基于溯源图节点级别的APT检测
网络安全与数据治理 4期
罗汉新，王金双，伍文昌
(中国人民解放军陆军工程大学 指挥控制工程学院，江苏 南京210007)
摘要： 传统的入侵检测系统无法应对日益增多和复杂的网络攻击(如高级持续性威胁)，因为可能在几个月内不能检测出隐蔽威胁事件并具有较高误报率。最近研究建议利用溯源数据来实现基于主机的入侵检测，溯源图是由溯源数据构造成的有向无环图。然而，以前的研究是提取了整个溯源图的特征，对图中的少量异常攻击实体（节点）不敏感，因此无法准确识别异常节点。提出了一种在溯源图节点级别上的APT实时检测方法。采用K-Means和轮廓系数相结合的方法对训练数据集中的良性节点进行聚类，生成良性节点簇，通过判断新节点是否属于良性节点簇来判别是否存在异常。在Unicorn SC-2和DARPA TC两种公共数据集上评估该方法，结果表明该方法准确率达到95.83%，并且能够准确识别和定位异常节点。
中圖分類號： TP319
文獻標識碼： A
DOI： 10.19358/j.issn.2097-1788.2022.04.008
引用格式： 羅漢新，王金雙，伍文昌. 基于溯源圖節點級別的APT檢測[J].網絡安全與數據治理，2022，41(4)：49-55.
文獻標識碼： A
DOI： 10.19358/j.issn.2097-1788.2022.04.008
引用格式： 羅漢新，王金雙，伍文昌. 基于溯源圖節點級別的APT檢測[J].網絡安全與數據治理，2022，41(4)：49-55.
Detecting advanced persistent threats through provenance graph in node level
Luo Hanxin，Wang Jinshuang，Wu Wenchang
(Command & Control Engineering College，Army Engineering University of PLA，Nanjing 210007，China)
Abstract： Traditional intrusion detection systems cannot cope with the increasing number and sophistication of cyberattacks such as advanced persistent threats(APT). Because they may not detect stealthy threat incidents for several months and have a high false-positive rate. Recent studies propose leveraging provenance data to detect threats in a host. Provenance graph is a directed acyclic graph constructed from provenance data. However, previous studies, which extracted features of the whole provenance graph, were not sensitive to the small number of threat-related entities(nodes), so it is still difficult to identify and locate the real attack entities. We propose a real-time detection method in node level. The benign nodes are clustered into clusters using K-Means and silhouette coefficient methods. An node is considered abnormal if it does not fit into any of the model′s clusters. Unicorn SC-2 and DARPA TC datasets are used to evaluate this method. The evaluation shows that this method achieves 95.83% accuracy and can accurately locate the positions of anomalous nodes.
Key words : advanced persistent threats(APT)；intrusion detection；machine learning；provenance graph
0 引言
近年來，高級持續性威脅(Advanced Persistent Threats，APT)等復雜攻擊對網絡空間安全提出更大的挑戰。攻擊者不斷改變攻擊模式，尋找新的入侵點，并使用混淆方法保持不被發現。然而，當前入侵檢測系統通常將系統調用和網絡事件作為依據，只攜帶日志條目之間的順序關系，難以直接提取有效的關聯，因此對于APT的檢測效果不佳。近幾年的研究建議利用溯源圖(Provanace Graph)豐富的上下文信息來實現入侵檢測。溯源圖是一個有向無環圖，圖中節點表示系統中主體(如進程、線程等)和對象(如文件、注冊表、網絡套接字)，有向圖中的邊表示頂點之間的控制流和數據流的關系。與原始系統審計數據相比，溯源數據具有強大的語義表達能力和歷史攻擊關聯能力。
目前攻擊者更傾向于使用零日攻擊，基于特征的方法缺乏檢測未知威脅的能力。基于異常的圖核(Graph Kernel)檢測方法對整個溯源圖進行檢測，然而隱蔽入侵活動下生成的溯源圖可能與良性行為活動下生成的溯源圖相似，因此，難以檢測出相似溯源圖之間的異常，同時也無法識別和定位異常節點。
針對上述問題，本文提出了基于溯源圖節點級別的APT實時檢測方法。該方法將溯源數據作為源數據輸入，使用K-Means聚類方法和輪廓系數相結合的方法對訓練數據集中良性節點進行聚類，得到良性節點簇以及簇質心。最后通過判斷新節點是否屬于良性節點簇來判別是否存在異常，可在節點級別上進行威脅檢測。
本文詳細內容請下載：http://www.tom3567.com/resource/share/2000004990。
作者信息：
羅漢新，王金雙，伍文昌
(中國人民解放軍陸軍工程大學 指揮控制工程學院，江蘇 南京210007)
此內容為AET網站原創，未經授權禁止轉載。