[论文解读] Cyberattack Action-Intent-Framework for Mapping Intrusion Observables

Stephen Moskal, Shanchieh Jay Yang|arXiv (Cornell University)|Feb 18, 2020

Information and Cyber Security参考文献 2被引用 8

一句话总结

本文提出了动作-意图框架（AIF），一种两级模型，将入侵检测系统（IDS）可观测行为映射到攻击者动作与意图。该框架引入宏观-AIS（Macro-AIS）以表示高层次攻击目标（如权限提升、数据外泄），以及微观-AIS（Micro-AIS）以表示可观测的技术级动作，弥合了低级别IDS告警与高层次网络安全威胁框架（如MITRE ATT&CK）之间的差距。

ABSTRACT

The techniques and tactics used by cyber adversaries are becoming more sophisticated, ironically, as defense getting stronger and the cost of a breach continuing to rise. Understanding the thought processes and behaviors of adversaries is extremely challenging as high profile or even amateur attackers have no incentive to share the trades associated with their illegal activities. One opportunity to observe the actions the adversaries perform is through the use of Intrusion Detection Systems (IDS) which generate alerts in the event that suspicious behavior was detected. The alerts raised by these systems typically describe the suspicious actions via the form of attack 'signature', which do not necessarily reveal the true intent of the attacker performing the action. Meanwhile, several high level frameworks exist to describe the sequence or chain of action types an adversary might perform. These frameworks, however, do not connect the action types to observables of standard intrusion detection systems, nor describing the plausible intents of the adversarial actions. To address these gaps, this work proposes the Action-Intent Framework (AIF) to complement existing Cyber Attack Kill Chains and Attack Taxonomies. The AIF defines a set of Action-Intent States (AIS) at two levels of description: the Macro-AIS describes 'what' the attacker is trying to achieve and the Micro-AIS describes "how" the intended goal is achieved. A full description of both the Macro is provided along with a set of guiding principals of how the AIS is derived and added to the framework.

研究动机与目标

• 解决现有网络安全威胁框架中IDS告警与攻击者意图之间缺乏映射的问题。
• 弥合低级别入侵检测可观测行为与高级别攻击战术之间的语义鸿沟。
• 提供一种结构化、可扩展的框架，将可观测动作（通过IDS签名实现）与攻击者目标和行为相连接。
• 通过基于攻击者意图而非孤立签名的检测与响应，支持主动网络安全防御。

提出的方法

• 提出两级动作-意图状态（AIS）模型：宏观-AIS用于表示高层次攻击目标，微观-AIS用于表示可观测的技术级动作。
• 将IDS签名（如来自Suricata和Snort的签名）映射到微观-AIS，将抽象的攻击行为与真实世界的可观测行为相联系。
• 通过基于对抗行为模式和已知攻击杀伤链的系统化方法推导AIS状态。
• 将宏观-AIS与MITRE ATT&CK战术对齐，但扩展覆盖范围，包括侦察和零日阶段。
• 使用攻击动作分类法定义12个核心宏观-AIS类别，包括侦察、权限提升和数据破坏等。
• 建立AIS推导与扩展的指导原则，确保在不同网络环境中的一致性与可扩展性。

实验结果

研究问题

• RQ1 如何将IDS告警语义化地映射到攻击者意图，以提升威胁检测能力？
• RQ2 构成对抗行为的关键高层次目标（宏观-AIS）和可观测动作（微观-AIS）是什么？
• RQ3 AIF如何弥合低级别IDS签名与高级别威胁框架（如MITRE ATT&CK）之间的差距？
• RQ4 AIF能否通过从可观测网络行为中建模攻击者意图，支持主动防御？
• RQ5 AIF如何在保持不同网络配置下一致性的同时，处理攻击者战术的变异性？

主要发现

• AIF成功将295个MITRE ATT&CK技术映射到12个宏观-AIS及相应的微观-AIS状态，支持意图感知分析。
• 该框架能够将IDS告警映射到攻击者目标（如权限提升或数据外泄），提升检测上下文理解。
• 微观-AIS设计独立于特定操作系统、服务或网络配置，增强了在不同环境中的通用性。
• 通过识别可观测动作背后的意图，该框架支持在杀伤链更早阶段进行检测，实现更早干预。
• AIF提供了一种结构化、可扩展的模型，增强了威胁情报关联与自动化响应系统的能力。
• 该方法支持AIS状态的一致推导与扩展，有助于与现有安全监控流水线集成。