Building a Robust Risk-Based Access Control System to Combat Ransomware's Capability to Encrypt

这是一份关于论文《Building a Robust Risk-Based Access Control System to Combat Ransomware's Capability to Encrypt》（构建基于风险的健壮访问控制系统以对抗勒索软件的加密能力）的详细技术总结。

1. 问题背景 (Problem)

勒索软件的核心威胁在于其能够未经授权地加密用户数据。传统的访问控制模型（如静态的 DAC 或 MAC）缺乏应对现代动态威胁的适应性，而现有的防御方案存在以下局限性：

• 沙箱/虚拟机监控 (VMI)：虽然能提供行为分析，但虚拟化开销大，难以在生产环境中实时部署。
• eBPF 或系统调用追踪：虽然轻量，但通常只能提供系统调用级别的粗粒度信息，缺乏对内核函数调用层级结构的深入洞察，且往往缺乏原生的、可解释的强制访问控制（MAC）执行机制。
• 检测与执行的脱节：许多方案仅能发出警报，无法在加密发生的毫秒级窗口内实时阻断写入操作。

因此，亟需一种能够结合细粒度内核行为追踪、机器学习实时检测以及原生强制访问控制执行的解决方案，以在保护合法加密业务的同时，实时阻断恶意加密行为。

2. 方法论 (Methodology)

该研究提出了一种双层风险驱动访问控制架构，核心在于将机器学习推理与 Linux 的 SELinux 强制访问控制（MAC）相结合。

A. 数据收集与特征工程

• 追踪机制：利用 Linux 内核的 ftrace 框架，特别是函数图追踪器 (function graph tracer)。这比传统的系统调用追踪提供了更细粒度的内核函数执行轨迹。
• 数据集构建：在受控环境中收集了良性应用、加密工具（如 OpenSSL, GnuPG）以及勒索软件样本的执行数据。
• 特征提取：
  • 资源计数器：CPU 使用率、内存驻留集 (RSS/VMS)、I/O 读写计数和字节数。
  • 图特征：基于函数调用图计算的介数中心性 (betweenness) 和 聚类系数 (clustering)，用于捕捉加密过程中的递归和嵌套调用模式。
  • 函数频率：特定内核函数（如 fsnotify, locks_remove_file 等）的调用频率。
  • 最终构建了一个包含 113 个原始特征 的数据集，并通过筛选优化为 36 个关键特征 子集。

B. 双层检测器设计

系统采用两个并行的检测层，共享相同的 36 维特征向量：

1. 规则层 (ERULE)：
   • 基于从随机森林模型中提取的浅层决策树规则。
   • 旨在提供低延迟和可解释性。
   • 虽然数据驱动的特征选择（肘部法则）建议仅需 2 个特征，但为了鲁棒性，实际部署使用了全部 36 个特征。
2. 模型层 (EML)：
   • 使用 XGBoost 分类器。
   • 旨在提供高召回率和泛化能力，处理复杂的、被混淆的加密行为。
   • 输出加密概率 $P_{enc}(x)$。

C. 风险决策与执行

• 风险计算：$R(x, ctx) = P_{enc}(x) \cdot I(ctx)$。其中 $I(ctx)$ 是上下文（用户、应用、路径、文件类型）的权重。
• 白名单机制：允许特定的用户（如 user1）在特定路径（如 $HOME/**）下运行特定的加密应用（如 openssl）。
• SELinux 集成：
  • 定义了一个名为 encryption_t 的 SELinux 域。
  • 引入两个布尔开关：rule_block 和 ml_block。
  • 当任一检测器判定风险时，用户空间守护进程会翻转这些布尔值，通过 SELinux 策略立即拒绝该域进程对非临时用户文件的 write/append 操作。
  • 这种设计确保了执行决策是原生的、可审计的，且无需内核补丁。

3. 主要贡献 (Key Contributions)

1. 双层风险驱动执行架构：结合了可解释的规则层（低延迟）和高召回率的模型层，实现了在加密发生初期（毫秒级/前几 KB 数据）的阻断。
2. 基于函数图追踪的安全策略：首次系统性地将 Linux ftrace 函数图追踪数据转化为机器学习特征，捕捉了系统调用层面无法看到的深层内核函数调用关系。
3. 特征选择与效用优化：提出了两种特征选择流程（基于排列重要性的肘部法则和基于防御者效用的 $\chi^2$ 包装器），最终确定了 36 个关键特征，平衡了检测精度与计算开销。
4. 原生的 SELinux 集成：通过 Common Intermediate Language (CIL) 模块实现了细粒度的白名单（用户/应用/路径）和动态阻断，无需修改内核代码。
5. 全面评估与基准对比：在混合良性、加密工具和真实勒索软件样本上进行了评估，并与 eBPF 方案及沙箱方案进行了定性对比。

4. 实验结果 (Results)

• 检测性能：
  • 模型层 (XGBoost)：F1 分数达到 0.97，召回率 0.97。
  • 规则层：F1 分数 0.95，但延迟更低。
  • 双层组合 (OR 逻辑)：综合 F1 达到 0.98，既保留了模型的覆盖率，又获得了规则层的快速响应。
• 延迟与阻断：
  • 规则层：中位决策延迟约 16ms，通常在加密开始后的 10-12 KB 数据内阻断。
  • 模型层：中位决策延迟约 28ms，通常在 16-20 KB 数据内阻断。
  • 两者均能在勒索软件造成大规模数据损坏前（通常在几十毫秒内）进行干预。
• 误报率 (FPR)：在良性工作负载（如 tar, rsync, gcc）下，模型层的误报率约为 1-2%，规则层约为 0.5-1.0%。通过路径和用户白名单机制，这些误报在实际部署中可被有效抑制。
• 开销：
  • 当前原型基于用户空间守护进程，内存占用较高（约 31-35 GB RAM，占 64GB 的 50%），且在突发 I/O 时 CPU 会飙升至 95-100%。
  • 关键结论：这种高开销主要源于用户空间的解析和图特征计算，而非 SELinux 执行机制本身。作者指出，将其迁移至内核模块或 eBPF 可大幅降低开销。
• 对比分析：
  • 相比沙箱方案，本方案避免了虚拟化开销，延迟更低。
  • 相比纯 eBPF 方案，本方案提供了更丰富的图特征和更完善的 SELinux 策略控制（如细粒度白名单），虽然单事件处理时间略长（毫秒级 vs 微秒/纳秒级），但提供了更好的可解释性和策略灵活性。

5. 意义与未来展望 (Significance & Future Work)

• 理论与实践结合：该研究成功证明了将高级机器学习推理与操作系统原生的强制访问控制（MAC）相结合是可行的，为构建自适应、风险感知的安全系统提供了新范式。
• 可解释性：通过规则层，安全管理员可以理解阻断决策的依据（如特定的函数调用模式），解决了黑盒模型难以部署的痛点。
• 工程化路径：虽然当前原型在资源消耗上仍有优化空间，但其架构设计清晰。未来的工作将集中在：
  1. 将用户空间的数据采集和推理迁移至内核模块或 eBPF，以消除用户态/内核态切换的开销，实现微秒级响应。
  2. 增强对抗性攻击的防御能力（如针对时序和调用模式的扰动）。
  3. 自动化租户白名单管理，以适应企业级大规模部署。

总结：该论文提出了一种创新的、基于风险的访问控制系统，利用细粒度的内核函数追踪和机器学习，在 Linux 系统上实现了对勒索软件加密行为的实时、可解释且原生的阻断。尽管当前原型存在资源开销问题，但其架构为下一代生产级勒索软件防御系统奠定了坚实的基础。