GapTracer：应对基于RPC混淆的入侵检测攻击溯源方法

《IEEE Design & Test》：GapTracer: Unraveling RPC Obfuscation in Provenance Graphs for Attack Source Tracing

　　

摘要：

入侵检测系统（IDSes）通常利用系统审计日志构建溯源图，以识别攻击事件。然而，大多数基于图的入侵检测系统为了降低图的复杂性，会忽略远程过程调用（RPCs）。这种忽略造成了盲点，攻击者可以利用这些盲点来隐藏恶意操作。本文证明，攻击者可以利用 RPCs 逃避现有基于图的入侵检测系统，通过将关键攻击链路转移至 RPCs，从而在溯源图中掩盖攻击源。为应对这一挑战，我们提出了 GapTracer，这是一种新颖的方法，能够在不增加图复杂性的情况下，缓解由 RPC 导致的混淆并揭示攻击源。GapTracer 在反向 - 正向互补方向上运行。首先，它在反向应用粗粒度时间推理来聚合与 RPC 相关的节点。该推理利用了 RPC 固有的低延迟特性，从而实现了对多级进程创建链和嵌套 RPC 调用的重建。其次，GapTracer 在正向执行细粒度行为分析，以定位恶意操作。为此，行为分析整合了图噪声过滤、基于 Transformer 的 RPC 修剪以及基于随机森林的恶意性检测。我们在 7,305 个使用 RPC 掩盖来源的真实攻击中对 GapTracer 进行了评估。结果表明，GapTracer 在识别攻击源方面达到了 98.97% 的精确率和 96.17% 的召回率，证明了其对抗基于 RPC 的混淆技术的有效性。