[论文解读] ATHAFI: Agile Threat Hunting And Forensic Investigation

Rami Puzis, Polina Zilberman+1 more|arXiv (Cornell University)|Mar 7, 2020

Digital and Cyber Forensics参考文献 19被引用 6

一句话总结

ATHAFI 是一个半自动框架，通过使用网络安全威胁情报（CTI）和攻击指标（IoAs）动态生成攻击假设和可定制的工作流程，从而增强敏捷威胁狩猎和 forensics（取证）调查。它集成商用现成工具（McAfee ePO、Splunk），实现有针对性的数据收集、工作流程自动化执行，并实时适应新兴威胁，显著提升分析师工作效率，减少在检测高级持续性威胁方面的手动工作量。

ABSTRACT

Attackers rapidly change their attacks to evade detection. Even the most sophisticated Intrusion Detection Systems that are based on artificial intelligence and advanced data analytic cannot keep pace with the rapid development of new attacks. When standard detection mechanisms fail or do not provide sufficient forensic information to investigate and mitigate attacks, targeted threat hunting performed by competent personnel is used. Unfortunately, many organization do not have enough security analysts to perform threat hunting tasks and today the level of automation of threat hunting is low. In this paper we describe a framework for agile threat hunting and forensic investigation (ATHAFI), which automates the threat hunting process at multiple levels. Adaptive targeted data collection, attack hypotheses generation, hypotheses testing, and continuous threat intelligence feeds allow to perform simple investigations in a fully automated manner. The increased level of automation will significantly boost the analyst's productivity during investigation of the harshest cases. Special Workflow Generation module adapts the threat hunting procedures either to the latest Threat Intelligence obtained from external sources (e.g. National CERT) or to the likeliest attack hypotheses generated by the Attack Hypotheses Generation module. The combination of Attack Hypotheses Generation and Workflows Generation enables intelligent adjustment of workflows, which react to emerging threats effectively.

研究动机与目标

• 通过自动化重复性和复杂性高的威胁狩猎任务，应对安全分析师人才短缺的问题。
• 减少手动工作量，提升对高级持续性威胁（APTs）和隐蔽攻击的可扩展性调查能力。
• 通过动态对齐狩猎流程与实时威胁情报及攻击假设，实现持续、自适应的取证调查。
• 将多种安全工具（SIEM、EDR、SOAR）整合到统一、可扩展的框架中，实现自动化威胁狩猎。
• 通过自动化假设生成和工作流程编排，提升威胁狩猎的响应速度和准确性。

提出的方法

• 使用集中式 C&C 服务器协调跨分布式系统的威胁狩猎工作流程。
• 采用攻击假设生成（AHG）模块，基于 IoAs 和威胁情报，利用相似性启发式算法对潜在攻击模式进行排序，以匹配攻击行为。
• 利用工作流程生成（WG）模块，为最新的 CTI 或排名靠前的攻击假设生成可执行、分布式的狩猎工作流程。
• 使用工作流程执行容器（WF-Container），通过隔离的 API 安全封装与 ePO 和 Splunk 的交互，确保工作流程的安全执行。
• 集成商用工具：McAfee ePO 用于基于代理的数据收集和策略执行，Splunk Enterprise 用于 SIEM、关联分析和告警。
• 采用标准化的 AttackDB 模式，对来自多个来源的 CTI 进行规范化存储，支持一致的分析与假设生成。

实验结果

研究问题

• RQ1 如何实现威胁狩猎的自动化，以减少对高技能分析师的依赖，同时保持对不断演变威胁的有效应对？
• RQ2 在多大程度上可以基于历史攻击模式和当前威胁情报，自动生成功能并排序攻击假设？
• RQ3 如何在不进行手动重新配置的情况下，动态调整取证调查的工作流程以适应新的威胁指标？
• RQ4 需要哪些架构组件，才能将异构安全工具整合为一个统一、自动化的威胁狩猎流水线？
• RQ5 与手动方法相比，半自动框架是否能显著提升检测高级持续性威胁的速度和准确性？

主要发现

• ATHAFI 自动化了威胁狩猎循环的大部分环节，减少了手动工作量，提升了取证调查的可扩展性。
• 该框架通过基于最新威胁情报或最可能的攻击假设的动态工作流程生成，实现了狩猎流程的实时自适应。
• 通过集成 McAfee ePO 和 Splunk，ATHAFI 实现了在企业环境中安全、可扩展且可扩展的数据收集与分析。
• 使用标准化的 AttackDB 模式，可实现对多样化来源 CTI 的一致规范化与利用，提升假设生成的准确性。
• WF-Container 通过隔离对 ePO 和 Splunk API 的直接访问，确保了工作流程的安全执行，增强了系统完整性。
• 该框架表明，结合 CTI、假设生成与自动化工作流程，可显著提升分析师在检测复杂、隐蔽攻击时的生产力。