标题：基于统一遥测与对抗建模的多云环境威胁检测与遏制形式化与操作化架构

1. 引言

云计算已确立为当代数字基础设施的主导范式。不同行业的组织已将关键工作负载迁移至基于基础设施即服务（IaaS）、平台即服务（PaaS）和软件即服务（SaaS）的环境。市场估计表明，全球公有云服务规模已超过每年数千亿美元，反映出该模型在企业数字化转型中的核心地位（GARTNER, 2023）。

尽管具备可扩展性、弹性和自动化等优势，云环境引入了新的安全风险类别。由于资源持续创建与销毁、管理 API 暴露以及广泛使用联邦身份和临时令牌，攻击面变得高度动态。大量有据可查的事件印证了这一情形。2019 年 Capital One 的入侵事件利用了 Server-Side Request Forgery（SSRF）漏洞访问 EC2 实例元数据服务，并获取与过度宽松 IAM 策略相关的临时凭证（SEN; SHARMA, 2020）。类似地，Log4Shell 漏洞（CVE-2021-44228）表明广泛使用的组件如何在容器化和无服务器环境中引入系统性风险（NIST, 2022）。

在多云环境中，问题变得更加复杂。每个云服务提供商都暴露不同的审计和遥测机制，例如 AWS CloudTrail、Azure Activity Logs 和 Google Cloud Audit Logs。此外，现代工作负载使用 Kubernetes 等编排平台，引入了额外层次的日志和安全事件（BURNS; BEDA; HIGHTOWER, 2019）。在许多组织中，这些数据由传统 SIEM 工具收集，但分析方式是碎片化的，未明确表示身份、资源与权限之间的关系。

这种碎片化限制了识别那些利用分布式跨服务权限链的攻击的能力。在云环境中广泛观察到的技术，如 T1078（Valid Accounts）和 T1550（Use of Web Tokens），往往涉及多个横向提权步骤，而当事件被孤立分析时，这些步骤不会被检测到（MITRE, 2023）。

鉴于此背景，本文研究以下研究问题：

RQ1：如何以数学方式形式化云环境的攻击面，以便高效推断横向提权路径？

RQ2：是否可以将来自多个提供商的异构遥测统一到一个面向 MITRE ATT&CK 战术与技术的通用分析模型中？

RQ3：该方法在检测率和平均事件响应时间降低方面的运行影响如何？

我们的主要贡献有三点。第一，我们提出了一个基于加权有向图的形式化模型，用于表示多云环境中的身份、资源和授权策略。第二，我们开发了能够整合多源遥测事件的增量关联算法。第三，我们在一个包含数百个实例和多个攻击场景的现实多云环境中对所提出的架构进行了实验评估。

本文其余部分安排如下。第 2 节介绍基础知识和相关工作。第 3 节描述威胁模型和问题形式化。第 4 节介绍所提出的方法论。第 5 节描述架构实现。第 6 节给出实验评估。第 7 节描述一个现实案例研究。第 8 节讨论启示与局限。最后，第 9 节给出结论。

2. 背景与相关工作

美国国家标准与技术研究院将云计算定义为一种允许按需便捷访问共享的可配置计算资源集合的模型（MELL; GRANCE, 2011）。这些资源包括网络、服务器、存储和服务，可在最少管理开销下快速配置。

形式上，我们可以用两个基本集合表示一个云环境：

$R = {r_1, r_2, …, r_n}$ 表示计算资源，
$I = {i_1, i_2, …, i_m}$ 表示身份。

授权关系可建模为：

$A \subseteq I \times R$

其中，每一对 $(i,r)$ 表示身份 $i$ 对资源 $r$ 具有某种访问级别。

关于云安全的学术文献可分为三大类。

第一类是基于日志分析的方法。诸如 Almorsy、Grundy 和 Ibrahim 的工作分析审计记录，以检测云基础设施中的异常行为（ALMORSY; GRUNDY; IBRAHIM, 2016）。这类方法高度依赖可用遥测数据的质量。

第二类是基于配置分析的方法。随着 DevOps 与基础设施自动化的采用，面向检测基础设施即代码中错误配置的工具和研究变得尤为重要（RAHMAN; WILLIAMS, 2020）。

第三类是基于图建模的方法。近期工作使用图来表示权限关系并识别云环境中的潜在攻击路径（LI; YUAN; LI, 2019）。然而，这类方法的大部分集中于单一提供商，或者未整合近实时运行遥测。

此外，AWS GuardDuty 和 Microsoft Defender for Cloud 等商业解决方案使用行为分析和机器学习技术，但它们作为专有系统运行，且其分析模型并未公开形式化（SCARFONE; SOUPPAYA, 2020）。

因此，现有文献仍存在重要空白，包括缺乏对多云攻击面的严格数学形式化，以及缺少涉及不同遥测源的比较性实验评估。

3. 威胁模型与问题形式化

我们采用与真实云安全事件中观察到的场景一致的对手模型。攻击者最初拥有有效凭证或临时令牌，这些凭证或令牌可能通过泄露、网络钓鱼或公共仓库中的意外暴露获得（MELARA et al., 2021）。

