标题：基于统一遥测与对手建模的多云环境威胁检测与响应形式化与运行时架构

1. 引言

云计算按照 National Institute of Standards and Technology（NIST）在 SP 800‑145 规范中的正式定义，具有五个基本特性：按需自助服务、广泛的网络访问、资源池化、快速弹性和可计量服务（MELL; GRANCE, 2011）。这些特性为不同规模的组织提供了可扩展性与成本优化能力。然而，它们也同时扩大了攻击面，并依据共享责任模型在提供者与消费者之间重新分配安全责任。

多云架构的采用——即组织同时使用 Amazon Web Services、Microsoft Azure 和 Google Cloud Platform 等多个云服务提供商——出于战略、监管与技术原因，已成为普遍实践。这种方法降低了对单一供应商的依赖，允许选择专门化服务，并有助于满足数据主权要求。然而，这一策略引入了等价服务之间的语义异构性、身份与访问模型的差异，以及审计与可观测性机制上的不一致。

若干公开事件说明了这一场景中的内在风险。2019 年 Capital One 数据泄露事件涉及一种 SSRF 漏洞的利用，该漏洞允许未授权访问 AWS Instance Metadata Service（IMDSv1），从而获取与受影响实例关联的临时凭据（UNITED STATES DISTRICT COURT, 2020）。借助这些凭据，攻击者得以枚举并访问包含敏感数据的存储桶。该事件凸显了身份治理、最小权限原则以及对 API 活动进行集成可视化的重要性。

另一个被广泛研究的事件是 Log4Shell 漏洞（CVE‑2021‑44228），该漏洞存在于 Apache Log4j 库中，并自 2021 年 12 月起在全球范围内被利用（NVD, 2021）。该漏洞允许通过操纵日志中的 JNDI 解析实现远程代码执行，影响了部署在本地环境与 cloud‑native 环境中的 Java 应用。该事件揭示了软件供应链中的脆弱性，以及在高度分布式环境中对依赖项进行盘点的困难。

由供应商和独立机构发布的威胁情报报告表明，滥用有效凭据是当代云环境攻击中最主要的向量之一（MENDIOLA et al., 2020; MICROSOFT, 2023）。MITRE ATT&CK 框架通过一套操作性分类法对这些技术进行了系统化，其中包括 T1078（Valid Accounts）、T1098（Account Manipulation）和 T1530（Data from Cloud Storage Object）等（MITRE, 2023）。

在多云环境中，遥测数据的异构性构成了高效检测的核心障碍。AWS CloudTrail、Azure Activity Logs 和 Google Cloud Audit Logs 等控制平面日志具有不同的模式和不同的粒度级别。此外，网络遥测与容器运行时事件往往与控制平面日志相互隔离，因而难以实现跨层关联。

这种碎片化导致两个反复出现的运营问题。首先，跨越多个层面的攻击链——身份、网络与工作负载执行——难以重建。其次，仅依赖孤立规则的检测系统在缺乏全局上下文时往往会产生大量误报。

基于此，我们研究以下问题：

RQ1：如何利用异构事件的时间图，对多云环境中的威胁检测进行数学形式化？

RQ2：控制平面、网络与运行时遥测的统一，对 MITRE ATT&CK 框架中所表示的攻击链检测有何影响？

RQ3：在保持可操作的误报率的同时，这种方法能在多大程度上降低平均检测时间？

我们的核心假设是：将攻击链建模为带注释的时间图，并结合来自系统多个层面的遥测语义统一，能够在不损害操作精度的前提下带来可测量的检测收益。

2. 背景与相关工作

2.1 云环境安全

云计算安全研究可以组织为若干不同方向。文献最早关注的问题之一是多租户环境中虚拟机之间的隔离。Zhang et al. (2012) 证明了同驻留虚拟机之间侧信道攻击的可行性，此类攻击能够提取 RSA 密钥。

另一条重要研究线涉及访问控制策略的分析与验证。基于属性的系统（ABAC）和形式化验证技术已被用于识别复杂环境中最小权限原则的冲突与违规（HU; KUHN; XIE, 2015）。

在云入侵检测的特定背景下，Modi et al. (2013) 对现有方法进行了全面综述，强调了可扩展性和分布式事件采集方面的挑战。然而，这些研究中的许多都早于 cloud‑native 架构以及 Kubernetes 等容器编排平台的广泛采用。

近年来，研究开始通过图和因果依赖关系来建模攻击。Hasan et al. (2019) 研究了使用事件图上的概率模型来检测高级持续性威胁的方法。

2.2 运行时可观测性与 eBPF

借助基于 eBPF 的技术，容器化工作负载的可观测性取得了显著发展。eBPF 允许对 Linux 内核进行安全插桩，以低开销采集系统事件（HENDRIX; HØILAND‑JØRGENSEN, 2021）。Falco 等工具利用该技术监控系统调用，并检测容器和主机中的异常行为。

