Behavior-Specialized Anomaly Detection for Improving Alert Quality in Provenance-Based Intrusion Detection
本論文は、システムプロセスをカテゴリごとに分割し、それぞれに対して専用の軽量なグラフオートエンコーダを学習させることで、計算オーバーヘッドを低く抑えつつ、プロベナンスベースの侵入検知における優れた適合率と再現率のトレードオフおよびアラート品質の向上を実現する、振る舞い特化型フレームワークであるTargeterを提案する。
原論文は CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
デジタル世界では、コンピュータが行うあらゆる動作は、まるで雪の上に残る足跡のように、その痕跡を残します。ユーザーがファイルを開いたり、プログラムを実行したり、メッセージを送信したりすると、システムは「誰が」「何を」「いつ」「どのようなツールを使って」行ったのかを記録します。セキュリティの専門家は、これらの記録を使用して、ある出来事がどのように次の出来事を引き起こすかという因果関係のマップを作成します。このマップは「プロベナンス・グラフ（由来グラフ）」と呼ばれます。長年、研究者たちはこれらのマップを利用してサイバー攻撃を検知しようと試みてきました。侵入者がデータを盗んだりシステムを破壊したりするために踏む隠れたステップを見つけ出すことを期待してのことです。しかし、課題は、これらのマップが極めて膨大かつ複雑であることです。一台のコンピュータが短時間で数百万ものこうした接続を生成することもあり、そのほとんどは完全に正常なものです。セキュリティシステムがこのような巨大な群衆の中から悪意のある存在を見つけ出そうとすると、しばしば混乱が生じます。単に少し珍しい動きをしただけの無害なファイルに対してアラームを鳴らしてしまうこともあれば、逆に、何百万もの平凡なプロセスの中に紛れ込んだ危険なプロセスを見逃してしまうこともあります。その結果、人間による分析者を圧倒するほどの誤報の洪水が発生したり、あるいはさらに悪いことに、すでに進行中の攻撃を見逃してしまうという静かな失敗を招いたりすることがあります。
イランのシャリフ・テクノロジー大学の研究チームは、コンピュータがデータの見方を変えることで、この問題を解決する新しい方法を提案しました。単一の巨大なコンピュータプログラムに、マシン上で行われるあらゆる種類の活動を理解させようとする代わりに、彼らは問題をより小さく管理しやすい断片に分解することにしました。彼らは、コンピュータプログラムの種類によって、その振る舞いが非常に明確に異なることに気づいたのです。例えば、ウェブブラウザは自然とネットワーク接続を行い、特定の種類のファイルを読み込みます。時計を管理するシステムツールはそれとは異なり、管理者が使用するコマンドライン・シェルには独自の律動があります。単一の検知モデルが、これらすべての異なるプログラムの「正常な」振る舞いを一度に学習しようとすると、無害な変化と真の脅威との区別をつけるのに苦労します。
これに対処するため、研究者たちは「Targeter」と呼ぶシステムを開発しました。このシステムは、まずコンピュータ上で実行されているすべてのプログラムを、それが実際に何を行うかに基づいて特定のグループに分類します。ウェブブラウザは一つのグループに入り、テキストエディタは別のグループに入り、システムサービスは第三のグループに入ります。プログラムを分類した後、システムは各グループに対して専用の特化した検知器を訓練します。ウェブブラウザ用の検知器は、正常なブラウザの振る舞いがどのようなものかのみを学習します。システムサービス用の検知器は、正常なシステムの振る舞いがどのようなものかのみを学習します。各検知器は、限定的で一貫した活動のグループに集中しているため、そのグループ内で何かが奇妙な動きをした際に、それを察知する能力が格段に高まります。それはすべてにおいて専門家になろうとするのではなく、一つの特定の事柄における専門家となるのです。
研究者たちは、DARPA Transparent Computingプログラムのデータ（正常な活動と高度なサイバー攻撃の両方を含む実世界のシステムログのコレクション）を使用して、このアプローチのテストを行いました。彼らは、現在この分野で最高とされるいくつかの既存手法と自らのシステムを比較しました。その結果、Targeterは、実際の攻撃を捉えることと誤報を避けることの間で、より優れたバランスを見出したことが示されました。従来のシステムは、非常に厳格になって多くの攻撃を見逃すか、あるいは非常に緩やかになって何千もの無実なプログラムを不審としてフラグ立てするか、という選択を迫られることがよくありました。Targeterは、多くの誤報を人間の調査員にとって有用なレベルに抑えつつ、実際の攻撃ステップのより多くの部分を捕捉することに成功しました。100万件以上のシステムイベントを含むデータセットを用いたテストでは、新しいシステムは競合するシステムよりも有意に多くの攻撃関連ノードを特定しながらも、分析者をノイズで溺れさせることはありませんでした。
成功の鍵となったのは、初期検知後のデータの扱い方でした。研究者たちは、システムが発見した不審なアイテム間の接続を確認するという最終ステップを追加しました。もし、不審なプロセスに関連付けられた不審なファイルを見つけた場合、たとえそのファイル自体がそれほど奇妙に見えなかったとしても、そのファイルを調査対象のリストに追加します。これにより、調査が単なる孤立した断片にとどまらず、攻撃の全経路をカバーすることを確実にします。チームはまた、この新しい手法がどの程度の計算能力を必要とするかも確認しました。彼らは、この手法が高速かつ効率的であり、高価で特殊なハードウェアを必要とせず、標準的なコンピュータのプロセッサ上でスムーズに動作することを発見しました。これは、このアプローチが研究室の中だけでなく、実社会での使用にも実用的であることを示唆しています。
この研究は、サイバー攻撃を検知するための進むべき道は、必ずしもより大きく複雑なモデルを構築することではなく、よりスマートで、より焦点の絞られたモデルを構築することにあると示唆しています。ウェブブラウザとシステムユーティリティは根本的に異なるものであることを認め、それぞれに専用の観測者を与えることで、システムは真に何が間違っているのかをより明確に把握できるようになります。研究者たちは、自分たちの手法はうまく機能しているものの、現在は人間がプログラムのカテゴリを定義することに依存していると指摘しています。将来的には、システムがこれらのカテゴリを自ら発見できる方法を開発したいと考えています。しかし、現時点においては、プログラムの形状（形）だけでなく、そのプログラムが実際に行っている性質に注意を払うことが、より鋭く信頼性の高いセキュリティアラートにつながることを、この研究は証明しています。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。