[论文解读] Retrofitting Applications with Provenance-Based Security Monitoring

Adam Bates, Kevin Butler+5 more|arXiv (Cornell University)|Sep 1, 2016

Scientific Computing and Data Management参考文献 36被引用 3

一句话总结

本文提出 DAP，一种透明、低开销的框架，可在不修改代码的情况下为Web应用添加细粒度数据血缘追踪功能。通过在数据库通信层进行拦截并利用对SQL语法的感知能力，DAP 实现了端到端请求延迟低于 5.1 ms 的详细血缘信息捕获，支持实时检测与预防SQL注入及数据外泄攻击，同时通过垃圾回收优化显著减少存储开销。

ABSTRACT

Data provenance is a valuable tool for detecting and preventing cyber attack, providing insight into the nature of suspicious events. For example, an administrator can use provenance to identify the perpetrator of a data leak, track an attacker's actions following an intrusion, or even control the flow of outbound data within an organization. Unfortunately, providing relevant data provenance for complex, heterogenous software deployments is challenging, requiring both the tedious instrumentation of many application components as well as a unified architecture for aggregating information between components. In this work, we present a composition of techniques for bringing affordable and holistic provenance capabilities to complex application workflows, with particular consideration for the exemplar domain of web services. We present DAP, a transparent architecture for capturing detailed data provenance for web service components. Our approach leverages a key insight that minimal knowledge of open protocols can be leveraged to extract precise and efficient provenance information by interposing on application components' communications, granting DAP compatibility with existing web services without requiring instrumentation or developer cooperation. We show how our system can be used in real time to monitor system intrusions or detect data exfiltration attacks while imposing less than 5.1 ms end-to-end overhead on web requests. Through the introduction of a garbage collection optimization, DAP is able to monitor system activity without suffering from excessive storage overhead. DAP thus serves not only as a provenance-aware web framework, but as a case study in the non-invasive deployment of provenance capabilities for complex applications workflows.

研究动机与目标

• 解决复杂、异构的Web服务部署中缺乏整体性、低成本血缘支持的问题。
• 通过在无需代码插桩的情况下捕获应用层语义，克服系统级血缘追踪中的语义鸿沟问题。
• 通过精确的血缘追踪实现对数据外泄和SQL注入攻击的实时检测与预防。
• 通过一种新颖的垃圾回收优化技术，减少血缘信息收集中的存储膨胀问题。
• 在Web工作流的多样化组件之间提供统一、可互操作的血缘模型。

提出的方法

• DAP 通过在数据库连接上实施透明拦截，观察并解析SQL查询与结果，从而在不修改应用的前提下提取血缘信息。
• 它仅依赖对SQL语法的最小知识，即可推断数据血缘与工作流结构，实现精确的血缘重建。
• 系统将来自多个源（尤其是数据库事务）的血缘信息聚合为统一、命名空间一致的图结构。
• 引入了一种垃圾回收优化机制，用于清除过时的血缘记录，显著降低长期存储开销。
• 策略执行与数据收集层解耦，并在网关处实施，支持跨查询的高层级策略。
• 该架构设计为与现有Web服务向后兼容，且无需开发者协作或代码插桩。

实验结果

研究问题

• RQ1 是否可以在不修改应用代码的前提下，在现有Web服务中透明地收集血缘信息？
• RQ2 系统能否在极低性能开销下实现细粒度、应用层级别的血缘追踪？
• RQ3 血缘信息能否被有效用于实时检测与预防SQL注入及数据外泄攻击？
• RQ4 在长期运行、高吞吐量的工作流中，如何最小化血缘信息的存储开销？
• RQ5 能否将来自异构源（如数据库、网络）的血缘信息统一到同一模型下，以支持策略强制执行？

主要发现

• DAP 对Web请求造成的端到端延迟低于 5.1 ms，表明其性能影响极小。
• 系统通过分析SQL查询与响应，无需修改应用即可捕获详细且人类可读的血缘图。
• 垃圾回收优化显著降低了存储开销，使长期血缘日志记录成为可能。
• DAP 通过追踪从数据库查询到网络响应的数据血缘，实现了对基于SQL注入的数据外泄攻击的检测与阻止。
• 该框架支持跨多个数据库操作的实时策略强制执行，可实现超越单个查询限制的高层级安全策略。
• DAP 与绝大多数现有Web服务兼容，且无需修改应用或数据库引擎。