💻 计算机科学

Behavior-Specialized Anomaly Detection for Improving Alert Quality in Provenance-Based Intrusion Detection

本文介绍了 Targeter，这是一个行为专业化的框架，它将系统进程划分为不同的类别，并为每一类训练专门的轻量级图自编码器，从而在保持低计算开销的同时，在基于溯源的入侵检测中实现了更优的精确度-召回率权衡以及更高的告警质量。

原作者： Zahra Fazli, Mehdi Kharrazi

发布于 2026-10-22

📖 1 分钟阅读☕ 轻松阅读

原作者： Zahra Fazli, Mehdi Kharrazi

原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在数字世界中，计算机采取的每一个动作都会留下痕迹，就像雪地里的脚印一样。当用户打开一个文件、运行一个程序或发送一条消息时，系统都会记录谁做了什么、何时做的以及使用了什么工具。安全专家利用这些记录来构建因果关系图，展示一个事件是如何导致另一个事件的。这张图被称为溯源图（provenance graph）。多年来，研究人员一直试图利用这些图谱来识别网络攻击，希望能找到入侵者窃取数据或破坏系统的隐藏步骤。然而，挑战在于这些图谱极其庞大且复杂。一台计算机可以在短时间内生成数百万个这样的连接，而其中大部分都是完全正常的。当安全系统试图在如此庞大的人群中寻找坏人时，它经常会感到困惑。它可能会仅仅因为一个文件看起来略显异常就发出警报，或者可能因为一个危险的过程隐藏在数百万个普通进程之中而忽略了它。其结果往往是大量的误报淹没了人类分析师，或者更糟的是，悄无声息地未能察觉到已经在进行的攻击。

伊朗谢里夫理工大学的一个研究小组提出了一种通过改变计算机观察数据的方式来解决这一问题的新方法。他们并没有试图教一个单一的、巨大的计算机程序去理解机器上所有可能的活动类型，而是决定将问题分解成更小、更易于处理的部分。他们意识到，不同类型的计算机程序其行为方式有着非常明显的区别。例如，网络浏览器自然会打开网络连接并读取特定类型的文件。管理时钟的系统工具的行为则完全不同，而管理员使用的命令行外壳也有其独特的节奏。当一个单一的检测模型试图同时学习所有这些不同程序的“正常”行为时，它很难区分出正常的变动与真正的威胁。

为了解决这个问题，研究人员创建了一个名为 Targeter 的系统。该系统首先根据每个正在运行的程序的实际功能将其分类。网络浏览器被归入一组，文本编辑器归入另一组，系统服务则归入第三组。一旦程序完成分类，系统就会为每个组训练一个专门的检测器。针对网络浏览器的检测器只学习正常的浏览器行为是什么样的；针对系统服务的检测器只学习正常的系统行为是什么样的。由于每个检测器都专注于一个狭窄且一致的活动组，因此它在发现该组内有异常行为时会变得更加敏锐。它并不是试图成为全才，而是成为了某一特定领域的专家。

研究人员使用来自 DARPA 透明计算计划（DARPA Transparent Computing program）的数据对这种方法进行了测试，该计划包含了一系列真实的系统日志，其中包括正常活动和复杂的网络攻击。他们将这个新系统与目前领域内被认为是最优秀的几种现有方法进行了对比。结果显示，Targeter 在捕捉真实攻击和避免误报之间找到了更好的平衡。以往的系统通常必须在“非常严格但会错过许多攻击”和“非常宽松但会标记数千个无辜程序为可疑”之间做出选择。而 Targeter 能够在保持误报数量低到足以让研究人员处理的水平下，捕捉到更大比例的实际攻击步骤。在一次涉及超过一百万个系统事件的数据集测试中，该新系统识别出的攻击相关节点显著多于其竞争对手，且没有让分析师淹没在噪音之中。

成功的关键部分在于系统在初始检测之后如何处理数据。研究人员增加了一个最终步骤，即系统会查看它发现的可疑项目之间的连接。如果它发现一个可疑文件与一个可疑进程相关联，即使该文件本身看起来并不奇怪，它也会将该文件加入调查名单。这有助于确保调查涵盖攻击的完整路径，而不仅仅是孤立的碎片。团队还检查了这种新方法所需的计算能力。他们发现该方法既快速又高效，可以在标准计算机处理器上流畅运行，无需昂贵的专用硬件。这表明该方法具有在现实世界中投入使用的实用性，而不仅仅是在研究实验室中。

这项研究表明，检测网络攻击的途径不在于构建更大、更复杂的模型，而在于构建更聪明、更专注的模型。通过承认网络浏览器和系统工具在本质上是不同的，并为每种程序分配专门的观察者，系统能够获得更清晰的视野来识别真正的问题。研究人员指出，虽然他们的方法效果很好，但目前仍依赖于人类来定义类别。未来，他们希望开发出一种能让系统自行发现这些类别的方法。不过目前来看，这项工作证明了关注程序的具体性质（而非仅仅是其在数据图中的形状），可以带来更精准、更可靠的安全警报。

技术摘要：Targeter —— 面向基于溯源的入侵检测的行为专业化异常检测

问题陈述

基于溯源的入侵检测系统（PIDS）通过对系统实体（进程、文件、套接字）之间的因果关系进行建模来检测复杂的攻击。然而，其目前的实际应用受到警报质量不佳的限制，这种质量受限于精确率（Precision）与召回率（Recall）之间的根本权衡：

粗粒度检测： 早期的方法通常会对包含良性节点和恶意节点的子图或路径发出警报，迫使分析师手动识别受攻击的实体。
低精确率： 最近的节点级方法往往会产生过多的误报，使分析师淹没在噪声中。
低攻击覆盖率（召已率）： 旨在抑制误报的方法可能会漏掉大部分攻击过程，导致取证调查不完整。

