[论文解读] Kidemonas: The Silent Guardian

Rudra Prasad Baksi, Shambhu Upadhyaya|arXiv (Cornell University)|Dec 3, 2017

Network Security and Intrusion Detection参考文献 7被引用 3

一句话总结

Kidemonas 是一种隐蔽的威胁检测与报告架构，旨在无声地识别政府和工业系统中的高级持续性威胁（APTs），而不会惊动攻击者。通过实现隐蔽检测和向管理员的秘密通信，使防御者能够在造成重大损害前观察攻击者的行为并制定对策。

ABSTRACT

Advanced Persistent Threats or APTs are big challenges to the security of government organizations or industry systems. These threats may result in stealth attacks, but if the attack is confronted before the attacker end goal has been achieved, the attackers could become aggressive by changing the mode of attack or by resorting to some form of contingency plan, which might cause unexpected damage. Therefore, the attack detection and the notification to the system administrator should be done surreptitiously. This paper presents an architecture, called Kidemonas, to silently detect the threat and secretly report it to the user or the system administrator. This way the attacker is deceived into carrying out the attack, without sending any clear signal so that the defender can buy time to develop countermeasures to deal with the attack. We consider several attack scenarios and perform a security analysis to demonstrate the features of Kidemonas.

研究动机与目标

• 解决传统检测机制难以察觉的隐蔽高级持续性威胁（APTs）的检测挑战。
• 防止攻击者意识到已被检测，从而避免其采取激进的反制措施或启动应急计划。
• 使系统管理员能够接收隐蔽警报，同时不破坏检测过程的完整性。
• 通过确保检测机制本身不被对手察觉，维持操作安全性。
• 提供一种时间延迟的防御响应框架，通过实时观察攻击者行为而不中断，实现战略防御规划。

提出的方法

• 设计一种以隐蔽模式运行的检测架构，在威胁识别过程中避免任何明显的信号传输。
• 实现隐蔽通信通道，以静默方式将检测到的威胁报告给系统管理员或安全团队。
• 与现有的系统监控和日志机制集成，以检测指示 APT 的异常行为。
• 使用混淆和隐写术技术，隐藏检测与报告活动，防止潜在攻击者察觉。
• 确保检测逻辑在观察到特定预定义的 APT 指示行为之前保持休眠状态。
• 将检测阶段与报告阶段解耦，以最小化在攻击生命周期中暴露的风险。

实验结果

研究问题

• RQ1 如何在不惊动攻击者的情况下检测 APT，从而防止其升级或启动应急响应？
• RQ2 哪些机制能够实现检测模块与系统管理员之间的隐蔽通信？
• RQ3 在保持有效性的前提下，检测系统以何种方式可对高级对手保持隐蔽？
• RQ4 系统在攻击者长期存在的情况下，如何维持其完整性和机密性？
• RQ5 哪些设计原则可确保检测过程不会干扰正常系统运行，也不会触发攻击者的防御行为？

主要发现

• Kidemonas 通过在检测阶段避免任何明显信号，成功实现了 APT 的静默检测。
• 该架构支持将威胁秘密报告给管理员，而不会向攻击者暴露检测机制的存在。
• 安全分析表明，即使在主动对抗性探测下，系统仍能保持不被察觉。
• 该框架使防御者能够随时间观察攻击者的行为，从而实现战略响应规划。
• 通过使用隐写术和混淆通信通道，确保检测报告对攻击者保持隐藏。
• 系统通过在关键指标被触发前保持休眠状态，对常见 APT 手段（如横向移动和数据外泄）具备韧性。