基于 ARCANE 框架的跨行动证据网络溯源性能评估

《Scientific Reports》：ARCANE: cross-campaign attacker re-identification via Beacon and canary-token telemetry—a sequential evidence-accumulation framework for longitudinal cyber attribution

　　

摘要

目前的网络溯源方法通常是基于单个事件来操作的，这引发了一个问题：是否可以通过汇总多个行动中的证据来显著提高对手的识别能力。我们通过一个名为ARCANE的框架来研究这个问题，该框架可以汇总来自嵌入在文档、凭证或源代码中的追踪载荷（“信标”/金丝雀令牌）的遥测数据，从而构建持久的对手指纹，并将新证据与针对每个查询行动的贝叶斯规则相结合。该方法在每次查询时仅执行一次多类贝叶斯更新，而不是针对每个参与者进行一系列更新；同时，每次查询都会重置先验概率，并且只有在经过明确的标签验证延迟后，才能将知识库中的条目作为证据使用，这一延迟模拟了分析师实际验证过程中的滞后情况。我们使用了一种基于参与者的自举统计协议对该方法进行了评估（而不是将不独立的行动对视为独立的成对测试），并与两个基于相似性的基线进行了比较，还进行了特征组消融实验、校准分析（布里尔分数、预期校准误差）、开放集测试以及模拟器敏感性测试。在一个包含8个模拟国家行为体和96个行动的合成基准测试中，同一行为体内的指纹相似性明显高于不同行为体之间的相似性（行为体级自举法显示\(\Delta _S = 0.149\)，95%置信区间[0.104, 0.176]），但ARCANE的准确率仅为32.9\%（评估了91个行动）——显著低于简单的基于运行时特征的最近邻基线（62.8\%）；行为体组自举法的准确率为\(p = 6.7\times 10^{-4}\)），在统计上与k最近邻基线（55.8\%）无显著差异（\(p = 0.073\)）。在两种不同的规避策略下，准确率都保持稳定（对每个行动结果的卡方检验表明 0.65\)），我们认为这一结果证明了“在所测试的两种规避模型下”的规避行为不变性，而并非对手规避行为的一般特征。特征组消融实验表明，仅地理空间特征子组的性能就优于完整的24维指纹模型，这说明简单地将不同类型的特征组合在一起（使用余弦相似度进行比较）会稀释信息价值，而非增强其效用。我们将这些结果视为一个经过严格验证的负面/混合结论：即使在数学上有效的贝叶斯更新框架下，跨行动数据的汇总也无法自动超越简单的运行时特征匹配方法；此外，关于现实世界中存在某种“结构性”分离极限的说法也无法通过单一的合成模拟实验来证实。因此，我们对其结论进行了适当的限制，并概述了进一步验证所需的具体实验——包括额外的基线测试、真实遥测数据收集、开放集评估以及度量学习等方法。