ProHunter: A Comprehensive APT Hunting System Based on Whole-System Provenance

1. Problemstellung

Advanced Persistent Threats (APTs) stellen aufgrund ihrer Tarnung, ihres „Low-and-Slow"-Verhaltens und ihrer langen Verweildauer im System eine der größten Herausforderungen in der Cybersicherheit dar. Herkömmliche Erkennungsmethoden versagen oft, da sie nicht proaktiv genug sind.
Der Ansatz des provenance-basierten Threat Hunting (Verfolgung von Angriffsaktivitäten basierend auf System-Herkunftsnachweisen) hat sich als vielversprechend erwiesen. Dabei werden Audit-Logs in einen gerichteten Graphen umgewandelt, der kausale Beziehungen zwischen Prozessen, Dateien und Netzwerkflüssen darstellt. Dieser wird mit Cyber Threat Intelligence (CTI) verglichen, um Angriffsmuster zu finden.

Trotz dieses Potenzials bestehen drei wesentliche Limitationen bestehender Systeme:

1. Hoher Ressourcenverbrauch: Whole-System-Provenance-Graphen sind extrem groß (Millionen von Knoten und Kanten). Das Speichern und Verarbeiten dieser Daten in Echtzeit führt zu einem enormen Speicher- und Zeit-Overhead, der oft die verfügbaren Ressourcen (z. B. < 100 MB pro Host) sprengt.
2. Unpräzise Segmentierung: Angriffsaktivitäten sind eng mit harmlosen Systemoperationen verflochten. Bestehende Methoden, die auf explizite Indikatoren (IoCs) angewiesen sind, scheitern oft, wenn diese fehlen, oder sie extrahieren zu viele irrelevante Knoten (Rauschen), was die Analyse erschwert.
3. Semantische Lücken: CTI-Berichte beschreiben Angriffe auf hoher Ebene (z. B. „ARP-Scan"), während Audit-Logs niedrigere Systemereignisse (z. B. „Ausführung von cmd.exe") protokollieren. Diese Diskrepanz führt zu inkonsistenten Abgleichen und schlechteren Trefferquoten.

2. Methodik: ProHunter

ProHunter ist ein plattformunabhängiges System, das diese drei Herausforderungen durch eine dreistufige Pipeline adressiert:

A. Effiziente Speicherung (Pure Provenance Graph - PPG)

Um den Speicherbedarf drastisch zu senken, entwickelt ProHunter eine kompakte Datenstruktur:

• Semantische Abstraktion: Statt roher Namen (z. B. notepad++.exe) werden Knoten auf eine abstrakte Ebene (z. B. util_process) reduziert. Dies aligniert die Semantik zwischen CTI und Logs und spart Speicher.
• Hierarchische Kodierung: Das System nutzt eine bitweise Kodierung. Da die meisten Knoten nur wenige Abhängigkeiten haben (sparse nodes), werden diese mit sehr wenigen Bits kodiert (z. B. 11-Bit-Index). Nur Knoten mit „Dependency Explosion" (z. B. explorer.exe mit tausenden Abhängigkeiten) erhalten erweiterte Strukturen.
• Ergebnis: Reduzierung des Speicherbedarfs auf 3–25 MB pro Tag, was eine langfristige Speicherung ermöglicht.

B. Heuristisches Threat Graph Sampling

Statt starr auf IoCs zu warten, nutzt ProHunter einen heuristischen Breadth-First-Search (BFS) Algorithmus:

• POI-Unabhängigkeit: Als Startpunkte (Points of Interest, POIs) können beliebige Systemknoten dienen (explizite IoCs, Anomalie-Alarme oder willkürliche Knoten).
• Verlaufsorientierte Regeln: Der Algorithmus verfolgt verdächtige Informationsflüsse (z. B. von einer Systemdatei zu einem öffentlichen Netzwerk) und filtert harmlose Interaktionen basierend auf abstrahierten Knotentypen und Abhängigkeitsflags heraus.
• Ziel: Extraktion eines präzisen Angriffs-Subgraphen mit minimalem Rauschen, auch ohne explizite Indikatoren.

