성능 오버헤드를 보이며, 호스트 성능 저하 없이 장시간 실행되는 시스템의 실시간 모니터링을 가능하게 했다.
• Kairos는 악성 활동을 정확하게 반영하는 작고 일관된 공격 그래프를 성공적으로 재구성하여, 전체 증명 그래프를 수동으로 분석하는 것보다 시스템 관리자의 조사 시간을 줄였다.
• 모델의 엣지 수준 이상성 점수 기반 탐지 기능은 세밀한 탐지가 가능하여, 노드 수준이나 서명 기반 접근 방식이 놓치는 시스템 행동의 미세한 이질성을 식별할 수 있었다.
• Kairos는 범위, 공격 무관성, 실시간성, 공격 재구성이라는 네 가지 핵심 요구사항을 상호 보완 없이 동시에 충족하는 최초의 시스템이다.
• 평가 결과, Kairos의 그래프 단순화 기법이 검출 정확도에 영향을 주지 않음을 확인했으며, 이는 탐지 후에만 적용되고 공격 관련 핵심 하위그래프를 유지하기 때문이다.