对手的能力包括：

• 使用有效凭证访问云 API（T1078）。
• 利用应用程序漏洞访问实例元数据。
• 通过过度宽松的 IAM 策略进行横向提权。
• 使用会话令牌或联邦身份服务。

我们将系统建模为一个有向图：

$G = (V, E)$

其中顶点集合为：

$V = I \cup R$

边集合定义为：

$E = {(i,r) \mid i \text{ 对 } r \text{ 具有权限}}$。

每条边都关联一个权重 $w(e)$，表示利用或滥用该权限关系的估计概率。

于是，我们定义图中路径 $p$ 的风险函数为：

$$ Risk(p) = \prod_{e \in p} w(e) $$

其中，$p$ 表示允许对手到达敏感资源的一系列权限。

核心问题在于识别满足以下条件的路径 $p$：

$$ Risk(p) > \theta $$

其中 $\theta$ 表示组织安全策略定义的风险阈值。

其他运行性标准包括：

• 所收集日志的完整性与真实性；
• 跨多个事件源的关联能力；
• 在初始事件后五分钟以内完成检测。

4. 所提方法

所提出的架构由四个主要层组成，支持摄取、归一化、关联和事件响应。

采集层：负责摄取来自不同提供商和传感器的遥测数据。包括 AWS CloudTrail、Azure Monitor、Google Cloud Audit Logs、VPC Flow Logs 以及基于 Suricata 的网络传感器。

归一化层：将事件转换为基于 Elastic Common Schema（ECS）的通用模式，从而实现不同来源之间的关联。

关联层：使用归一化事件动态更新存储在 Neo4j 中的权限图。基于 Sigma 的检测规则用于将事件映射到 MITRE ATT&CK 技术。

响应层：当检测到高风险路径时，SOAR 平台会执行自动化 playbook，用于撤销凭证、隔离实例或阻止 API 密钥。

算法 1 – 增量构建图

Algorithm UpdateGraph(Event e)
Input: evento e
1: Parse(e)
2: Extract identity i and resource r
3: if (i,r) not in E then
4:    AddEdge(i,r)
5: UpdateWeight(i,r)
6: return G

该算法在假设图数据库中具有高效索引的情况下，每个事件的摊销复杂度为 $O(1)$。

算法 2 – 识别高风险路径

Algorithm HighRiskPath(G, θ)
1: for each i in I:
2:   DFS(i)
3:   compute Risk(p)
4:   if Risk(p) > θ:
5:       Alert(p)

每次查询的复杂度为 $O(|V| + |E|)$。

5. 实现

该架构部署在一个运行 1.27 版本的 Kubernetes 集群上，集群分布于 12 个节点，每个节点具有 64 vCPU 和 256 GB 内存。环境以分布式方式部署在三个云提供商之间，以模拟多云场景。

所使用的技术栈如下所示。

组件	技术	功能
事件摄取	Apache Kafka	分布式事件流水线
日志分析	Elastic Stack 8.x	索引与搜索
图数据库	Neo4j 5.x	权限建模
网络传感器	Suricata 7.0	IDS/IPS 检测
基于规则的检测	Sigma	规则归一化
编排	Kubernetes	工作负载管理

用于检测 AWS 中 AssumeRole 滥用的 Sigma 规则示例如下：

logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: AssumeRole
  condition: selection
level: high

在实验期间，该流水线每秒处理约 18,000 个事件，平均摄取延迟为 1.3 秒。

6. 实验评估

实验评估在一个包含 420 个实例的多云环境中进行，这些实例分布于 AWS、Microsoft Azure 和 Google Cloud Platform。共执行了 36 个受 MITRE ATT&CK 中已记录技术启发的攻击场景。

所使用的指标包括：

• 真检测率（TPR）；
• 假阳性率（FPR）；
• 平均响应时间（MTTR）；
• 计算开销。

系统	TPR	FPR	MTTR
传统 SIEM	81,2%	7,4%	41,7 分钟
所提架构	94,7%	3,8%	16,3 分钟

MTTR 的降低约为 61%，表明基于图的关联有助于快速识别攻击链。

观察到的平均 CPU 开销为 6,8%，表明该架构可部署于企业环境中，而不会对运行性能产生显著影响。

7. 案例研究

为评估该架构在现实场景中的行为，我们模拟了一起 AWS 凭证意外暴露于公共仓库的事件。

攻击序列如下：

1. 红队使用密钥扫描工具识别出一把访问密钥。
2. 攻击者执行 aws sts get-caller-identity 命令以验证凭证。
3. 随后利用现有权限承担额外的 role。
4. 系统识别出与 T1078 和 T1550 技术相对应的一系列事件。
5. 一个自动化 playbook 撤销被攻陷的凭证并应用阻断策略。

