[논문 리뷰] Provenance-based Intrusion Detection: Opportunities and Challenges

Xueyuan Han, Thomas Pasquier외 1명|arXiv (Cornell University)|2018. 06. 04.

Network Security and Intrusion Detection참고 문헌 9인용 수 8

한 줄 요약

이 논문은 시스템 실행을 방향성 없는 사이클 없는 증명 그래프로 모델링함으로써, 공격 벡터에 관계없이 강건한 시스템 보안을 위한 증명 기반 침입 탐지 기법을 제안한다. 그래프 기반 이상 탐지 기법을 이용해 전체 시스템의 증명 데이터를 분석함으로써 은밀하고 장기적인 공격을 탐지할 수 있음을 입증하였지만, 확장성, 실시간 처리, 데이터셋 기준화 측면에서 여전히 도전 과제가 존재한다.

ABSTRACT

Intrusion detection is an arms race; attackers evade intrusion detection systems by developing new attack vectors to sidestep known defense mechanisms. Provenance provides a detailed, structured history of the interactions of digital objects within a system. It is ideal for intrusion detection, because it offers a holistic, attack-vector-agnostic view of system execution. As such, provenance graph analysis fundamentally strengthens detection robustness. We discuss the opportunities and challenges associated with provenance-based intrusion detection and provide insights based on our experience building such systems.

연구 동기 및 목표

• ゼ로데이 및 고도의 지속적 위협에 대응하지 못하는 전통적인 악성코드 기반 및 서명 기반 침입 탐지 시스템의 한계를 해결한다.
• 세밀한 전체 시스템 증명 데이터를 활용해 완전한 실행 추적을 모델링함으로써 통합적이고 원인 기반의 탐지 기능을 제공한다.
• 객체 간 의존성을 포괄하는 구조화된 증명 그래프를 사용함으로써 감사 로그 기반 이상 탐지의 단점을 보완한다.
• 증명 기반 IDS 배포 과정에서 발생하는 주요 과제—확장성, 실시간 성능, 레이블이 부여된 데이터셋 부족—를 식별하고 해결한다.
• 도메인 특화 통찰과 시스템 통합을 통해 증명 그래프를 공식화하고 증명 기반 IDS를 평가하기 위한 기반을 마련한다.

제안 방법

• 노드가 데이터 객체, 활동, 에이전트를 나타내고, 간선이 원인 관계를 나타내는 방향성 없는 사이클 없는 그래프(DAG)로 시스템 실행을 모델링한다.
• 호스트 기반 침입 탐지를 그래프 기반 이상 탐지 문제로 재정의함: 학습된 정상 모델에서 크게 벗어난 부분 그래프를 식별한다.
• 증명 그래프의 불변성 특성을 활용해 이전 기록을 재처리할 필요 없이 증가적이고 단방향 원인 추론이 가능하게 하여 효율적인 분석을 가능하게 한다.
• 사건의 희귀성, 데이터 플로우 종료 등 도메인 특화 히우리스틱을 적용해 복잡한 증명 부분 그래프를 우선순위 정렬하고 요약한다.
• 실시간 분석을 위해 부분 그래프 동일성 검사와 같은 NP-완전 문제를 피하고, 효율적인 다항 시간 알고리즘(예: 그래프 커널)을 사용한다.
• IDS 기준 평가를 위한 재현 가능한 증명 데이터셋을 생성하기 위해 Vagrant를 활용한 가상화 실험 프레임워크를 개발한다.

실험 결과

연구 질문

• RQ1 증명 그래프는 어떻게 기존 서명 기반 시스템에서 탈피하는 은밀하고 장기적인 공격을 탐지할 수 있는가?
• RQ2 전체 시스템 및 실시간 배포를 고려할 때 증명 기반 침입 탐지의 확장성에 있어 핵심 과제는 무엇인가?
• RQ3 증명 그래프 분석은 시스템 구성 요소 간 장거리 원인 관계를 포괄함으로써 공격자에 대한 강건성을 어떻게 향상시킬 수 있는가?
• RQ4 침입 탐지에서 평면적 감사 로그와 원천 증명 캡처 방식의 한계는 무엇인가?
• RQ5 부분 그래프를 '침입적'으로 분류하는 데 있어 복잡성으로 인해, 신뢰할 수 있고 레이블이 부여된 기준 데이터셋을 어떻게 구축할 수 있는가?

주요 결과

• 증명 그래프는 공격 벡터에 관계없이 전체적인 시스템 실행을 통합적으로 모니터링할 수 있으며, 복잡한 다단계 실행 흐름을 악용하는 고도의 공격도 탐지할 수 있다.
• 증명 그래프의 불변성 덕분에 이전 기록 재처리가 필요 없이 증가적이고 효율적인 분석이 가능해져 실시간 탐지가 간소화된다.
• LSM 인터페이스를 통한 전체 시스템 증명 캡처는 모든 보안 관련 상호작용을 완전하고 검증 가능하게 기록함으로써 탐지 커버리지가 향상된다.
• 감사 로그의 고차원 공간에서의 점 기반 이상 탐지보다 증명 그래프 기반 이상 탐지 기법이 구조적 의존성을 모델링함으로써 성능이 뛰어나다.
• 증명 그래프의 복잡성(예: 단일 sshd 명령어가 수천 개의 시스템 호출을 생성함)은 분석 효율성을 유지하기 위해 지능적인 요약 기법이 필요하다.
• 레이블이 부여되고 기준 수준에 도달한 증명 데이터셋의 부족은 이 분야에서 IDS 성능 평가 및 비교에 있어 주요 장벽으로 남아 있다.