[论文解读] Hands Off my Database: Ransomware Detection in Databases through Dynamic Analysis of Query Sequences

Lukas Iffländer, Alexandra Dmitrienko+3 more|arXiv (Cornell University)|Jul 15, 2019

Advanced Malware Detection Techniques参考文献 35被引用 6

一句话总结

该论文提出了DIMAS，首个用于数据库服务器端勒索病毒的运行时检测系统，采用彩色佩特里网（CPNs）分析所有用户连接的动态查询序列。其在MySQL插件原型中实现了低于5%的性能开销下100%的检测准确率，有效识别出类似擦除型勒索病毒的恶意删除与插入模式，且无误报或漏报。

ABSTRACT

Ransomware is an emerging threat which imposed a \$ 5 billion loss in 2017 and is predicted to hit \$ 11.5 billion in 2019. While initially targeting PC (client) platforms, ransomware recently made the leap to server-side databases - starting in January 2017 with the MongoDB Apocalypse attack, followed by other attack waves targeting a wide range of DB types such as MongoDB, MySQL, ElasticSearch, Cassandra, Hadoop, and CouchDB. While previous research has developed countermeasures against client-side ransomware (e.g., CryptoDrop and ShieldFS), the problem of server-side ransomware has received zero attention so far. In our work, we aim to bridge this gap and present DIMAQS (Dynamic Identification of Malicious Query Sequences), a novel anti-ransomware solution for databases. DIMAQS performs runtime monitoring of incoming queries and pattern matching using Colored Petri Nets (CPNs) for attack detection. Our system design exhibits several novel techniques to enable efficient detection of malicious query sequences globally (i.e., without limiting detection to distinct user connections). Our proof-of-concept implementation targets MySQL servers. The evaluation shows high efficiency with no false positives and no false negatives and very moderate performance overhead of under 5%. We will publish our data sets and implementation allowing the community to reproduce our tests and compare to our results.

研究动机与目标

• 为应对针对MySQL、MongoDB和Cassandra等数据库的新兴服务器端勒索病毒威胁。
• 开发一种运行时检测机制，可全局识别恶意查询序列，且独立于用户会话。
• 克服现有客户端勒索病毒检测技术的局限性，这些技术不适用于删除而非加密数据的数据库擦除工具。
• 设计一种可扩展、高效且可扩展的检测框架，与现有数据库系统兼容。
• 提供MySQL的原型实现，开放数据集与代码以支持可复现性。

提出的方法

• 使用彩色佩特里网（CPNs）将恶意攻击行为建模为数据库查询序列，实现跨多个用户连接的模式匹配。
• 通过新型技术扩展CPN形式化方法，以降低系统复杂度并提升检测效率。
• 将检测逻辑实现为MySQL插件，实现与现有数据库服务器的无缝集成。
• 在运行时捕获并分析实时查询序列，以检测与正常行为的偏差。
• 通过规则匹配查询模式（如数据枚举、表删除和勒索信息插入）与预定义攻击模型进行比对。
• 通过高效的状体表示和查询处理，优化系统以实现低性能开销。

实验结果

研究问题

• RQ1 能否通过查询序列的动态分析，在数据库中实现高准确率且低开销的服务器端勒索病毒攻击检测？
• RQ2 如何设计一种检测系统，可全局监控恶意查询模式，而不受单个用户会话的限制？
• RQ3 彩色佩特里网在多大程度上可被扩展，以建模并检测数据库工作负载中复杂的多步骤勒索病毒攻击序列？
• RQ4 所提出的解决方案能否在保持可接受性能开销的同时，实现高检测精度（无误报或漏报）？
• RQ5 该框架是否具备可扩展性，可用于检测除勒索病毒外的其他类型恶意数据库查询序列？

主要发现

• 在真实世界勒索病毒攻击模式的评估中，DIMAQS实现了100%的检测准确率，无误报或漏报。
• 在非优化实现中，系统性能开销低于5%，证明了其强大的实际可行性。
• 彩色佩特里网的使用实现了对所有用户连接的恶意查询序列的全局检测，克服了先前方法在会话边界上的限制。
• 该解决方案可作为MySQL插件部署，便于集成到现有数据库基础设施中。
• 作者发布了其数据集和实现代码，以支持可复现性与未来基准测试。
• 该框架具备可扩展性，可扩展至勒索病毒以外的其他恶意查询模式，通过类似模式匹配技术实现检测。