[论文解读] Malicious Behavior Detection using Windows Audit Logs

Konstantin Berlin, David Slater+1 more|arXiv (Cornell University)|Jun 13, 2015

Network Security and Intrusion Detection参考文献 11被引用 5

一句话总结

本文提出了一种低成本、无代理的恶意软件检测系统，利用原生Windows审核日志检测恶意行为，无需额外软件。通过提取行为特征并应用逻辑回归，该方法实现了83%的恶意软件检测率，误报率为0.1%，并识别出商业杀毒软件解决方案遗漏的78%的恶意软件。

ABSTRACT

As antivirus and network intrusion detection systems have increasingly proven insufficient to detect advanced threats, large security operations centers have moved to deploy endpoint-based sensors that provide deeper visibility into low-level events across their enterprises. Unfortunately, for many organizations in government and industry, the installation, maintenance, and resource requirements of these newer solutions pose barriers to adoption and are perceived as risks to organizations' missions. To mitigate this problem we investigated the utility of agentless detection of malicious endpoint behavior, using only the standard build-in Windows audit logging facility as our signal. We found that Windows audit logs, while emitting manageable sized data streams on the endpoints, provide enough information to allow robust detection of malicious behavior. Audit logs provide an effective, low-cost alternative to deploying additional expensive agent-based breach detection systems in many government and industrial settings, and can be used to detect, in our tests, 83% percent of malware samples with a 0.1% false positive rate. They can also supplement already existing host signature-based antivirus solutions, like Kaspersky, Symantec, and McAfee, detecting, in our testing environment, 78% of malware missed by those antivirus systems.

研究动机与目标

• 评估利用原生Windows审核日志作为信号检测恶意行为的可行性，且无需部署额外代理。
• 开发一种可扩展、计算高效的转换方法，将审核日志转化为机器学习可解释的特征。
• 提升对绕过传统基于签名的杀毒解决方案的高级恶意软件的检测能力。
• 验证基于审核日志的检测能否识别出与已知签名无关的恶意行为模式。
• 证明该方法可在具备现有SIEM基础设施的企业环境中以低成本部署。

提出的方法

• 使用标准企业管理系统从模拟的企业环境中收集Windows审核日志。
• 将审核日志事件映射为行为特征，如文件执行、注册表写入以及DLL加载模式。
• 应用逻辑回归（LR）根据特征频率和权重，将日志分类为恶意或良性。
• 通过特征重要性分析识别出高信号行为，如编辑后文件的执行、对杀毒软件日志文件的写入等。
• 在已知恶意软件样本和良性系统操作的数据集上训练分类器，以优化检测率和误报率。
• 使用ROC曲线和低误报率（FPR）区域的真正例率（TPR）估计值评估性能。

实验结果

研究问题

• RQ1 原生Windows审核日志是否能提供足够的行为信号，在不部署代理的情况下检测恶意软件？
• RQ2 基于审核日志特征训练的机器学习模型，在多大程度上能检测出绕过传统杀毒签名的恶意软件？
• RQ3 哪些特定的审核日志事件最能指示恶意行为，且能否由模型自动发现？
• RQ4 基于审核日志的检测性能与商业杀毒解决方案相比，在检测率和误报率方面如何？
• RQ5 该方法是否可扩展，并可无缝集成到现有企业SIEM系统中，且开销极低？

主要发现

• 逻辑回归模型实现了83%的恶意软件样本检测率，误报率为0.1%，表现出高精度和高召回率。
• 该系统检测到了78%的恶意软件样本，而这些样本完全被Kaspersky、Symantec和McAfee等商业杀毒解决方案所遗漏。
• 最重要的三个特征——编辑后文件的执行、对Windows Defender检测日志的写入、对msvbvm60.dll的写入——具有直接可解释性，明确指示恶意行为。
• 特征重要性分析表明，模型更依赖于恶意行为模式而非良性行为模式，证实其专注于检测异常行为。
• 该方法具有可扩展性，可利用现有企业SIEM基础设施部署，无需额外代理或软件安装。
• 尽管存在潜在低估低FPR区域的问题，以及对缓慢移动恶意软件的挑战，该方法仍展现出作为轻量级、互补性防御层的强大潜力。