C. Adaptive Angriffsrepräsentation und Matching

Um die semantische Lücke zwischen CTI-Query-Graphen und dem extrahierten Threat Graph zu schließen, wird ein Graph Isomorphism Network (GIN) mit Feature-Enhancement eingesetzt:

• Feature-Initialisierung: Nutzung der abstrahierten Knotentypen als Eingabevektoren.
• Intra- und Inter-Graph Message Passing: Das Modell aggregiert lokale Nachbarschaftsinformationen und tauscht dann Nachrichten zwischen dem Query-Graph und dem Threat Graph aus. Ein Aufmerksamkeitsmechanismus (Attention) priorisiert strukturell und semantisch ähnliche Muster.
• Kontrastives Lernen: Das Modell wird trainiert, um ähnliche Angriffsverhalten hoch zu bewerten und unterschiedliche (harmlose) Muster niedrig zu bewerten, ohne auf explizite Malware-Signaturen angewiesen zu sein.

3. Schlüsselbeiträge

1. ProHunter System: Ein umfassendes System, das Graphen-Kompression, Sampling und semantisches Matching integriert.
2. Speichereffiziente Struktur: Eine neue PPG-Architektur, die durch semantische Abstraktion und hierarchische Kodierung den Speicherbedarf um 47–75% im Vergleich zu bestehenden Lösungen (wie Sleuth) reduziert.
3. Robustes Sampling: Ein heuristischer Algorithmus, der Angriffe auch ohne explizite IoCs erkennt und dabei das Rauschen (falsche Positiv-Knoten) minimiert.
4. Semantische Brücke: Adaptive Graph-Repräsentation, die die Lücke zwischen hochleveligen CTI-Beschreibungen und niedrigleveligen Audit-Logs überwindet.
5. Umfassende Evaluation: Validierung auf den DARPA TC E3, E5 und OpTC Datensätzen (insgesamt 28 Angriffsszenarien).

4. Ergebnisse

Die Evaluation auf realen APT-Kampagnen zeigt deutliche Verbesserungen gegenüber dem State-of-the-Art (z. B. MEGR-APT, DeepHunter, ProvG-Searcher):

• Speichereffizienz: ProHunter benötigt nur 3–25 MB pro Tag für die Speicherung der Provenance-Graphen, was eine langfristige Analyse (bis zu 90 Tage) ermöglicht.
• Präzision beim Sampling: Die extrahierten Threat Graphen decken >70% der Angriffssemantik ab, fügen aber im Durchschnitt nur 2–3 irrelevante Knoten hinzu (sehr geringes Rauschen).
• Erkennungsleistung:
  • Recall (Wiederfindungsrate): 100% über alle Datensätze hinweg.
  • False Positive Rate (FPR): Durchschnittlich **< 1%** (im Vergleich zu oft >10% bei anderen Systemen).
  • AUC (Area Under Curve): Bis zu 0,99.
• Robustheit: Das System funktioniert zuverlässig auch ohne explizite IoCs (bei willkürlicher POI-Auswahl) und ist in der Lage, Angriffe zu erkennen, die von CTI-Berichten nicht explizit beschrieben wurden, aber semantisch äquivalent sind.
• Performance: Die Verarbeitung eines 5-Minuten-Fensters dauert im Durchschnitt 0,67 Sekunden, was eine Echtzeit-Analyse ermöglicht.

5. Bedeutung und Fazit

ProHunter adressiert kritische Lücken in der aktuellen Threat-Hunting-Landschaft. Es beweist, dass eine ganzheitliche System-Provenance auch in ressourcenbeschränkten Umgebungen praktikabel ist, wenn effiziente Kompressions- und Sampling-Techniken angewendet werden.
Durch die Überwindung der semantischen Kluft zwischen CTI und Audit-Logs ermöglicht das System eine proaktivere und genauere Erkennung von APTs, die sich durch Tarnung und Mutationen gegen traditionelle Signatur-basierte Methoden schützen. Die Fähigkeit, Angriffe auch ohne vorab bekannte Indikatoren (IoCs) zu identifizieren, macht ProHunter zu einem wertvollen Werkzeug für die Abwehr von Zero-Day-Angriffen und fortgeschrittenen Bedrohungen in der realen Welt. Der Code ist öffentlich verfügbar, was die Reproduzierbarkeit und Weiterentwicklung fördert.