攻击路径溯源

攻击意图理解

图 23 APT 行为的技战术理解 [28]

4.3.2.1 定义内涵

攻击意图理解的含义是基于大规模、依赖复杂、跨长时间周期的原始日志、检测日志等基本数据线索, 从能力水平、攻击阶段、攻击目标等角度,取、标注、归纳攻击者的战术意图,以明确线索之间的高 层次逻辑关联,跟踪、预测攻击者的行为。

4.3.2.2 技术背景

各类检测设备以不同的检测视角与方法,所生成的线索数据,能够捕获真实攻击者的行为踪迹,同时也无法回避的引入误报与低质量信息。整体来看,攻击者的行为步骤是蕴含潜在方法论支撑与目标导 向的。因此,理解和整合多源的、多层次的威胁线索,推测攻击者的攻击意图,减少无关线索对事件分 析的干扰,已成为情报关联、行为关联驱动下运营平台智能化
的关键能力。
4.3.2.3 思路方案

攻击意图理解的关键在于数据的安全语义化。即通过对数据及其特征的模板化、标签化、体系化归并, 形成预设威胁模型框架下的实例化表达。核心技术实现一方面是数据的归一化化与规范化
清洗;另一方 面,是语义抽象算法,主要可分为两类:基于行为模板的和基于统计切分的。基于行为模板的方法示例 如图 23 所示,HOLMES 系统通过预设的数据模式取策略,将终端侧溯源数据图中的关联日志实体和 关系进行抽取,形成符合 ATT&CK矩阵模型的技战术高层关联图谱 [28]。基于统计切分的方法,通过日 志实体的逻辑关联或时序关联,在图数据或序列数据上应用社团发现、标签传播、主题模型、情感分析 等经典技术手段,对图上或序列数据进行统计切分和聚类,再结合专家经验的标签化过程,形成符合威 胁语义模型的数据基础。
4.3.2.4 关键挑战

攻击意图理解的难点在于如何对齐数据特征与安全语义。尽管越来越多的方案开始注意到意图归纳 的重要性,但有效的意图提取技术需要克服以下挑战:

对精准数据标注的依赖

无论是基于统计切分的还是行为模板的语义抽象技术,都离不开专家先验知识的标定。特别是行为 模板方案,为了有效限制了数据归纳过程的发散性,依赖细粒度的文件敏感性
、行为可信度等标签。这 些数据标记过程,一方面需要自动化手段的支持,例如敏感文件自动化识别等,另一方面需要专家的参 与,这些都增加了技术实现的难度。
技战术的一词多义

以 ATT&CK为例,一个技术可能横跨多个战术实现,并以不同的粒度出现在一定的威胁上下文中。 因此,需要通过合理的建模方法,识别在不同上下文环境下的不同事件意图,以合理归并、梳理事件的 关联关系,厘清事件依赖,发现攻击者的技战术思路与攻击目标。

攻击路径溯源

4.3.3.1 定义内涵

攻击路径溯源的含义是基于关键威胁线索,结合动态行为与资产环境,融合终端、网络、脆弱性
、 威胁情报等多源历史日志,回溯、精炼、重构攻击者的行为数据流,完整呈现、还原日志级别细粒度的 攻击过程及攻击结果,支持事件调查与取证。
4.3.3.2 技术背景

XDR、SOAR 等解决方案
的技术关键,在于融合所有可能的关联数据,形成浓缩的、可运营的事件 及上下文,准确定位攻击行为在采集数据上的映射。以终端侧数据为例,溯源数据(Provenance)能 够忠实记录终端上实体的行为逻辑依赖关系,自然形成溯源数据图(Provenance Graph,简称溯源图)。 所记录的实体,包括文件、网络、进程等维度;根据实体对的类型,实体间关系又包括文件读写、进程 创建、网络连接等等。在溯源数据完整有效采集的情况下,通过溯源图的后向追溯(Backward-trace) 和前向追溯(Forward-trace),能够有效弥补网络侧的数据盲点,实现攻击事件的溯源与取证。然而, 由于缺乏高效、内生的信息流跟踪机制,准确的取、构建完整攻击路径,仍需要数据的动态分析机制 辅助。
4.3.3.3 思路方案

溯源重构的技术基础,是刻画、跟踪行为信息流,以指定的攻击树、攻击图等形式组织相关日志, 形成事件前因后果。如图 24 所示,是基于终端日志数据进行攻击溯源与 APT事件重构的示例 [29]。从数 据的角度来看,可将溯源过程建模为统计相关模型、信息传播模型、图关联模型、因果模型等。统计相

关性建模主要通过频繁项 / 模式挖掘、注意力机制驱动的序列模型等方式,识别统计层面的实体与行为关联性,以定位与关键线索相关的最可疑证据链。信息传播模型,基于图数据和标签传播,或先验传播 策略,主动跟踪关键操作、敏感数据的传播路径。图关联模型,同样基于图数据,通过图神经网络、可 解释图模型等模型算法,识别、抽象可疑的实体与子图结构,以及实体、子图之间的关键行为边,从而 实现全局的攻击事件高效抽取。因果模型,相对经典统计模型主要考虑数据的相关性,因果建模通过因 果推断框架,如基于约束的贝叶斯网络、反事实推理等,构建具有相对稳定性结构的数据因果依赖链路 与图,以探索所采集各类传感器数据间的派生模式。整体来看,溯源与重建的关键在于数据的确定性关 系推理。

4.3.3.4 关键挑战

溯源结果能够作为威胁狩猎的关键资源,为威胁的分诊、评估、取证供丰富的上下文。不过,仍 然没有免费的午餐。攻击路径溯源技术有着多方面的挑战,以下简要分析。

溯源图依赖爆炸

这是溯源数据分析中的个性化问题。还是以细粒度的终端数据为例,根据采集方式,溯源数据可分 为两类:细粒度的(Fine-Grained)和粗粒度的(Coarse-Grained)。因现阶段性能和系统架构易用性限制, 粗粒度的溯源数据广泛应用和部署。粗粒度的采集采取“贪心”的方式,记录实体间所有可能的依赖关 系,难以准确跟踪实体间的信息流向。即,某个实体的下游实体的信息流,可能由时间较早任意一个实 体信息流产生。特别是长期存活实体的存在,这种不确定性会造成上下游实体的信息依赖的爆炸式增长。

关键线索的缺失

攻击者的高对抗性、采集系统的欠稳定性,都可能导致数据层次关键日志线索的丢失。在证据链、 行为序列断裂的情况下,需要鲁棒的分析算法支撑事件重建,包括知识推理算法等关系推测及补全技术 需要针对网络空间数据进行优化和适配。

性能拓展性瓶颈

威胁狩猎可包含如已知威胁实时匹配的 OLTP(On-Line Transaction Processing)任务及长周期、 大规模关联分析及溯源的 OLAP (On-line Analytical Processing) 任务。为保证不同任务特别是 OLAP任 务下数据的可用性,溯源数据规模将迅速膨胀。此外,终端的多样性,将在数据生命周期、数据对齐、 数据关联等多方面带来存储、分析架构的拓展性冲击,实现完整的攻击事件取证还原,同时保持系统的高性能将充满挑战。

参考资料

绿盟 AISecOps智能安全运营技术白皮书 2020

友情链接

CSA 用区块链技术保障物联网安全

  • 1
    点赞
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值