[论文解读] threaTrace: Detecting and Tracing Host-based Threats in Node Level Through Provenance Graph Learning

Su Wang, Zhiliang Wang+7 more|arXiv (Cornell University)|Nov 8, 2021

Network Security and Intrusion Detection被引用 8

一句话总结

threaTrace 是一种实时的、基于节点级别的主机入侵检测系统，采用基于 GraphSAGE 的多模型框架，学习数据血缘图中良性实体的角色，从而实现对 APT 和恶意软件后门等隐蔽持久性威胁的高精度检测与定位，且无需事先了解攻击模式。在三个公开数据集上，其性能优于现有最先进系统，同时保持较低的系统开销。

ABSTRACT

Host-based threats such as Program Attack, Malware Implantation, and Advanced Persistent Threats (APT), are commonly adopted by modern attackers. Recent studies propose leveraging the rich contextual information in data provenance to detect threats in a host. Data provenance is a directed acyclic graph constructed from system audit data. Nodes in a provenance graph represent system entities (e.g., $processes$ and $files$) and edges represent system calls in the direction of information flow. However, previous studies, which extract features of the whole provenance graph, are not sensitive to the small number of threat-related entities and thus result in low performance when hunting stealthy threats. We present threaTrace, an anomaly-based detector that detects host-based threats at system entity level without prior knowledge of attack patterns. We tailor GraphSAGE, an inductive graph neural network, to learn every benign entity's role in a provenance graph. threaTrace is a real-time system, which is scalable of monitoring a long-term running host and capable of detecting host-based intrusion in their early phase. We evaluate threaTrace on three public datasets. The results show that threaTrace outperforms three state-of-the-art host intrusion detection systems.

研究动机与目标

• 为解决传统图级别异常检测难以发现隐蔽持久性主机威胁（如 APT 和恶意软件后门）的挑战。
• 实现在无需事先掌握攻击模式的前提下，对数据血缘图中异常实体进行节点级别检测与精确追踪。
• 克服数据不平衡问题，并提升在具有多样化良性行为的实际系统中的检测性能。
• 设计一种可扩展的实时系统，具备可接受的计算与内存开销，适用于生产主机的长期部署。
• 提供一个完整、开源的检测与追踪框架，支持在企业及政府环境中的实际部署。

提出的方法

• 针对图神经网络 GraphSAGE（一种归纳式图神经网络）进行定制，基于邻域信息学习血缘图中各个良性节点的结构与上下文角色。
• 采用多模型框架，为不同类型的良性节点（如进程、文件）分别训练子模型，以应对数据不平衡问题并提升检测灵敏度。
• 使用基于概率的评分机制识别偏离已学习良性角色的节点，将其标记为潜在威胁。
• 以增量方式实时处理血缘图，实现在长期主机会话期间对入侵活动的早期检测。
• 支持使用新的良性血缘数据对模型进行增量更新，而无需完全重新训练，确保对不断变化的工作负载具有适应能力。
• 集成白名单机制以减少误报，允许管理员手动验证并抑制良性误报。

Figure 1: A toy example of a provenance graph, which contains host-based intrusion behaviour.

实验结果

研究问题

• RQ1 在血缘图中采用节点级别异常检测方法，是否能优于现有的图级别或路径级别检测方法，以应对隐蔽威胁？
• RQ2 如何将图神经网络适配于大规模血缘图中，以检测细微且低概率的异常，而无需依赖已知攻击特征？
• RQ3 多模型框架是否能有效应对数据不平衡问题，并提升在多样化良性系统行为下的检测性能？
• RQ4 该系统在长期监控生产主机时，能在多大程度上保持实时性能并维持低资源开销？
• RQ5 该系统是否能准确追踪并定位异常节点，从而为事件响应提供可操作的洞察？

主要发现

• threaTrace 在三个公开数据集上优于三种最先进的 APT 检测系统，展现出对隐蔽低调威胁的卓越检测精度。
• 系统具备高速处理能力与可接受的系统资源开销，支持在长期运行的主机上实现实时部署。
• 多模型框架通过学习不同类型良性节点的独特角色，显著提升了检测性能，尤其在数据不平衡场景下表现突出。
• threaTrace 能够成功检测并追踪异常节点，包括参与 APT 攻击活动和恶意软件植入的节点，方法是识别其与已学习良性行为模式的偏离。
• 白名单机制的集成显著降低了误报率，特别是在节点数量较多的图中；同时支持增量模型更新，确保长期适应性。
• 评估结果表明，threaTrace 能够在威胁处于早期阶段时即被检测到，即使其仅在大型血缘图中涉及少量异常节点。

Figure 2: The overview of components in threaTrace . ①: Data Provenance Generator; ②: Data Storage; ③: Model; ④: Alert and Trace.