关键词:
攻击调查
依赖爆炸
日志融合
溯源图
影子路径
摘要:
在网络攻击发生后,开展攻击调查以分析其根本原因及影响至关重要。目前,基于溯源图的技术已成为主流方法,但该方法面临依赖爆炸问题。最新研究通过整合审计日志和应用日志,在一定程度上缓解了这一问题,并展现出无须程序插桩、模型训练或污点分析的优点。然而,现有日志融合技术要么依赖复杂的融合规则,要么需要进行应用程序逆向工程,且在应对新应用时需重新调整算法,限制了其通用性。为解决这些问题,提出了一种新的基于影子路径引导的网络攻击调查方法ProvNavigator。该方法在构图阶段通过分析日志间的相关性,将不同日志源的独立溯源图合并为全局融合溯源图;在攻击调查阶段,当面对依赖爆炸的节点时,ProvNavigator利用“影子路径对”引导调查,选择适当的边进行追踪,以重构整个攻击链。ProvNavigator无须插桩或逆向分析,具备通用性。ProvNavigator的原型系统在包括4个DARPA TC数据集在内的6个真实攻击场景中进行了实验评估。实验结果显示,ProvNavigator能有效还原攻击故事,在仅有6.01%运行时开销的情况下,实现了94.3%的精确率。