[論文レビュー] threaTrace: Detecting and Tracing Host-based Threats in Node Level Through Provenance Graph Learning

Su Wang, Zhiliang Wang+7 more|arXiv (Cornell University)|Nov 8, 2021

Network Security and Intrusion Detection被引用数 8

ひとこと要約

threaTrace は、データプロバンセンスグラフにおける健全なエンティティの役割を学習する GraphSAGE を用いたマルチモデルフレームワークを採用する、リアルタイムでノードレベルのホストインシデント検出システムであり、攻撃パターンの事前知識が不要なまま、APT やマルウェアインプラントなどの洗練された持続的脅威を高精度で検出・局所化できる。3つの公開データセットにおいて最先端のシステムを上回る性能を発揮しながら、低システムオーバーヘッドを維持している。

ABSTRACT

Host-based threats such as Program Attack, Malware Implantation, and Advanced Persistent Threats (APT), are commonly adopted by modern attackers. Recent studies propose leveraging the rich contextual information in data provenance to detect threats in a host. Data provenance is a directed acyclic graph constructed from system audit data. Nodes in a provenance graph represent system entities (e.g., $processes$ and $files$) and edges represent system calls in the direction of information flow. However, previous studies, which extract features of the whole provenance graph, are not sensitive to the small number of threat-related entities and thus result in low performance when hunting stealthy threats. We present threaTrace, an anomaly-based detector that detects host-based threats at system entity level without prior knowledge of attack patterns. We tailor GraphSAGE, an inductive graph neural network, to learn every benign entity's role in a provenance graph. threaTrace is a real-time system, which is scalable of monitoring a long-term running host and capable of detecting host-based intrusion in their early phase. We evaluate threaTrace on three public datasets. The results show that threaTrace outperforms three state-of-the-art host intrusion detection systems.

研究の動機と目的

• 従来のグラフレベルの異常検出手法で回避される、洗練された持続的ホストベースの脅威（APT やマルウェアインプラントなど）を検出する課題に対処すること。
• 攻撃パターンの事前知識が不要な状態で、データプロバンセンスグラフ内の異常エンティティをノードレベルで検出・正確にトレースすること。
• 実世界の多様な健全な動作を示すシステムにおいて、データのアンバランスを克服し、検出性能を向上させること。
• 生産環境のホストに長期的に展開可能な、スケーラブルでリアルタイムなシステムを設計し、計算およびメモリオーバーヘッドを許容範囲に抑えること。
• 企業および政府環境での実用的展開を可能にする、包括的かつオープンソースの検出およびトレースフレームワークを提供すること。

提案手法

• グラフニューラルネットワークのインダクティブな手法である GraphSAGE をカスタマイズし、近隣情報に基づいてプロバンセンスグラフ内の個々の健全なノードの構造的・文脈的役割を学習する。
• 異なる種類の健全なノード（例：プロセス、ファイル）に対して個別にサブモデルを学習するマルチモデルフレームワークを採用し、データのアンバランスを是正するとともに検出感度を向上させる。
• 確率ベースのスコアリング機構を用いて、学習済みの健全な役割から逸脱するノードを特定し、潜在的な脅威としてマークする。
• リアルタイムでプロバンセンスグラフを段階的に処理することで、長時間にわたるホストセッション中に侵入行動を早期に検出できる。
• 完全な再トレーニングなしに、新たな健全なプロバンセンスデータを用いてモデルを段階的に更新可能であり、変化するワークロードに適応できる。
• ホワイトリストメカニズムを統合し、誤検出を低減。管理者が手動で正当な誤検出を検証・抑制できる。

Figure 1: A toy example of a provenance graph, which contains host-based intrusion behaviour.

実験結果

リサーチクエスチョン

• RQ1 プロバンセンスグラフにおけるノードレベルの異常検出アプローチは、洗練された脅威に対して、従来のグラフレベルやパスレベルの検出手法を上回ることができるか？
• RQ2 攻撃シグネチャが事前に与えられていない状態で、大規模なプロバンセンスグラフにおける微細で低確率の異常をグラフニューラルネットワークがどのように検出できるか？
• RQ3 マルチモデルフレームワークは、データのアンバランスを効果的に処理し、多様な健全なシステム動作を示す環境でも検出性能を向上させることができるか？
• RQ4 生産ホストの長期監視において、システムはリアルタイム性能と低リソースオーバーヘッドをどの程度維持できるか？
• RQ5 システムは異常ノードを正確にトレース・局所化でき、インcidet対応に役立つインサイトを提供できるか？

主な発見

• threaTrace は、3つの公開データセットにおいて、3つの最先端のAPT検出システムを上回り、洗練された低可視性の脅威に対して優れた検出精度を示した。
• 高い処理速度と許容範囲内のシステムリソースオーバーヘッドを達成しており、長時間稼働するホストにおけるリアルタイム展開が可能である。
• マルチモデルフレームワークにより、異なる健全なノードタイプの役割を別個に学習することで、特にデータのアンバランスが顕著な状況下でも検出性能が顕著に向上した。
• threaTrace は、APTキャンペーンやマルウェアインストールに関与するノードの異常を、学習済みの健全な動作パターンからの逸脱として正確に検出・トレースした。
• ホワイトリストの統合により、ノード数が多いグラフにおいても誤検出が低減され、長期的な適応性を確保するための段階的モデル更新が可能になった。
• 評価結果から、threaTrace は、大規模なプロバンセンスグラフ内にわずか数個の異常ノードしか含まない状況でも、脅威を初期段階で検出できることが示された。

Figure 2: The overview of components in threaTrace . ①: Data Provenance Generator; ②: Data Storage; ③: Model; ④: Alert and Trace.