现有的节点级 PIDS 通常采用单一的异常检测器来为所有系统进程建模。作者认为这是次优的，因为不同的进程类别（例如，Web 浏览器与系统服务）表现出本质上不同的行为模式。在单一机制内对这些异构行为进行建模，很难区分良性的变化与真实的异常。

方法论：Targeter 框架

本文提出了 Targeter，一个行为专业化的节点级入侵检测框架。Targeter 并非使用单体检测器，而是将进程划分为具有行为意义的类别，并为每个类别训练一个专门的、轻量级的图自动编码器（Graph Autoencoder）。

核心组件

P-Graph 构建： 系统审计日志被转化为溯源图，其中节点代表实体，边代表交互。通过移除重复边来保留因果结构并减少冗余。
初始嵌入： 节点属性（文件路径、命令行、IP 地址）通过 Word2Vec 进行标记化和嵌入，以创建初始特征向量。为了提高泛化能力，去除了非语义成分（如进程 ID）。
子图提取（行为专业化）：
- 根据命令行语义和功能角色，将进程确定性地分配到预定义的行为类别中（例如，“Web 浏览器”、“命令行与 Shell”、“系统服务”）。
- 将溯源图分解为特定类别的子图。每个子图包含特定类别的进程及其 $k$ -跳入边邻居（文件、网络节点和其他进程）。
行为专业化模型训练：
- 使用仅属于相应类别的子图，为每个行为类别训练一个独立的图自动编码器（GAE）。
- 该架构由用于编码的三个图卷积网络（GCN）层和用于解码的全连接层组成。
- 其目标是无监督的：最小化原始节点特征与重构特征之间的均方误差（MSE）。这使得每个模型能够学习其所属类别的特定“正常”分布，而不会受到无关进程行为的干扰。
行为专业化异常检测：
- 在推理过程中，一个进程会被路由到其对应的类别模型。
- 异常得分通过重构误差计算得出。如果一个节点的得分超过了特定类别的阈值且属于该类别，则将其标记为可疑。
后处理：
- 移除孤立节点： 移除在两跳范围内没有异常邻居的节点，以过滤误报。
- 添加连接节点： 将位于检测到的可疑实体之间的路径上的节点添加进来，以确保完整的攻击覆盖（捕获文件或网络套接字等被动实体）。

与混合专家模型（MoE）的区别

虽然受 MoE 专业化原则的启发，但 Targeter 有显著不同：它不使用学习到的门控机制或专家竞争。路由是基于预定义类别的确定性过程，这使得作者能够将行为专业化的效果从复杂的学习路由中分离出来。

核心贡献

重新定义警报质量： 本文强调，仅凭精确率或召回率来评估 PIDS 是不够的。文章主张将 F2 分数（权重向召回率倾斜）作为主要指标，这反映了取证现实：错过攻击实体往往比调查误报更具破坏性。
行为专业化假设： 本研究调查并验证了这样一个假设：分别对不同的进程类别进行建模可以改善对正常活动的表征，从而同时提高精确率和召回率。
Targeter 框架： 引入了一个确定性的、行为专业化的框架，实现了高质量的节点级检测，且计算开销较低。

实验结果

该框架在六个 DARPA 透明计算基准数据集（涵盖 THEIA、CLEARSCOPE 和 CADETS 的 Engagement 3 和 Engagement 5）上进行了评估。

警报质量 (RQ1)： 与最先进的节点级基准（ORTHRUS、MAGIC、FLASH、THREATRACE）相比，Targeter 在精确率和召回率之间实现了更优的平衡。
- 与 ORTHRUS（高精确率、低召回率）相比，Targeter 在保持可接受精确率的同时显著提高了召回率。
- 与 MAGIC（由于海量误报导致的高召回率、极低精确率）相比，Targeter 在检测到更多攻击实体的同时，大幅减少了误报。
- Targeter 在大多数数据集上始终获得更高的 F2 分数。
专业化的贡献 (RQ2)： 消融实验表明，移除行为专业化（使用单一模型处理所有进程）或使用随机分类会导致更低的真阳性（True Positives）和更高的假阳性（False Positives）。这证实了按行为对进程进行分组能为检测器提供更同质化的训练数据。
后处理的影响 (RQ3)： 后处理通过增加连接节点来提高召回率，并通过移除孤立节点来控制精确率，从而提升了 F2 分数。
计算效率 (RQ4)：
- 推理： Targeter 在所有数据集上均表现出最快的推理时间，并且在处理大规模数据集时比竞争对手具有更好的扩展性。
- 资源使用： 它表现出较低的 GPU 显存消耗和利用率。
- CPU 可行性： Targeter 可以在没有专用 GPU 的普通 CPU 上实际部署，能在几分钟内处理数天的系统活动，且内存占用适中。

重要性与局限性

重要性：
本文声称 Targeter 证明了行为专业化是提高基于溯源检测警报质量的一种可行机制。通过承认不同的系统进程具有不同的行为规范，该框架避免了“一刀切”的模型设计陷阱。其模块化架构还提供了实际的益处，例如可以针对系统变化（常态偏移）重新训练特定类别的模型，以及灵活应用特定类别的检测策略。

局限性：
作者明确指出了以下局限性：

人工分类： 当前的实现依赖于人工定义的行为类别。自动发现这些类别仍是一个开放的研究课题。
以进程为中心的专业化： 专业化目前仅应用于进程节点；文件和网络实体通过它们的交互进行建模，但没有专门的行为类别。
范围： 评估仅限于单机基准数据集。该框架在大型、多主机或持续演进的生产环境中的性能仍需进一步研究。