从基础设施即代码（IaC）到入侵即代码（IoC）——利用基础设施即代码生成被攻破的Linux系统的合成数据集，用于数字取证

《Digital Threats: Research and Practice》：From IaC to IoC – Using Infrastructure as Code (IaC) to Generate Synthetic Datasets of Compromised (IoC) Linux Systems for Use in Digital Forensics

数字取证（DF）数据集合成对网络安全教育和工具测试至关重要。本研究基于ForTrace框架，扩展其Linux模块以自动生成攻击痕迹，形成符合实际场景的入侵指标（IoC）。通过对比漏洞系统在IaC配置下的实际日志与预期模型，验证了框架扩展的有效性，同时评估了IaC在构建脆弱靶机中的适用性，有效规避了数据生成过程中引入的冗余痕迹。

　　

摘要

由于网络攻击的数量不断增加，对于能够利用数字取证（DF）重建事件并评估事件造成的实际损害的事故响应人员的需求也在不断增长。因此，DF数据集对于教育、培训和工具测试至关重要。目前，这类数据集可以通过公开的数据集存储库以静态准备好的图像形式获得；或者，也可以使用数据集生成框架来合成可自定义的数据集。在本文中，我们采用了第二种方法，并对现有的框架进行了扩展以满足我们的需求。我们的扩展既适用于目标操作系统，也适用于数据生成框架产生的跟踪信息。具体来说，我们以现有的数据合成框架ForTrace作为基础，集成了一种Linux模块，该模块能够在Linux系统上执行（半）自动化攻击，从而在生成的图像中创建适当的漏洞指标（IoC）。通过这种方式，我们评估了基础设施即代码（IaC）在配置易受攻击的目标系统方面的适用性，并评估了我们的方法在避免数据生成框架导致的不必要伪影方面的有效性。为了验证我们的框架扩展，我们使用新方法生成了两种类型受损系统的合成数据集作为概念验证，然后将实际生成的跟踪信息与基于相应场景的预期跟踪信息进行比较。