MimiGen：针对基于溯源的入侵检测系统的生成式模仿攻击

《Expert Systems with Applications》：MimiGen: Generative Mimicry Attacks against Provenance-based Intrusion Detection Systems

　　

**摘要**

基于溯源的入侵检测系统（PIDS）正通过利用溯源图监控系统实体及其相关事件，在检测潜在安全事件方面变得越来越重要。最近，模仿攻击被用来揭露PIDS的弱点，通过注入实体（节点）或修改事件（边）来篡改恶意图，使其伪装为良性。然而，现有方法存在几个不足之处：(1) 未能提取良性图中包含的丰富结构信息；(2) 由于注入了大量节点而降低了模仿攻击的隐蔽性；(3) 在修改过程中破坏了恶意图中原始的攻击路径。在本文中，我们提出了MimiGen，一种图级模仿攻击，能够从恶意图中生成对抗图，以合适的扰动实现高逃逸率。MimiGen利用图扩散模型来捕捉良性图与其异常子图之间的结构和特征差异，从而从良性图中提取更深层次的结构信息。然后，它将模型精心构造的一组节点和边（称为"遮蔽器"）注入恶意图中，同时保持原始攻击路径的完整性。在注入之前，MimiGen根据恶意图确定合适的结合点和遮蔽器大小，以增强遮蔽器的隐蔽性。我们在四个数据集上评估了MimiGen，并针对四个PIDS进行了测试。结果表明，MimiGen能够生成具有小扰动的逃逸图，并优于最先进的模仿攻击。源代码可访问于 https://anonymous.4open.science/r/mimigen-B5F5A4

**引言**

溯源图表示系统实体及其系统调用（syscall）调用，基于各个事件之间的共享依赖关系从审计日志中转换而来 Pan, Stakhanova, & Ray (2023)。这种建模有助于对系统内的事件历史进行安全分析 Bansal et al. (2023)。基于溯源的入侵检测系统（PIDS）的出现标志着安全分析领域的一项重要发展。这些系统对溯源图分配异常分数以标记可疑活动。现有研究 Goyal, Wang, & Bates (2024); Jia et al. (2024); Rehman, Ahmadi, & Hassan (2024); Ren & Geng (2025); Zhong, Lin, Zhang, & Xu (2024) 表明，图神经网络（GNN）在PIDS中被广泛使用，因为它们能同时捕捉图结构和节点特征。尽管取得了这些进展，但这些检测器容易受到对抗攻击——即对原始图进行有意修改以混淆此类基于GNN的分类器。

近年来，针对GNN的对抗攻击已被广泛研究。通常假设攻击者可以直接修改原始图，例如通过添加/删除边或改变节点特征 Fang et al. (2024)。在溯源图中，良性实体（节点）和攻击路径（边）由于系统权限限制和保持攻击路径完整性的需要而不能被修改。因此，这些独特的完整性要求限制了常用对抗扰动方法的适用性，使得针对基于GNN的PIDS的攻击变得复杂。

最近的一项研究 Goyal, Han, Wang, & Bates (2023) 发现，模仿攻击通过扰动恶意图以模拟正常系统活动，可以有效地逃避PIDS，因为这类攻击避免了修改敏感路径，且大多数检测器仅使用良性图进行训练。具体来说，这种攻击方法从一个被正确分类的恶意图开始，尝试通过迭代注入从良性图中提取的子结构来将其修改为对抗图。迭代过程由一个目标函数（如异常分数）引导，通常在找到逃逸图或达到最大尝试次数时停止。

模仿攻击为防御者提供了在真实部署前识别PIDS潜在弱点的宝贵机会。这些洞察使主动应对措施成为可能，例如对抗再训练、分类器增强和知识蒸馏 Yuan, He, Zhu, & Li (2019)，从而增强检测的鲁棒性。由于模仿攻击既支持漏洞评估又支持防御增强，因此吸引了安全研究人员的大量关注 Goyal et al. (2023); Li, Yang, Chen, & Chen (2020b); Mukherjee et al. (2023); Nasr, Rastogi, & Tabiban (2026)。

最近的模仿攻击主要在对抗图生成方面探索两种范式。第一种是良性子结构注入，它在实现高逃逸率方面表现出色，但在面对鲁棒的PIDS时可能会引入明显的扰动。第二种范式涉及将显著路径转换为常见路径，并伴随小扰动。然而，这种边级修改可能会破坏原始攻击路径的完整性。基于这些见解，我们提出了一种新方法，通过深入探索良性图的因果信息，融合了两种范式的优势并弥补了其不足。该方法向恶意图中注入少量节点，在保持原始攻击路径的同时实现高逃逸率。

在本文中，我们提出了MimiGen，一种通过将节点和边（称为"遮蔽器"）注入恶意图来针对基于GNN的PIDS生成逃逸图的方法。采用图扩散模型 Jo, Lee, & Hwang (2022) 来生成各种遮蔽器，因为它能够捕捉良性图与其异常子图之间的结构和特征差异。对于训练，我们利用图剪枝从良性图中构建异常子图，通过选择性地移除节点及其连接的边，将其视为遮蔽器样本。在扩散过程中，我们对遮蔽器的特征及其与其他非遮蔽器节点的交互施加噪声。在去噪过程中，GNN从有噪图中预测原始特征和交互。MimiGen可以通过采样带有参数的有噪恶意图来生成对抗图，例如遮蔽器大小（遮蔽器节点的数量）和结合点（可能与遮蔽器节点交互的非遮蔽器节点），并对它们进行去噪。最后，我们精修去噪结果以满足良性溯源图的基本约束。

