[论文解读] Extended Abstract: Mimicry Resilient Program Behavior Modeling with LSTM based Branch Models

Hayoon Yi, Gyuwan Kim+5 more|arXiv (Cornell University)|Mar 24, 2018

Network Security and Intrusion Detection参考文献 14被引用 5

一句话总结

本文提出了一种抗模仿攻击的程序行为建模方法，通过基于LSTM的分析方式，对利用硬件支持（Intel PT）提取的分支序列进行建模。该方法利用在空操作（no-op）系统调用后分支轨迹的细粒度差异，有效检测出能够逃避传统基于系统调用模型检测的模仿攻击，在真实世界服务器应用程序上实现了高异常检测准确率与低误报率。

ABSTRACT

In the software design, protecting a computer system from a plethora of software attacks or malware in the wild has been increasingly important. One branch of research to detect the existence of attacks or malware, there has been much work focused on modeling the runtime behavior of a program. Stemming from the seminal work of Forrest et al., one of the main tools to model program behavior is system call sequences. Unfortunately, however, since mimicry attacks were proposed, program behavior models based solely on system call sequences could no longer ensure the security of systems and require additional information that comes with its own drawbacks. In this paper, we report our preliminary findings in our research to build a mimicry resilient program behavior model that has lesser drawbacks. We employ branch sequences to harden our program behavior model against mimicry attacks while employing hardware features for efficient extraction of such branch information during program runtime. In order to handle the large scale of branch sequences, we also employ LSTM, the de facto standard in deep learning based sequence modeling and report our preliminary experiments on its interaction with program branch sequences.

研究动机与目标

• 解决基于系统调用的程序行为模型在面对模仿攻击时的脆弱性，此类攻击通过模仿良性序列来逃避检测。
• 探索分支序列作为基于系统调用序列的更鲁棒、低开销的运行时行为建模替代方案。
• 评估使用深度学习（LSTM）对大规模分支序列进行实时建模的可行性。
• 设计并实现一个原型系统（DeePBM），高效捕获分支轨迹并训练LSTM模型以实现异常检测。
• 评估基于分支的模型在检测已知及潜在模仿攻击方面的有效性。

提出的方法

• 利用Intel处理器追踪（PT）在程序执行过程中，以低开销方式完整收集用户态和内核态的分支轨迹。
• 采用长短期记忆（LSTM）网络对高维、大规模的分支序列进行建模，因其在序列建模方面具有强大能力。
• 在真实程序（MySQL、Nagios、ProFTPD）的正常执行轨迹上训练LSTM模型，以学习预期的行为模式。
• 通过困惑度（perplexity）和ROC曲线评估模型在正常序列与注入攻击序列上的性能，以检测异常。
• 利用系统调用后（特别是空操作调用后）的分支轨迹差异，区分良性行为与被模仿的行为。
• 设计并实现一个原型系统DeePBM，集成硬件追踪、序列收集与LSTM模型的实时推理功能。

实验结果

研究问题

• RQ1 通过硬件追踪提取的分支序列是否能有效检测出能够逃避基于系统调用模型检测的模仿攻击？
• RQ2 LSTM模型在真实世界程序的大型复杂分支序列上是否具备良好的泛化能力？
• RQ3 分支序列在多大程度上能揭示系统调用行为中的异常，特别是在空操作系统调用周围？
• RQ4 基于分支的模型是否能在现代服务器应用程序上实现高检测率与低误报率？
• RQ5 分支序列的表达能力在多大程度上限制了新型模仿攻击的可行性？

主要发现

• 基于LSTM的分支模型在正常程序序列上表现出较低的困惑度，表明其与学习到的行为模式高度一致。
• 攻击序列的困惑度始终较高，证明模型具备高灵敏度的异常行为检测能力。
• 模型通过检测在相同系统调用后出现的分支序列差异，成功识别出空操作系统调用，从而实现对模仿攻击的检测。
• 即使在罕见或异常事件（如系统崩溃）情况下，模型也能将其标记为异常，展现出对分布外行为的鲁棒性。
• 所有测试程序的ROC曲线均显示高检测率与低误报率，表明整体性能优异。
• 使用分支序列显著缩小了模仿攻击的攻击面，因为伪造真实分支模式在技术上受到高度限制。