[论文解读] Provenance-based Intrusion Detection: Opportunities and Challenges

Xueyuan Han, Thomas Pasquier+1 more|arXiv (Cornell University)|Jun 4, 2018

Network Security and Intrusion Detection参考文献 9被引用 8

一句话总结

本文提出基于溯源的入侵检测作为一种稳健的、与攻击向量无关的系统安全方法，通过将系统执行建模为有向无环溯源图来实现。研究表明，对全系统溯源图进行基于图的异常检测，能够通过分析因果依赖关系检测出隐蔽的、长期存在的攻击，但可扩展性、实时处理和数据集基准测试方面仍存在挑战。

ABSTRACT

Intrusion detection is an arms race; attackers evade intrusion detection systems by developing new attack vectors to sidestep known defense mechanisms. Provenance provides a detailed, structured history of the interactions of digital objects within a system. It is ideal for intrusion detection, because it offers a holistic, attack-vector-agnostic view of system execution. As such, provenance graph analysis fundamentally strengthens detection robustness. We discuss the opportunities and challenges associated with provenance-based intrusion detection and provide insights based on our experience building such systems.

研究动机与目标

• 解决传统基于漏洞利用和签名的入侵检测系统在应对零日漏洞和高级持续性威胁时的局限性。
• 通过利用细粒度的全系统溯源数据建模完整的执行轨迹，实现整体性、基于因果关系的检测。
• 通过使用捕捉对象间依赖关系的结构化溯源图，克服基于审计日志的异常检测的不足。
• 识别并解决部署基于溯源的入侵检测系统的关键挑战，包括可扩展性、实时性能以及缺乏标注数据集的问题。
• 通过领域特定的洞察和系统集成，为形式化溯源图和基准化基于溯源的入侵检测系统奠定基础。

提出的方法

• 将系统执行建模为有向无环图（DAG），其中节点表示数据对象、活动和主体，边表示因果依赖关系。
• 将基于主机的入侵检测形式化为基于图的异常检测问题：识别与学习到的正常模型显著偏离的子图。
• 利用溯源图的不可变性，实现无需重处理历史记录的增量式、单向因果推理。
• 应用领域特定的启发式方法——如事件稀有性与数据流终止——以优先处理并总结复杂的溯源子图。
• 使用高效、多项式时间复杂度的图算法（如图核）而非NP难的替代方案（如子图同构）以实现实时分析。
• 开发基于Vagrant的虚拟化实验框架，用于生成可复现的溯源数据集，以支持入侵检测系统的基准测试。

实验结果

研究问题

• RQ1 如何利用溯源图检测传统基于签名的系统难以发现的隐蔽、长期持续的攻击？
• RQ2 如何将基于溯源的入侵检测扩展至全系统、实时部署，其关键挑战是什么？
• RQ3 溯源图分析如何通过捕捉跨系统组件的长程因果依赖关系，提升对抗性攻击的鲁棒性？
• RQ4 与原生溯源采集相比，使用扁平审计日志在入侵检测中存在哪些局限性？
• RQ5 鉴于将子图标注为“入侵”具有高度复杂性，如何构建可靠且标注质量高的基准数据集以支持基于溯源的入侵检测系统评估？

主要发现

• 溯源图提供了系统执行的全局视图，与攻击向量无关，能够检测出利用复杂多阶段执行流程的高级攻击。
• 溯源图的不可变性使得无需回溯历史记录即可实现高效增量分析，简化了实时检测的实现。
• 通过LSM接口捕获全系统溯源数据，可实现对所有安全相关交互的完整、可验证日志记录，从而提升检测覆盖率。
• 在高维审计日志空间中，基于图的异常检测优于基于点的异常检测，因为它能有效建模结构依赖关系。
• 溯源图的复杂性（例如，单个sshd命令可触发数千个系统调用）要求采用智能摘要技术以维持分析效率。
• 缺乏标注良好、可用于基准测试的溯源数据集，仍是评估和比较该领域入侵检测系统性能的主要障碍。