TAC: Hybrid IAM Privilege Escalation Detection
本文提出了 TAC，一种针对 AWS 的新型混合 IAM 特权提升检测框架，该框架结合了全面的白盒检测器与创新的、由强化学习驱动的灰盒方法，旨在识别基于权限流的攻击，同时尊重客户的隐私约束。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，互联网是一座巨大且繁忙的城市，每一栋建筑、每一家银行和每一个秘密金库都由一名数字门卫守护着。这名门卫被称为身份与访问管理，简称 IAM。他的工作简单但至关重要：决定谁可以走进哪扇门。如果门卫犯了错——比如把首席执行官保险箱的钥匙给了清洁工，或者让一名快递员打开了银行金库——那就是一次“配置错误”。在云计算的世界里，这些错误就像是为小偷敞开了前门大门，导致数据泄露和秘密被盗。多年来，安全专家们一直致力于构建工具来检查这些门卫，但他们面临着两个大问题：他们的工具只能识别几种特定类型的错误，而且要求在开始检查之前必须看到完整的、秘密的钥匙清单和规则。这意味着许多危险的错误会从缝隙中溜走，而公司也往往不敢向外部人员分享其完整的安全蓝图。
这时，一群研究人员打造了一个更聪明、更灵活的安全卫士，名叫 TAC。把 TAC 想象成一个可以以两种不同模式工作的混合型侦探。首先是 TAC-WB，“白盒”侦探。它就像一位掌握了建筑内每一张蓝图、每一把钥匙和每一条规则的大师级锁匠。通过研究超过 14,000 种权限传递的不同方式，TAC-WB 创建了一份包含 219 种小偷潜入方式的庞大“作弊表”。它利用这张表来追踪权限可能采取的每一种路径，确保能捕捉到所有类型的权限提升，甚至是其他工具会遗漏的那些棘手情况。
但如果建筑所有者拒绝交出蓝图怎么办？这就是 TAC-GB，“灰盒”侦探发挥作用的地方。这是这篇论文真正的魔术所在。它不要求整张地图，而是玩一场聪明的“二十个问题”游戏。它观察所有者愿意分享的部分地图，然后提出非常具体且有针对性的问题，例如：“这个用户是否拥有这把特定的钥匙？”所有者可以说“是”、“不是”或“我不想说”。TAC-GB 非常聪明，它使用一种特殊的 AI（一种从图中学习的大脑）来计算出哪些问题能在尝试次数最少的情况下揭示最多的秘密。这就像一位知道该敲哪扇门才能找到小偷的侦探，而不是去敲遍整个社区的每一扇门。
研究人员用大量的虚构和现实世界的安全谜题对他们的新侦探进行了测试。他们构建了一个名为 TAC-Bench 的巨大练习场，其中包含 2,500 个不同的场景，以确保他们的工具已为实战做好准备。结果令人印象深刻：白盒侦探发现了所有的错误，包括导致大规模数据泄露的真实世界攻击，而旧工具则未能发现它们。甚至更令人惊讶的是，仅凭部分信息并提出极少数问题的灰盒侦探，其表现几乎与那些洞察一切的工具不相上下。它证明了你不需要看到全部秘密也能抓住小偷；你只需要问对问题。这种新方法为公司提供了一种既能保持秘密安全，又能获得顶级安全检查的方式，将游戏规则从“要么展示全部，要么一无所知”转变为一种智能、保护隐私的合作伙伴关系。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。