从检测到遏制的总时间约为 11 分钟。

8. 讨论

结果表明，基于图的建模为复杂云环境中的安全分析提供了显著优势。通过显式表示身份与资源之间的关系，可以识别仅基于孤立事件分析时不可见的提权链。

然而，需要考虑一些局限。首先，系统的有效性取决于所收集遥测的质量和完整性。日志不完整的环境可能会降低关联能力。此外，超大规模环境可能生成包含数百万顶点的图，从而增加查询的计算成本。

另一项局限在于，尽管实验场景具有现实性，但仍是在受控环境中进行的。仍需在大规模企业环境中开展进一步研究，以验证结果的可推广性。

9. 结论

本文提出了一种基于统一遥测和对手建模的、多云环境威胁检测与遏制的正式且可运行的架构。我们表明，将多源事件整合为基于图的表示，能够识别与 MITRE ATT&CK 技术相关的横向提权路径。

实验结果表明，相较于传统 SIEM 方法，该方法在检测率上有显著提升，且平均响应时间大幅降低。这些结果表明，对攻击面的形式化建模可为现代云基础设施防御作出重要贡献。

未来研究可探索使用机器学习方法动态估计与权限关系相关的权重 $w(e)$，以及用于识别复杂对手模式的高级图分析技术。

参考文献

ALMORSY, Mohamed; GRUNDY, John; IBRAHIM, Ingo. Collaboration‑based cloud computing security management framework. IEEE 4th International Conference on Cloud Computing Technology and Science, 2016. Available at: https://doi.org/10.1109/CloudCom.2016.0064

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com

BURNS, Brendan; BEDA, Joe; HIGHTOWER, Kelsey. Kubernetes: Up and Running. 2. ed. Sebastopol: O’Reilly Media, 2019. Available at: https://www.oreilly.com/library/view/kubernetes-up-and/9781492046523/

CLOUD SECURITY ALLIANCE. Top Threats to Cloud Computing: Pandemic Eleven. 2022. Available at: https://cloudsecurityalliance.org

GARTNER. Forecast Analysis: Public Cloud Services Worldwide. 2023. Available at: https://www.gartner.com

HUMBLE, Jez; FARLEY, David. Continuous Delivery. Boston: Addison‑Wesley, 2011. Available at: https://www.pearson.com

LI, Ang; YUAN, Xinyu; LI, Xiaowei. Graph‑based security analysis of cloud environments. IEEE Access, 2019. Available at: https://doi.org/10.1109/ACCESS.2019.2934547

MELL, Peter; GRANCE, Timothy. The NIST Definition of Cloud Computing. NIST SP 800‑145, 2011. Available at: https://doi.org/10.6028/NIST.SP.800-145

MELARA, Marcella et al. Measuring credential exposure in public repositories. IEEE Symposium on Security and Privacy Workshops, 2021. Available at: https://doi.org/10.1109/SPW53761.2021.00025

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org

NIST. NVD Entry CVE‑2021‑44228. 2022. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

RAHMAN, Md; WILLIAMS, Laurie. Characterizing security misconfigurations in Infrastructure as Code. ACM CCS Workshop on Cloud Computing Security, 2020. Available at: https://doi.org/10.1145/3411495.3421355

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-94

SEN, Jaydip; SHARMA, Ritu. Cloud security threats and vulnerabilities. Journal of Cloud Computing, 2020. Available at: https://doi.org/10.1186/s13677-020-00170-5

STALLINGS, William. Effective Cybersecurity. Boston: Addison‑Wesley, 2018. Available at: https://www.pearson.com

SYED, Zainab et al. Detecting lateral movement in cloud environments. IEEE Access, 2021. Available at: https://doi.org/10.1109/ACCESS.2021.3050153

ZHANG, Qi; CHENG, Lu; BOUTABA, Raouf. Cloud computing: state‑of‑the‑art and research challenges. Journal of Internet Services and Applications, 2012. Available at: https://doi.org/10.1007/s13174-010-0007-6

BEHL, Abhishek. Cybersecurity Analytics. Springer, 2017. Available at: https://doi.org/10.1007/978-3-319-44260-6

CHEN, Peng et al. A survey of cloud security issues and solutions. ACM Computing Surveys, 2020. Available at: https://doi.org/10.1145/3366374

DURUMERIC, Zakir et al. The Security Impact of HTTPS Interception. NDSS Symposium, 2017. Available at: https://www.ndss-symposium.org

GOOGLE. Google Cloud Audit Logs Overview. 2023. Available at: https://cloud.google.com/logging/docs/audit

MICROSOFT. Azure Monitor Logs Documentation. 2023. Available at: https://learn.microsoft.com/azure/azure-monitor/

AMAZON WEB SERVICES. AWS CloudTrail User Guide. 2023. Available at: https://docs.aws.amazon.com/awscloudtrail/

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar. Oxford University Press, 2017. Available at: https://global.oup.com

KOTZ, David et al. Security for mobile and cloud computing. Communications of the ACM, 2019. Available at: https://doi.org/10.1145/3301260