[论文解读] Kairos: Practical Intrusion Detection and Investigation using Whole-system Provenance

Zijun Cheng, Qiujian Lv+5 more|arXiv (Cornell University)|Aug 9, 2023

Network Security and Intrusion DetectionComputer Science被引用 3

一句话总结

Kairos 是首个基于溯源的入侵检测系统，能够同时实现全系统范围、攻击无关性、实时响应和有效的攻击重构。它使用一种新型图神经网络，在流式溯源图中检测异常事件，并以极低的性能开销生成紧凑、人类可读的攻击摘要，其检测准确率和效率均优于现有最先进方法。

ABSTRACT

Provenance graphs are structured audit logs that describe the history of a system's execution. Recent studies have explored a variety of techniques to analyze provenance graphs for automated host intrusion detection, focusing particularly on advanced persistent threats. Sifting through their design documents, we identify four common dimensions that drive the development of provenance-based intrusion detection systems (PIDSes): scope (can PIDSes detect modern attacks that infiltrate across application boundaries?), attack agnosticity (can PIDSes detect novel attacks without a priori knowledge of attack characteristics?), timeliness (can PIDSes efficiently monitor host systems as they run?), and attack reconstruction (can PIDSes distill attack activity from large provenance graphs so that sysadmins can easily understand and quickly respond to system intrusion?). We present KAIROS, the first PIDS that simultaneously satisfies the desiderata in all four dimensions, whereas existing approaches sacrifice at least one and struggle to achieve comparable detection performance. Kairos leverages a novel graph neural network-based encoder-decoder architecture that learns the temporal evolution of a provenance graph's structural changes to quantify the degree of anomalousness for each system event. Then, based on this fine-grained information, Kairos reconstructs attack footprints, generating compact summary graphs that accurately describe malicious activity over a stream of system audit logs. Using state-of-the-art benchmark datasets, we demonstrate that Kairos outperforms previous approaches.

研究动机与目标

• 为解决现有基于溯源的入侵检测系统（PIDSes）存在的关键缺陷，这些系统通常在四个关键维度中的至少一个上做出妥协：范围、攻击无关性、实时性或攻击重构。
• 设计一种系统，实现实时、大规模的全系统溯源图监控，而无需事先了解攻击特征。
• 通过重构简洁、连贯的攻击图，为系统管理员提供细粒度、可操作的洞察，以总结恶意活动。
• 在保持对流式溯源数据高检测准确率的同时，将性能开销降至最低。
• 在单一高效流水线中统一检测、简化与调查层，使其可扩展至企业级环境。

提出的方法

• Kairos 采用基于图神经网络（GNN）的编码器-解码器架构，建模溯源图在时空维度上的演化过程，量化边级别（即系统事件）的异常程度。
• 模型通过学习历史良性执行行为，检测节点行为的偏离，结合动态邻域结构与时间模式，增强上下文感知能力。
• 在溯源图流式传输过程中实时识别异常边，实现低延迟检测，无需离线处理。
• 检测后，Kairos 应用轻量级图简化技术，仅提取并总结最相关的子图，以表示攻击痕迹。
• 在简化过程中保留因果关系与结构完整性，确保重构图既紧凑又语义清晰。
• Kairos 设计为性能开销极低，适用于生产环境的部署。

实验结果

研究问题

• RQ1 基于溯源的入侵检测系统能否在流式数据上实现全系统范围的实时检测？
• RQ2 此类系统能否在不依赖预定义特征或攻击模式的情况下检测新型未知攻击？
• RQ3 系统能否生成紧凑、人类可读的攻击摘要，准确反映恶意活动并缩短管理员调查时间？
• RQ4 是否可能将检测、简化与调查整合到单一高效流水线中，而不损害检测准确率或性能？
• RQ5 在 F1 分数、AUC 和计算开销方面，该系统与现有最先进方法相比，其异常检测能力如何？

主要发现

• Kairos 在基准数据集上达到最先进检测性能，其 F1 分数与 AUC 均优于现有 PIDSes，检测准确率显著高于 ProGrapher 和 SIGL。
• 系统表现出极低的性能开销，支持对长时间运行系统实现实时监控，且不会降低主机性能。
• Kairos 能够成功重构紧凑、连贯的攻击图，准确反映恶意活动，相比手动分析完整溯源图，显著缩短系统管理员的调查时间。
• 模型的边级别异常评分机制实现细粒度检测，能够识别出节点级别或基于签名方法所遗漏的细微行为偏差。
• Kairos 是首个在不做出任何权衡的情况下，同时满足全部四个关键需求——范围、攻击无关性、实时性与攻击重构——的系统。
• 评估结果证实，Kairos 的图简化技术不影响检测准确率，因其仅在检测后应用，且能保留关键的攻击相关子图。