总而言之，本文的贡献如下：

- 我们提出了一种针对基于GNN的PIDS生成逃逸图的创新方法。该方法执行图剪枝以提取类似于潜在恶意图的异常子图。然后图扩散模型学习良性图与异常子图之间的差异，从而从真实恶意图实现对抗生成。
- 我们将图剪枝形式化为一个多目标优化问题，采用进化算法高效地探索巨大的解空间。它提供了一组近似最优子图，其异常分数通常超过目标PIDS的异常阈值，表明潜在的恶意性。
- 我们利用在进化算法剪枝结果上训练的图扩散模型来生成遮蔽器，弥合良性和恶意图之间的结构和特征差距。此外，GNN模型预测遮蔽器大小和结合点，消除了参数调优的需要。
- 在四个公开数据集上的实验验证了MimiGen生成各种逃逸图的能力。与强基线相比，它将逃逸率提高了4.8%，同时大幅减少了扰动大小，将平均扰动从64.2%降低到1.9%，增强了有效性和隐蔽性。

**章节片段**

**数据溯源**

本文专注于扰动溯源图。溯源图正式定义为G=(V,E)，其中V是系统实体集合，E是两个实体之间的系统调用集合。如图1所示，一个事件序列示例被建模为有向图，其中边的方向表示两个端点之间的信息流。每个节点和边都携带元数据属性，例如实体类型（如进程、文件和套接字）和系统调用类型（如读取、写入和……

**背景**

迄今为止， researchers已提出了几种模仿攻击 Goyal et al. (2023); Li et al. (2020b); Mukherjee et al. (2023); Nasr et al. (2026) 来揭露现有图级PIDS的弱点。在本节中，我们讨论两种代表性的基于溯源的模仿攻击：模仿溯源生成器（MPG）Goyal et al. (2023) 和ProvNinja Mukherjee et al. (2023)。

MPG是第一个成功对PIDS执行模仿攻击的工作。该方法由两个阶段组成。第一阶段……

**概述**

图3展示了MimiGen的概述，它包含三个关键组件。

**图剪枝。** 给定从收集的审计日志转换而来的良性图和基于GNN的PIDS，我们通过将每个图剪枝为两个不等大小的子图来构建训练数据集。较大的子图被设计为表现出比原始良性图更高的异常分数，而较小的子图作为遮蔽器样本，当与异常子图结合时可以恢复良性图。

**实验设置**

我们在配备AMD Ryzen 9 3900X CPU、16GB RAM和NVIDIA RTX 3060 GPU 12G的机器上进行实验，运行Ubuntu 20.04操作系统。

**实验**

在本节中，我们围绕以下研究问题组织实验：

- **RQ1：** MimiGen与最先进的基线相比在逃逸图生成方面表现如何？
- **RQ2：** 为一个PIDS生成的候选图对不同类型的检测器的迁移能力如何？
- **RQ3：** MimiGen中关键组件对整体攻击性能的贡献是什么？
- **RQ4：** MimiGen中图生成过程的运行时开销如何？
- **RQ5：** 对抗再训练如何影响鲁棒性……

**局限性与未来工作**

**大图。** 由于随着节点数量增加，潜在边的数量呈二次增长 Li, Krea?i?, Potluru, & Li (2024)，扩散模型在高效生成大图方面面临可扩展性挑战。我们的实验表明，在包含3,000个节点的图上进行训练需要大约90%的12GB GPU内存。因此，直接处理如Unicorn Wget Han, Pasquier, Bates, Mickens, & Seltzer (2020) 等包含超过100,000个节点的图的数据集在计算上变得不可行。

**相关工作**

**图对抗攻击。** 有大量关于通过添加小最坏情况扰动来生成对抗图以欺骗GNN的研究。早期研究通过修改现有图元素来实现这一目标。Dai等人 Dai et al. (2018) 采用强化学习在黑色箱设置中发现针对图分类和节点分类的对抗攻击。对于节点分类，Zügner等人 Zügner, Akbarnejad, & Günnemann (2018) 添加或删除边和节点……

**结论**

我们提出了MimiGen，一种通过向恶意图中注入对抗性添加物（遮蔽器）来生成逃逸图的模仿攻击方法。MimiGen通过学习良性图与其异常子图之间的细微差异，确保了攻击路径的完整性并引入了更小的对抗扰动。它在四个数据集上与四种基线方法相比实现了最高的平均逃逸率。在无法直接访问受害者检测器时，它保持了有意义的迁移能力。

**ORCID信息**

Yujian Zhuang: https://orcid.org/0009-0002-0597-8430

Dehong Gao: https://orcid.org/0000-0002-6636-5702

Qichao Zhang: https://orcid.org/0000-0003-0395-8233

Libin Yang: https://orcid.org/0000-0001-5316-7689

Xiaoyan Cai: https://orcid.org/0000-0002-1406-107X

Wei Lou: https://orcid.org/0000-0002-9784-5741

**CRediT作者贡献声明**

Yujian Zhuang: 撰写 – 原稿，软件，调查，形式分析，数据整理，概念化

Dehong Gao: 撰写 – 审阅与编辑，指导

Qichao Zhang: 撰写 – 原稿，软件

Libin Yang: 撰写 – 审阅与编辑，指导

Xiaoyan Cai: 撰写 – 审阅与编辑，指导

Wei Lou: 形式分析，指导

**利益冲突声明**

作者声明他们没有已知的竞争经济利益或个人关系，这些可能被认为影响本文所报告的工作。

Yujian Zhuang | Dehong Gao | Qichao Zhang | Libin Yang | Xiaoyan Cai | Yujie Chen