A Study of Kernel Telemetry Options for Security-Oriented Provenance
本論文は、カーネルテレメトリのアプローチを分析し、マイクロベンチマークを通じてeBPFが最も有望な選択肢であることを特定した上で、8つのプロベナンスシステムと5つのキャプチャエージェントを評価し、現在のツールは実装の不均一性に苦しみ、セキュリティ指向のユースケースに求められる完全性と可用性を保証できていないことを明らかにする。
原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
あなたのコンピュータを、活気にあふれた、セキュリティの厳しい一つの都市だと想像してみてください。アプリがファイルを開いたり、インターネットに接続したり、新しいプログラムを開始したりするたびに、それはまるで市民が市役所にリクエストを行っているかのようです。サイバーセキュリティの世界では、誰が、いつ、何を、どのように行ったのかという完璧で壊れない日記を残す必要があります。この日記は「プロベナンス（由来）」と呼ばれます。それは単なるイベントのリストではありません。ある行動がいかにして次の行動を引き起こしたかを示す、原因と結果の地図なのです。もしハッカーが忍び込んだ場合、調査官はこの地図を使って足跡を辿り、どのように侵入したのかを突き止め、二度と戻ってこれないようにする必要があります。
しかし、ここからが難しいところです。この日記をつけることは困難です。コンピュータの「市役所」とは、あらゆる物事が起こる深い内部コアである「カーネル」のことです。日記を書くためには、「テレメトリ」と呼ばれるシステム、つまり、都市の速度を落としたり悪者に騙されたりすることなく、カーネルを見守る非常に観察眼の鋭い警備員が必要です。長年、セキュリティの専門家たちは、この警備員を構築する最善の方法について議論してきました。ある警備員は建物の外に立ち（ユーザ空間）、別の警備員は壁の内側で働いています（カーネル空間）。大きな疑問は、どちらの警備員が都市のペースについていけるほど速く、すべてを見通せるほど賢く、そしてハッカーに賄賂を受け取ったり騙したりしようとしても、誠実さを保てるほどタフなのか、ということです。
この論文は、著者たちが異なる種類のセキュリティ警備員をテストし、どのタイプが信頼できるプロベナンス・マップを構築するために実際に機能するかを確かめる、探偵小説のようなものです。彼らはただ推測したのではなく、実験室を設置し、何千回ものテストを実行し、各警備員がどれだけ都市を減速させたか、そしてどれだけのイベントを見逃したかを正確に測定しました。
物語は、これらのイベントを捉えるためのさまざまな方法を検討することから始まります。著者らは、建物の外に立っている警備員や、重厚でカスタムメイドのツールを使用している警備員といった、昔ながらの警備員は、遅すぎるか、盲目すぎるか、あるいはあまりにも簡単に騙されてしまうことを見出しました。彼らは多くの人気のある手法を退け、それらの手法はしばく重要な詳細を見逃したり、巧妙な攻撃者によって改ざんされたりすることを明らかにしました。論文は、eBPF（extended Berkeley Packet Filter）と呼ばれる、より有望で新しい警備員にスポットライトを当てています。eBPFを、都市の壁の中に住む、高度にプログラム可能なスーパーパワーを備えたセキュリティカメラだと考えてください。それは高速で安全であり、必要なものだけを監視するようにプログラムすることができます。
しかし、著者らは、単にeBPFカメラを持っているだけでは不十分であり、それを「どう使うか」を知らなければならないことを発見しました。彼らは、これらのカメラの4つの異なる「モード」をテストしました。その中で、LSMと呼ばれるモードがスターの座を射止めました。なぜでしょうか？ それは、LSMがリクエストが完全に処理された「後」にそれをチェックし、許可するかブロックするかを一度のステップで決定できる唯一のモードだからです。他のモードは、リクエストが到着したときと、出発するときに一度ずつ、計2回チェックする必要があり、それが作業を倍増させ、速度を低下させていました。論文は、L림モードを使用することが、上司のもとへ何度も走り回るのではなく、即座に最終決定を下す警備員を持つようなものであると示しています。
研究者たちは、ノイズをフィルタリングする方法についてもテストしました。忙しい都市では、あらゆるくしゃみを記録したいわけではありません。特定の建物（コンテナ）の中にいる特定の人々の行動だけを記録したいのです。彼らは、最善の方法は、イベントが発生する「前」に、その特定の建物を監視するように警備員に指示することだと発見しました。もし、すべての人を監視するように警備員に伝え、後で無関係なデータを捨てようとすれば、都市の動きは停滞してしまいます。「事前フィルタリング」の手法は、LSM警備員が自然に行えることであり、これにより都市をスムーズに動かしながら、依然として悪党を捕まえることができました。
最後に、著者らは今日、人々がプロベナンス・マップを構築するために実際に使用しているツールについて調査しました。彼らは8つの異なるシステムと5つの「キャプチャ・エージェント（データを収集するツール）」をテストしました。その結果は衝撃的なものでした。多くの人気のあるツールは、記録すべきストーリーの巨大な断片を欠いていました。あるツールは、記録すべきイベントの90%以上をドロップしており、作成されたマップには穴だらけでした。また、あるツールはあまりにも遅すぎて、コンピュータを使用不能にしてしまいました。すべてを記録しながら速度を落とさなかった唯一のツールは、マップすら構築せず、単に生のデータストリームを吐き出すだけでした。
論文は、完璧なセキュリティ日記を構築する技術は存在するものの、現在のツールのほとんどはその任に就く準備ができていないと結論付けています。それらは遅すぎるか、漏れが多いか、あるいは脆弱すぎます。著者らは、未来はeBPFのLSMモードとスマートな事前イベント・フィルタリングにあると示唆しています。それこそが、デジタル都市で起きていることを完全で誠実かつ高速な記録として提供することを約束する唯一の組み合わせであり、デジタル上の泥棒を犯行の最中に捕まえたいと願うのであれば、それは不可欠なものなのです。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。