[论文解读] Threat Detection and Investigation with System-level Provenance Graphs: A Survey

Zhenyuan Li, Qi Alfred Chen+2 more|arXiv (Cornell University)|Jun 2, 2020

Advanced Malware Detection Techniques参考文献 75被引用 8

一句话总结

本综述对系统级溯源图在网络威胁检测与数字取证中的应用进行了全面分析，提出了一种三模块架构——数据采集、数据管理与威胁检测，同时识别出可扩展性、误报率和实时性能方面的关键挑战。该综述提供了现有技术的分类体系，并为在真实环境中部署基于溯源的检测系统提供了实用指导。

ABSTRACT

With the development of information technology, the border of the cyberspace gets much broader, exposing more and more vulnerabilities to attackers. Traditional mitigation-based defence strategies are challenging to cope with the current complicated situation. Security practitioners urgently need better tools to describe and modelling attacks for defence. The provenance graph seems like an ideal method for threat modelling with powerful semantic expression ability and attacks historic correlation ability. In this paper, we firstly introduce the basic concepts about system-level provenance graph and proposed typical system architecture for provenance graph-based threat detection and investigation. A comprehensive provenance graph-based threat detection system can be divided into three modules, namely, "data collection module", "data management module", and "threat detection modules". Each module contains several components and involves many research problem. We systematically analyzed the algorithms and design details involved. By comparison, we give the strategy of technology selection. Moreover, we pointed out the shortcomings of the existing work for future improvement.

研究动机与目标

• 为解决传统基于缓解的防御机制在检测高级持久性威胁（APTs）等隐蔽攻击时的局限性。
• 确立溯源图作为建模系统行为与攻击历史的稳健且语义丰富的技术方法。
• 通过模块化架构与对比分析，系统化地设计基于溯源图的检测系统。
• 识别实际挑战，如误报率、缺乏标准化数据集以及抗欺骗能力不足。
• 通过阐明关键技术权衡与真实系统部署策略，为未来研究提供指导。

提出的方法

• 提出一种三模块系统架构：数据采集、数据管理与威胁检测，每个模块均配备专用组件。
• 采用现有技术的分类体系，按数据采集方法、存储优化技术与检测算法对方法进行分类。
• 使用检测准确率、误报率与响应时间等性能指标，对40多个现有系统进行比较。
• 分析基于序列的检测模型与基于图的检测模型，突出效率与鲁棒性之间的权衡。
• 评估实时处理策略，包括标签传播与告警关联，以在低延迟与高准确率之间取得平衡。
• 建议采用混合方法，结合轻量级实时检测与基于图的分析，以提升系统鲁棒性。

实验结果

研究问题

• RQ1 如何在不损失语义保真度的前提下，优化溯源图存储以实现空间效率？
• RQ2 在大规模溯源图系统中，如何平衡查询性能与存储效率？
• RQ3 如何使检测模型在实现高真正例率的同时最小化误报率？
• RQ4 有哪些技术可降低实时威胁检测与取证中的响应时间？
• RQ5 如何使基于溯源图的系统具备抗欺骗能力，并确保在生产环境中的可靠性？

主要发现

• 基于序列的检测模型（如标签传播）具有更低延迟，更适合实时部署；而基于图的模型则提供更高的准确率与更强的鲁棒性。
• 误报率仍是主要挑战，大多数系统依赖经验性参数调优，而非系统性优化方法。
• 目前唯一公开可用的基于溯源的检测基准数据集是DARPA透明计算参与活动3与5的数据集，但其规模与多样性均有限。
• 现有系统缺乏对欺骗抵抗能力的系统性评估，导致威胁模型可靠性存在关键缺口。
• 结合轻量级实时分析与基于图的相关性分析的混合检测方法，在速度与准确率之间实现了最佳权衡。
• 亟需标准化的数据集与数据格式，以支持系统间的可复现性与定量比较。