[论文解读] APTSHIELD: A Stable, Efficient and Real-time APT Detection System for Linux Hosts

Tiantian Zhu, Jinkai Yu+8 more|arXiv (Cornell University)|Dec 16, 2021

Network Security and Intrusion Detection被引用 5

一句话总结

APTSHIELD 是一个针对 Linux 主机的实时、高效且稳定的 APT 检测系统，通过基于审计的内核数据收集、冗余语义跳过和不可行节点剪枝技术降低系统开销，同时利用基于 ATT&CK 的标签迁移与聚合框架实现实时攻击检测。该系统具备低误报率，且在内存和 CPU 效率方面优于 Conan、Sleuth 和 Holmes 等现有工具，在针对 Web 攻击、无文件攻击和远程访问木马攻击的检测中表现出强大的检测能力。

ABSTRACT

Advanced Persistent Threat (APT) attack usually refers to the form of long-term, covert and sustained attack on specific targets, with an adversary using advanced attack techniques to destroy the key facilities of an organization. APT attacks have caused serious security threats and massive financial loss worldwide. Academics and industry thereby have proposed a series of solutions to detect APT attacks, such as dynamic/static code analysis, traffic detection, sandbox technology, endpoint detection and response (EDR), etc. However, existing defenses are failed to accurately and effectively defend against the current APT attacks that exhibit strong persistent, stealthy, diverse and dynamic characteristics due to the weak data source integrity, large data processing overhead and poor real-time performance in the process of real-world scenarios. To overcome these difficulties, in this paper we propose APTSHIELD, a stable, efficient and real-time APT detection system for Linux hosts. In the aspect of data collection, audit is selected to stably collect kernel data of the operating system so as to carry out a complete portrait of the attack based on comprehensive analysis and comparison of existing logging tools; In the aspect of data processing, redundant semantics skipping and non-viable node pruning are adopted to reduce the amount of data, so as to reduce the overhead of the detection system; In the aspect of attack detection, an APT attack detection framework based on ATT\&CK model is designed to carry out real-time attack response and alarm through the transfer and aggregation of labels. Experimental results on both laboratory and Darpa Engagement show that our system can effectively detect web vulnerability attacks, file-less attacks and remote access trojan attacks, and has a low false positive rate, which adds far more value than the existing frontier work.

研究动机与目标

• 解决现有 EDR 系统在 Linux 环境下的局限性，包括数据源完整性弱、计算开销高以及实时性能差等问题。
• 克服传统基于签名和启发式检测方法难以发现隐蔽、持久且动态的 APT 攻击的挑战。
• 设计一种系统，确保从内核级审计事件中可靠地收集语义丰富的数据，以实现全面的攻击画像。
• 通过实时数据优化技术（如冗余语义跳过和不可行节点剪枝）最小化检测系统的开销。
• 通过基于 MITRE ATT&CK 框架的上下文感知标签迁移与聚合机制，实现实时响应和准确告警生成。

提出的方法

• 利用 Linux 审计子系统收集稳定、细粒度的内核级系统事件，具备高语义保真度，确保数据完整性和完整性。
• 在数据摄入阶段应用冗余语义跳过技术，消除语义相同或低价值的事件，降低数据量和处理负载。
• 在运行时实施不可行节点剪枝，移除攻击图中无关或不可达的节点，提升检测效率。
• 基于 MITRE ATT&CK 框架实现标签传播机制，通过上下文感知的标签迁移与聚合，建模攻击链。
• 集成实时检测逻辑，关联系统、进程和文件层级的标记行为，识别多阶段 APT 攻击活动。
• 通过上下文语义分析避免因孤立可疑行为导致的误报，要求行为序列与已知 APT 战术匹配。

实验结果

研究问题

• RQ1 如何在不损害系统性能的前提下，使基于 Linux 的 APT 检测系统确保从内核级审计事件中实现稳定且高完整性数据收集？
• RQ2 哪些技术能有效降低实时 APT 检测中的数据处理开销，同时保留语义丰富性以实现准确的攻击关联？
• RQ3 基于 ATT&CK 框架的标签迁移与聚合机制在多阶段 APT 攻击检测中如何实现实时检测并保持低误报率？
• RQ4 与 Conan、Sleuth 和 Holmes 等现有工具相比，冗余语义跳过和不可行节点剪枝技术在内存和 CPU 开销方面可降低多少？
• RQ5 该系统如何处理正常系统行为引起的误报以及标签传播中的污染传播问题，同时不牺牲检测灵敏度？

主要发现

• 与 Conan 相比，APTSHIELD 在实验环境和 DARPA Engagement 数据集上分别将内存使用量降低 30–50%，CPU 使用量降低 10–20%，展现出更优的效率。
• 在 DARPA Engagement 数据集上，APTSHIELD 的内存使用量始终低于 140 MB，而 Holmes 最高达到 1 GB，相比 Holmes 实现了 20% 的开销降低。
• 通过上下文标签迁移技术，系统实现了低误报率，避免将认证过程中对 /etc/passwd 的访问等正常行为误判为异常。
• APTSHIELD 成功以高精度和实时响应能力检测到 Web 漏洞攻击、无文件攻击和远程访问木马攻击。
• 系统的标签传播机制通过严格执行标签规则（尤其针对系统守护进程）有效缓解了污染传播问题。
• 与 Sleuth 和 Holmes 相比，APTSHIELD 在大规模数据集上仍保持稳定性能，内存使用量呈次线性增长，而 Holmes 则呈现近乎线性增长。