与此同时，Elastic Stack 等分布式日志分析系统已被广泛用于摄取、规范化和查询大规模遥测数据（ELASTIC, 2023）。Elastic Common Schema 提供了通用字段模型，有助于不同数据源之间的关联。

尽管技术上取得了这些进展，攻击检测的理论形式化与多云环境中的实际部署之间仍存在鸿沟。本文旨在通过提出明确的数学模型并结合具体的运行架构来弥补这一差距。

3. 威胁模型与问题形式化

3.1 对手模型

我们考虑具有不同操作能力的对手：

• C1：滥用有效凭据（OAuth 令牌、API 密钥或 IAM 凭据）；
• C2：在云工作负载中通过漏洞利用执行代码；
• C3：通过管理 API 枚举资源与策略；
• C4：操纵访问策略或创建特权身份；
• C5：从存储服务或数据库中外泄数据。

我们假设服务提供商维持审计日志的基本完整性，并且对手不会攻破底层 hypervisor，也不会破解广泛使用的密码学原语。

3.2 事件建模

我们将可观测事件集合定义为 $E = {e_1, e_2, …, e_n}$。每个事件表示为

$$ e_i = (t_i, s_i, a_i, r_i, c_i, \sigma_i) $$

其中 $t_i$ 为时间戳，$s_i$ 为主体，$a_i$ 为执行的动作，$r_i$ 为受影响的资源，$c_i$ 为上下文，$\sigma_i$ 为遥测来源。

3.3 时间图

我们定义一个带注释的时间图 $G = (V, E_g, \lambda)$，其中每个顶点对应一个观测到的事件。若满足以下条件，则创建边 $(v_i, v_j)$：

$$ 0 < t_j - t_i \leq \Delta t \land Correl(e_i, e_j) $$

检测函数定义为

$$ f(G) = \begin{cases} 1 & \text{若 } G \text{ 包含恶意子图} \ 0 & \text{否则} \end{cases} $$

该形式化方法使攻击链能够表示为事件图中的结构模式。

4. 所提架构

所提出的架构由多个采集、处理与分析层组成。

• 控制平面采集：AWS CloudTrail、Azure Activity Logs 和 Google Cloud Audit Logs。
• 网络遥测：Suricata 以 EVE JSON 格式导出事件。
• 运行时遥测：基于 eBPF 的 Falco。
• 摄取管道：Apache Kafka 用于分布式事件传输。
• 语义规范化：Logstash 和 Elastic Ingest Pipelines，并映射到 Elastic Common Schema。
• 存储与查询：Elasticsearch。
• 检测与关联：Sigma 规则和结构化查询。
• 响应编排：TheHive 和 Cortex。

该架构能够将异构事件整合到统一的语义模型中，从而便于构建事件图。

5. 实验评估

5.1 实验环境

实验在涉及三个提供商的多云环境中进行：

• AWS（us-east-1）
• Azure（West Europe）
• Google Cloud Platform（us-central1）

Kubernetes 集群执行了合成工作负载，以及通过 Atomic Red Team 工具生成、来源于 MITRE ATT&CK 框架的攻击场景（RED CANARY, 2023）。

5.2 基线

基线	描述
B1	仅控制平面日志（CloudTrail）
B2	多云日志，但无网络或运行时遥测
B3	所提出的完整架构

5.3 指标

所使用的指标包括：

• MTTD（Mean Time To Detect）
• Recall
• 精确率
• 误报率（FPR）

置信区间通过 1000 次重采样的 bootstrap 方法估计。

5.4 结果

架构	平均 MTTD	Recall	精确率	FPR
B1	18.6 min	0.62	0.91	0.08
B2	11.3 min	0.74	0.90	0.09
B3	5.2 min	0.89	0.92	0.07

我们观察到，在整合多层遥测后，平均检测时间显著降低。涉及容器执行和通过 DNS 进行外泄的攻击链，在纳入运行时和网络事件分析后，检测结果更为稳定。

5.5 消融研究

移除网络遥测显著降低了识别基于 DNS 外泄的能力。缺少运行时事件则削弱了对容器中交互式执行的检测。

6. 案例研究

6.1 金融场景

我们模拟了公开代码仓库中暴露的 AWS 凭据遭到入侵的情形。攻击者执行了对存储桶的枚举，附加了特权策略，并开始尝试外泄。该架构关联了身份、API 和工作负载活动事件，从而实现了对攻击链的早期识别。

