[논문 리뷰] threaTrace: Detecting and Tracing Host-based Threats in Node Level Through Provenance Graph Learning

Su Wang, Zhiliang Wang외 7명|arXiv (Cornell University)|2021. 11. 08.

Network Security and Intrusion Detection인용 수 8

한 줄 요약

threaTrace는 사전 공격 패tern 지식 없이도 APT 및 악성코드 임플랜트와 같은 도청성이고 지속적인 위협을 고정밀도로 탐지하고 국소화할 수 있는 실시간, 노드 수준의 호스트 침입 탐지 시스템이다. 이 시스템은 데이터 프로벤런스 그래프에서 정상 엔티티의 역할을 GraphSAGE 기반의 다중 모델 프레임워크로 학습하며, 이로 인해 높은 정확도를 달성한다. 공개된 세 개의 데이터셋에서 최신 기술 대비 뛰어난 성능을 보이며, 낮은 시스템 오버헤드를 유지한다.

ABSTRACT

Host-based threats such as Program Attack, Malware Implantation, and Advanced Persistent Threats (APT), are commonly adopted by modern attackers. Recent studies propose leveraging the rich contextual information in data provenance to detect threats in a host. Data provenance is a directed acyclic graph constructed from system audit data. Nodes in a provenance graph represent system entities (e.g., $processes$ and $files$) and edges represent system calls in the direction of information flow. However, previous studies, which extract features of the whole provenance graph, are not sensitive to the small number of threat-related entities and thus result in low performance when hunting stealthy threats. We present threaTrace, an anomaly-based detector that detects host-based threats at system entity level without prior knowledge of attack patterns. We tailor GraphSAGE, an inductive graph neural network, to learn every benign entity's role in a provenance graph. threaTrace is a real-time system, which is scalable of monitoring a long-term running host and capable of detecting host-based intrusion in their early phase. We evaluate threaTrace on three public datasets. The results show that threaTrace outperforms three state-of-the-art host intrusion detection systems.

연구 동기 및 목표

• 기존의 그래프 수준 이상의 이상 탐지 기법으로는 회피되는 도청성이고 지속적인 호스트 기반 위협(예: APT 및 악성코드 임플랜트)을 탐지하는 과제를 해결하기 위해.
• 공격 패턴에 대한 사전 지식 없이도 프로벤런스 그래프 내에서 비정상적인 엔티티를 노드 수준에서 탐지하고 정확하게 추적할 수 있도록 하기 위해.
• 실제 시스템에서 다양한 정상 행동을 포함한 데이터 불균형 문제를 해결하고 탐지 성능을 향상시키기 위해.
• 장기적인 프로덕션 호스트에 배포하기에 적합한 계산 및 메모리 오버헤드를 유지하면서도 확장성 있고 실시간으로 작동하는 시스템을 설계하기 위해.
• 기업 및 정부 환경에서 실질적인 배포를 위해 완전하고 오픈소스 기반의 탐지 및 추적 프레임워크를 제공하기 위해.

제안 방법

• GraphSAGE, 즉 유도적 그래프 신경망을 활용하여 이웃 정보를 기반으로 프로벤런스 그래프 내에서 개별 정상 노드의 구조적 및 맥락적 역할을 학습한다.
• 다양한 종류의 정상 노드(예: 프로세스, 파일)에 대해 별도의 서브모델을 학습하는 다중 모델 프레임워크를 도입하여 데이터 불균형 문제를 해결하고 탐지 민감도를 향상시킨다.
• 학습된 정상 역할에서 벗어난 노드를 확률 기반 점수 기반으로 식별하여 잠재적 위협으로 표시한다.
• 실시간으로 프로벤런스 그래프를 점진적으로 처리하여 장기적인 호스트 세션 동안 침입 활동을 조기에 탐지할 수 있도록 한다.
• 완전한 재학습 없이도 새로운 정상 프로벤런스 데이터를 사용해 모델을 점진적으로 업데이트할 수 있도록 하여 시스템 워크로드의 변화에 적응할 수 있도록 한다.
• 관리자가 수동으로 검증하고 정상적인 오류 경고를 억제할 수 있도록 화이트리스트 메커니즘을 통합하여 가짜 경고를 줄인다.

Figure 1: A toy example of a provenance graph, which contains host-based intrusion behaviour.

실험 결과

연구 질문

• RQ1 프로벤런스 그래프에서 노드 수준 이상 탐지 기법이 도청성 위협에 대해 기존의 그래프 수준 또는 경로 수준 탐지 방법보다 뛰어난 성능을 보일 수 있는가?
• RQ2 공격 서명 없이도 대규모 프로벤런스 그래프에서 미세하고 낮은 확률의 이상 현상을 탐지하기 위해 그래프 신경망을 어떻게 적응시킬 수 있는가?
• RQ3 다중 모델 프레임워크가 다양한 정상 시스템 행동을 포함한 데이터 불균형 문제를 효과적으로 다루고 탐지 성능을 향상시킬 수 있는가?
• RQ4 장기적인 프로덕션 호스트 모니터링 환경에서 실시간 성능과 낮은 자원 오버헤드를 얼마나 오랫동안 유지할 수 있는가?
• RQ5 시스템이 비정상 노드를 정확히 추적하고 국소화하여 사고 대응에 활용 가능한 통찰을 제공할 수 있는가?

주요 결과

• threaTrace는 세 개의 공개 데이터셋에서 최신 기술 대비 세 개의 APT 탐지 시스템을 모두 앞서며, 도청성이고 저조도의 위협에 대해 뛰어난 탐지 정확도를 입증했다.
• 시스템은 높은 처리 속도와 수용 가능한 시스템 자원 오버헤드를 확보하여 장기적인 호스트에서 실시간 배포가 가능하다.
• 다중 모델 프레임워크는 다양한 정상 노드 유형의 역할을 별도로 학습함으로써 데이터 불균형 상황에서 특히 뛰어난 탐지 성능 향상을 이끌어냈다.
• threaTrace는 학습된 정상 행동 패턴에서의 이탈을 식별함으로써 APT 캠프aign 및 악성코드 임플란트에 관여한 비정상 노드를 성공적으로 탐지하고 추적할 수 있었다.
• 화이트리스트 메커니즘의 통합으로 노드 수가 많은 그래프에서 특히 가짜 경고가 줄었으며, 장기적인 적응성을 확보하기 위해 점진적인 모델 업데이트를 지원했다.
• 평가 결과, threaTrace는 대규모 프로벤런스 그래프 내에서 비정상 노드 수가 적더라도 위협을 초기 단계에서 탐지할 수 있었다.

Figure 2: The overview of components in threaTrace . ①: Data Provenance Generator; ②: Data Storage; ③: Model; ④: Alert and Trace.