[论文解读] FRAPpuccino: Fault-detection through Runtime Analysis of Provenance

Xueyuan Han, Thomas Pasquier+3 more|arXiv (Cornell University)|Nov 30, 2017

Network Security and Intrusion Detection参考文献 29被引用 25

一句话总结

FRAPpuccino (FRAP) 是一种基于溯源的运行时故障与入侵检测系统，适用于平台即服务（PaaS）环境，通过有向无环溯源图建模正常应用程序行为。通过应用动态滑动窗口算法从溯源数据中提取特征向量并进行聚类，FRAP 能够以高精度检测异常，提供一种无需代码插桩、可扩展的解决方案，用于识别大规模云应用中的行为偏差。

ABSTRACT

We present FRAPpuccino (or FRAP), a provenance-based fault detection mechanism for Platform as a Service (PaaS) users, who run many instances of an application on a large cluster of machines. FRAP models, records, and analyzes the behavior of an application and its impact on the system as a directed acyclic provenance graph. It assumes that most instances behave normally and uses their behavior to construct a model of legitimate behavior. Given a model of legitimate behavior, FRAP uses a dynamic sliding window algorithm to compare a new instance's execution to that of the model. Any instance that does not conform to the model is identified as an anomaly. We present the FRAP prototype and experimental results showing that it can accurately detect application anomalies.

研究动机与目标

• 解决在传统系统调用方法难以奏效的大规模 PaaS 环境中，检测运行时故障与网络攻击日益增长的挑战。
• 开发一种可扩展的、无需插桩的异常检测系统，利用端到端的溯源数据实现全面的行为建模。
• 通过流式处理、动态滑动窗口机制处理溯源数据，实现实时异常检测。
• 通过捕获系统级交互，包括进程间与跨机器依赖关系，而非依赖孤立的系统调用序列，提升检测精度。

提出的方法

• FRAP 从溯源数据构建带标签的有向无环图（DAG），表示进程、系统实体与用户之间的交互。
• 采用受 Weisfeiler-Lehman 图核启发的重标记机制，将溯源 DAG 映射为 n 维空间中的特征向量。
• 通过动态滑动窗口算法实时处理流入的溯源数据流，实现实时在线检测，无需存储完整的溯源历史。
• 系统对正常实例的特征向量进行聚类，构建合法行为模型，并利用统计方法检测显著偏差。
• FRAP 利用 CamFlow 进行溯源数据捕获，使用 GraphChi 实现高效图处理，支持在分布式系统中进行可扩展分析。
• 通过完全依赖系统级溯源数据，避免应用插桩，使其可部署于异构、多进程的云应用环境中。

实验结果

研究问题

• RQ1 是否可以有效利用溯源数据，在无需应用插桩的情况下，对大规模 PaaS 应用的正常行为进行建模？
• RQ2 如何高效地将溯源图转换为紧凑、可分析的特征向量，以支持实时异常检测？
• RQ3 在云环境中，对溯源数据采用动态滑动窗口方法是否能实现低延迟、可扩展的运行时异常检测？
• RQ4 与基于系统调用的行为分析相比，基于溯源的检测在识别故障与入侵时的准确性如何？
• RQ5 端到端系统交互建模在检测复杂、多进程异常方面发挥什么作用，这些异常常被单进程分析所遗漏？

主要发现

• FRAP 成功利用正常实例的溯源数据建模合法应用行为，实现对异常执行的精确检测。
• 通过聚类源自溯源 DAG 的特征向量，系统实现高检测精度，偏离正常聚类的偏差表明可能存在故障或入侵。
• 动态滑动窗口机制实现了对大规模溯源数据流的高效、实时处理，且存储开销可控。
• 通过使用端到端溯源数据而非整理后的事件日志，FRAP 获得了更全面的系统交互视图，提升了对复杂、分布式异常的检测能力。
• 该方法通过整合系统实体与操作之间的上下文关系，优于传统基于系统调用的模型。
• 该框架无需应用插桩即可部署，适用于生产环境中的 PaaS 系统。