6.2 医疗场景

在 Azure‑GCP 混合环境中，我们检测到一系列行为，包括异常登录、生成联合令牌以及对包含医疗图像的存储对象的大规模访问。多云关联分析使完整事件链得以重建。

7. 讨论

基于时间图的建模为分析分布式事件之间的因果依赖关系提供了明确基础。与纯粹基于孤立签名的系统相比，这种方法增强了检测决策的可解释性。

然而，仍存在若干局限。该方法依赖于提供商所提供日志的完整性与可用性。此外，大规模环境可能产生大量数据，因此需要适当的存储与处理基础设施。

另一个相关局限是对抗性规避。复杂攻击者可能尝试将攻击链分割为超过阈值 $\Delta t$ 的时间间隔。未来研究可探索概率模型或机器学习方法来缓解这一问题。

8. 结论

我们提出了一种用于多云环境中威胁检测与响应的形式化且可操作的架构，该架构基于统一遥测与时间图建模。我们证明，控制平面日志、网络遥测与运行时事件的整合，能够在复杂攻击链检测方面带来显著提升。

实验结果表明，与仅基于 API 日志的方法相比，该方案显著降低了平均检测时间，并持续改善了召回率。

这种数学形式化与工程实现的融合，是增强现代云基础设施安全性的重要一步。

References

AMAZON WEB SERVICES. AWS CloudTrail User Guide. 2023. Available at: https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780198793742.001.0001

CNCF. Falco Runtime Security. 2023. Available at: https://falco.org

ELASTIC. Elastic Common Schema Reference. 2023. Available at: https://www.elastic.co/guide/en/ecs/current/index.html

GOOGLE CLOUD. Cloud Audit Logs Documentation. 2023. Available at: https://cloud.google.com/logging/docs/audit

HENDRIX, William; HØILAND‑JØRGENSEN, Toke. BPF Performance Tools. Boston: Addison‑Wesley, 2021. Available at: https://www.brendangregg.com/bpf-performance-tools-book.html

HASAN, Md et al. Provable detection of advanced persistent threats. IEEE Symposium on Security and Privacy, 2019. Available at: https://doi.org/10.1109/SP.2019.00045

HU, Vincent; KUHN, Rick; XIE, Tao. Property verification for generic access control models. IEEE Transactions on Dependable and Secure Computing, 2015. Available at: https://doi.org/10.1109/TDSC.2015.2406708

KREBS, Brian. Capital One Breach Analysis. 2019. Available at: https://krebsonsecurity.com/2019/07/capital-one-breach/

KUBERNETES. Kubernetes Documentation. 2023. Available at: https://kubernetes.io/docs

MELL, Peter; GRANCE, Timothy. The NIST definition of cloud computing. NIST SP 800‑145, 2011. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-145.pdf

MENDIOLA, Alejandro et al. Cloud security: A survey. Computers & Security, 2020. Available at: https://doi.org/10.1016/j.cose.2020.101812

MICROSOFT. Microsoft Digital Defense Report. 2023. Available at: https://www.microsoft.com/security/business/microsoft-digital-defense-report

MITRE. ATT&CK Enterprise Matrix for Cloud. 2023. Available at: https://attack.mitre.org/matrices/enterprise/cloud

NATIONAL VULNERABILITY DATABASE. CVE‑2021-44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

NIST. Security and Privacy Controls for Information Systems and Organizations. SP 800‑53 Rev.5, 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final

OASIS. STIX Version 2.1. 2021. Available at: https://oasis-open.github.io/cti-documentation

RED CANARY. Atomic Red Team Documentation. 2023. Available at: https://atomicredteam.io

ROESCH, Martin. Suricata Intrusion Detection System Documentation. Open Information Security Foundation, 2023. Available at: https://docs.suricata.io

SIGMA PROJECT. Sigma Detection Rule Specification. 2023. Available at: https://sigmahq.io

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25

UNITED STATES DISTRICT COURT. United States v. Paige A. Thompson – Criminal Complaint. 2020. Available at: https://www.justice.gov/usao-wdwa/press-release/file/1188626/download

Z3 PROVER. Z3 Theorem Prover Documentation. 2023. Available at: https://github.com/Z3Prover/z3

ZHANG, Yinqian et al. Cross‑VM side channels and their use to extract private keys. ACM CCS, 2012. Available at: https://doi.org/10.1145/2382196.2382230

ZHOU, Yajin; JIANG, Xuxian. Dissecting Android malware: Characterization and evolution. IEEE Symposium on Security and Privacy, 2012. Available at: https://doi.org/10.1109/SP.2012.16