[论文解读] Real Time Lateral Movement Detection based on Evidence Reasoning Network for Edge Computing Environment

Zhihong Tian, Wei Shi+6 more|arXiv (Cornell University)|Feb 12, 2019

Advanced Malware Detection Techniques参考文献 24被引用 8

一句话总结

本文提出 CloudSEC，一种基于证据推理网络（ERN）的实时横向移动检测系统，通过建模漏洞关联关系，实现动态、精准的攻击链重建。该方法在保证高检测准确率的同时具备实时性能，处理速度超过每秒100个事件，适用于资源受限的边缘环境部署。

ABSTRACT

Edge computing is providing higher class intelligent service and computing capabilities at the edge of the network. The aim is to ease the backhaul impacts and offer an improved user experience, however, the edge artificial intelligence exacerbates the security of the cloud computing environment due to the dissociation of data, access control and service stages. In order to prevent users from using the edge-cloud computing environment to carry out lateral movement attacks, we proposed a method named CloudSEC meaning real time lateral movement detection based on evidence reasoning network for the edge-cloud environment. The concept of vulnerability correlation is introduced. Based on the vulnerability knowledge and environmental information of the network system, the evidence reasoning network is constructed, and the lateral movement reasoning ability provided by the evidence reasoning network is used. CloudSEC realizes the reconfiguration of the efficient real-time attack process. The experiment shows that the results are complete and credible.

研究动机与目标

• 解决在传统方法因可见性有限和高动态性而失效的动态、资源受限的边缘云环境中检测横向移动的挑战。
• 克服现有检测系统依赖静态行为模型或需要大量手动配置和业务上下文信息的局限性。
• 通过基于证据的实时推理，重建完整的攻击链，支持边缘云基础设施中的快速取证调查。
• 为云服务提供商提供可操作的洞察，通过生成可信且带有置信度评分的证据链，识别受损系统。

提出的方法

• 基于漏洞知识和环境上下文构建证据推理网络（ERN），以建模潜在的横向移动路径。
• 引入漏洞关联概念，将跨系统的相关漏洞关联起来，提升ERN的推理能力。
• 在ERN中应用两种链式推理算法，即使在部分事件缺失或间接的情况下，也能从观察到的安全事件中推断攻击序列。
• 基于证据权重和虚拟记录生成实现置信度评分，在事件未被检测到时保持完整性，仅在必要时降低置信度。
• 利用时间戳和事件关系验证检测到的攻击链，提升推理准确性。
• 优化处理效率，实现每秒最多119.86个事件的处理速度，超过典型现实世界检测速率。

实验结果

研究问题

• RQ1 如何在边缘云计算的动态和分布式架构中实现实时横向移动检测？
• RQ2 在部分事件缺失或被混淆的情况下，何种机制可重建完整且可信的攻击证据链？
• RQ3 漏洞关联如何提升异构边缘环境中横向移动推理的准确性和完整性？
• RQ4 证据推理网络在缺乏直接事件日志的情况下，能在多大程度上减少漏报并维持置信度？

主要发现

• 在 Treasure Hunt 数据集中，CloudSEC 实现了每秒119.86个事件的处理速度，超过典型现实世界检测速率。
• 在 Treasure Hunt 数据集的 Alpha 子网络中，系统在证据链重建中达到91.7%的置信度。
• 在 LLDOS2.0.2 数据集中，当关键事件（如FTP上传）缺失时，系统通过生成虚拟记录，仍保持86%的置信度。
• CloudSEC 中的两种链式推理算法实现了线性时间复杂度，确保了可扩展性和实时性能。
• 证据链重建成功识别出利用DNS HINFO查询作为跳板、通过FTP上传后门的攻击，即使检测工具遗漏了关键事件。
• 实验结果证实，CloudSEC 能够提供完整且可信的证据链，支持在边缘云环境中实现快速有效的取证调查。