실시간 스트리밍 이벤트에서 태그 전파 기반 프로베넌스 그래프 정렬을 통한 침입 탐지

Core Concepts

태그 전파 기반 그래프 정렬 기법을 활용하여 실시간으로 다양한 사이버 공격을 탐지하고 조사할 수 있는 시스템을 제안한다.

Abstract

이 논문은 실시간 사이버 공격 탐지 및 조사를 위한 태그 전파 기반 프로베넌스 그래프 정렬 시스템인 TagS를 제안한다.
주요 내용은 다음과 같다:

태그 기반 중간 결과 캐싱 메커니즘과 정교하게 설계된 전파 규칙을 활용하여 원시 데이터 처리 및 저장의 필요성을 제거함으로써 메모리 요구 사항과 데이터 처리 오버헤드를 크게 줄였다.

이를 통해 TagS는 실시간으로 다양한 사이버 공격을 탐지하고 조사할 수 있다. 또한 분석가가 유연하게 공격 쿼리 그래프를 사용자 정의할 수 있어 확장성이 높다.

두 개의 대규모 공개 데이터셋(257.42GB의 감사 로그)과 12개의 관련 쿼리 그래프를 사용하여 평가한 결과, TagS는 176K개의 이벤트를 초당 처리할 수 있으며 29개의 정렬을 모두 정확하게 식별하고 3개의 false positive만 발생시켰다.

의존성 폭발 문제를 해결하기 위해 태그 초기화 제한 및 전파 라운드/시간 기반 태그 제거 전략을 구현하였으며, 이를 통해 최소한의 메모리 사용과 낮은 수준의 false positive를 달성하였다.

Stats

데이터셋에는 총 74.1백만 개의 이벤트가 포함되어 있다.
초당 평균 176,000개의 이벤트를 처리할 수 있다.
총 2,771,000개의 태그가 초기화되었고, 4,837,000개의 태그가 전파되었다.
전체 처리 시간은 421초이다.
최대 메모리 사용량은 239MB이다.

Quotes

"최근 집중적인 프로베넌스 그래프 기반 탐지 연구는 공격 탐지 및 조사에 효과적임을 입증했다."
"그러나 이러한 접근 방식을 실제로 구현하는 데에는 높은 오버헤드, 느린 대응성, 낮은 해석 가능성 및 확장성 등의 과제가 있다."
"태그 전파 기반 기술은 계산 및 캐싱 부담을 크게 줄일 수 있지만, 현재 고정 규칙 설계로 인해 다양한 공격 시나리오에 적응하기 어렵다는 한계가 있다."

Key Insights Distilled From

TAGS

by Zhenyuan Li,... at arxiv.org 03-20-2024

https://arxiv.org/pdf/2403.12541.pdf

Deeper Inquiries

실시간 공격 탐지 및 조사를 위해 프로베넌스 그래프 기반 접근 방식을 선택한 이유는 무엇인가

프로베넌스 그래프 기반 접근 방식을 선택한 이유는 실시간 공격 탐지 및 조사에 대한 요구 사항을 충족시키기 위함입니다. 이 방식은 시스템의 행위를 포괄적으로 파악할 수 있는 그래프 표현을 제공하며, 데이터 흐름과 제어 흐름을 종합적으로 포착할 수 있습니다. 또한, 이 방식은 추가 데이터 소스를 지원하기 위해 플러그인을 확장할 수 있어 다양한 시스템에서의 적용이 가능합니다. 이러한 이점으로 인해 프로베넌스 그래프 기반 접근 방식이 선택되었습니다.

태그 전파 기반 접근 방식의 장단점은 무엇이며, 이를 개선하기 위한 다른 방법은 무엇이 있을까

태그 전파 기반 접근 방식의 장점은 고유한 인과 관계를 활용하여 계산 부담을 줄일 수 있다는 점입니다. 이 방식은 태그를 사용하여 중간 결과를 캐시하고 반복적인 이벤트 소비를 피할 수 있어 전체적인 계산 및 캐싱 부담을 줄일 수 있습니다. 그러나 현재의 고정 규칙 디자인으로 인해 다양한 공격 시나리오에 대한 적응성과 감지 능력이 제한될 수 있습니다. 이를 개선하기 위한 다른 방법으로는 유연한 규칙 적용이 가능한 시스템 설계와 다양한 공격 기법을 고려한 태그 디자인이 있을 수 있습니다.

이 연구에서 제안한 TagS 시스템 외에 실시간 사이버 공격 탐지를 위한 다른 접근 방식은 무엇이 있을까

이 연구에서 제안된 TagS 시스템 외에도 실시간 사이버 공격 탐지를 위한 다른 접근 방식으로는 이상 징후 기반, 학습 기반, 쿼리 기반 등이 있습니다. 이상 징후 기반 방식은 일반적인 행위 패턴에서 벗어나는 이상 징후를 탐지하고, 학습 기반 방식은 머신 러닝 모델을 활용하여 패턴을 학습하고 탐지합니다. 또한, 쿼리 기반 방식은 특정 쿼리 그래프를 사용하여 공격을 탐지하고 조사하는 방식입니다. 이러한 다양한 접근 방식은 각각의 장단점을 가지고 있으며, 상황에 따라 적합한 방법을 선택할 수 있습니다.