标题：基于权限图和概率分析的多云环境自适应横向移动检测与遏制架构

1. 引言

过去十年中加速推进的数字化转型，已使云计算巩固为金融服务、医疗系统、电信、能源和公共行政等领域的关键基础设施。Infrastructure-as-a-Service (IaaS)、Platform-as-a-Service (PaaS) 和 Software-as-a-Service (SaaS) 模式在混合云与多云架构中并存；在这些架构中，组织将工作负载分布于多个云服务提供商之间，以避免技术依赖、优化成本或满足监管要求。

然而，这种多样化也引入了显著的结构复杂性。在传统的本地部署（on-premises）环境中，网络边界在分段与防御中发挥核心作用。相比之下，云环境采用以身份为中心的范式，其中声明式策略通过程序化 API 定义细粒度权限。共享责任模型意味着配置错误、过度权限以及未被充分理解的委派，仍然直接由客户控制。

广受认可的报告，如 Verizon 的 Data Breach Investigations Report，持续指出有效凭证滥用是最主要的入侵向量。MITRE ATT&CK 框架记录了诸如 Valid Accounts (T1078)、Use of Web Application Vulnerabilities 等用于初始访问获取的技术，以及后续的 Pass-the-Token (T1550) 或 Account Manipulation (T1098) 技术，这些都说明了初始入侵后的横向推进过程。CVE-2021-44228（Log4Shell）漏洞，存在于 Apache Log4j 库中，表明广泛分布组件中的缺陷如何导致远程代码执行，并进一步造成存储在环境变量中的机密信息被窃取，其中常常包括云服务访问密钥。

2019 年涉及 Capital One 的事件，在公开报告和司法程序中已被广泛分析，揭示了应用程序防火墙配置不当与存储服务中过度权限相结合，如何允许大规模数据提取。无论具体细节如何，反复出现的模式是清晰的：最大影响不仅来自初始向量，更来自利用特权路径的能力。

在多云环境中，情况因通过 SAML 2.0 或 OpenID Connect (OIDC) 联邦认证的身份、可被假设的角色（如 AWS STS AssumeRole）、Azure 中的 Managed Identities 以及 Google Cloud 中的 Service Accounts 而进一步恶化。账户与订阅之间交叉信任关系形成委派图，而这些关系无法通过单一管理界面轻易可见。

这一现实引出了若干关键问题：

RQ1：如何在多云环境中以统一且可扩展的方式，对权限与信任关系进行形式化建模，同时保留各云服务提供商特定的语义？

RQ2：是否能够从定量上——即便是以概率性而非确定性的方式——估计从一个初始受损点出发成功发生横向移动的概率？

RQ3：如何在最小影响合法运维的前提下，减少与关键特权路径相关的攻击面，并遵循业务连续性原则？

我们提出一种架构，通过将图论、概率分析和受运营约束的组合优化相结合，回应上述问题。我们的方法区别于其他方案之处在于：它将显式结构建模、可解释的概率估计以及自适应遏制机制结合起来。

2. 背景与相关工作

2.1 攻击图与结构化建模

关于攻击图的文献可追溯到 Ammann、Wijesekera 和 Kaushik（2002）等经典工作，他们提出了可扩展的攻击图生成技术（AMMANN; WIJESEKERA; KAUSHIK, 2002）。随后，Noel 等（2009）探索了网络中的定量风险度量（NOEL et al., 2009）。这些工作为表示系统状态与可利用转换奠定了基础。

然而，这些模型中的许多都假设相对静态的网络环境，未能捕捉云端 IAM 策略的声明式与动态特性。诸如 BloodHound 的工具，由 Singla（2016）公开介绍，能够对 Active Directory 中的权限关系建模，从而识别通往特权账户的路径。尽管概念上相似，此类方法主要聚焦本地部署环境，且未整合多个云服务提供商。

2.2 基于异常与日志的检测

入侵检测系统（AXELSSON, 2000; SCARFONE; MELL, 2007）已从基于特征的方案演进为行为型方法。诸如 DeepLog（DU et al., 2017）之类的工作，使用循环神经网络对日志序列进行建模。在云环境中，AWS CloudTrail 和 Azure Activity Logs 等日志常被用于检测 API 异常。

然而，纯行为型方法在可解释性方面面临挑战，并且在高度动态的环境中可能产生较高误报率。此外，检测到异常并不必然意味着已经识别出导致权限提升的结构性路径。

2.3 零信任与基于身份的架构

NIST SP 800-207 定义了 Zero Trust Architecture 的原则（ROSE et al., 2020），强调持续验证与最小权限。NIST SP 800-53 Rev.5（NIST, 2020）规定了适用于联邦系统的安全控制。然而，这些文档提供的是规范性指导，而非用于多云图概率分析的具体算法。

2.4 已识别的空白

基于上述综述，我们识别出三项主要空白：

1. 缺乏一个统一的形式化模型，能够在保留委派语义的同时整合多个云服务提供商。
2. 缺乏将权限结构与可利用性概率估计相结合的机制。
3. 系统性缓解方法稀缺，尤其缺少带有显式运营影响分析的优化方法。

我们的工作位于这些空白的交叉点。

3. 威胁模型与问题形式化

3.1 形式化定义

定义 1（多云环境）。
多云环境被建模为一个有向加权图 $G = (V, E, w, \lambda)$，其中：

• $V = V_I \cup V_R$ 为顶点集合，分为身份集合 $V_I$ 与资源集合 $V_R$；
• $E \subseteq V \times V$ 为表示权限或信任关系的边集合；
• $w: E \rightarrow (0,1]$ 为边赋权，解释为可利用的条件概率；
• $\lambda: V \rightarrow {AWS, Azure, GCP, …}$ 为与顶点相关联的云服务提供商标签。

定义 2（横向移动路径）。
路径 $p = (v_0, v_1, …, v_k)$ 是一个序列，满足对所有 $i$，都有 $(v_i, v_{i+1}) \in E$。

在假设边之间条件独立的简化前提下，累积风险为：

$$ R(p) = \prod_{i=0}^{k-1} w(v_i, v_{i+1}). $$

我们承认独立性假设只是近似；其局限性将在第 7 节讨论。

3.2 对手模型

我们定义如下能力类别：

• A1 类：初始受损一个有效身份。
• A2 类：能够通过允许的 API 枚举元数据。
• A3 类：自动化利用委派链。
• A4 类：通过策略操纵实现持久化（在允许的情况下）。

我们不假设云提供商控制平面遭受破坏，也不假设 TLS 或签名机制存在底层密码学失效。

3.3 安全博弈

我们将交互建模为一个概率博弈：

1. 防御方选择策略 $E$。
2. 攻击方选择 $v_0 \in V_I$。
3. 系统按照由 $w$ 诱导的分布演化。

定义 3（关键节点）。
若某节点 $v$ 表示高价值资源（例如敏感数据库），则称其为关键节点。

防御方的目标是最小化：

$$ \Pr[\exists p: v_0 \leadsto v_{crit} \land R(p) \geq \tau]. $$

4. 所提方法

4.1 总体架构

该架构由以下部分组成：

1. 策略摄取：收集 IAM 策略、角色、绑定与联邦关系。
2. 语义归一化：转换为通用中间模型。
3. 图构建：持久化到图数据库。
4. 概率引擎：通过 RWR 计算中心性与风险。
5. 缓解机制：在约束下进行优化。

4.2 Random Walk with Restart (RWR)

设 $W$ 为归一化后的转移矩阵，使得：

$$ W_{ij} = \frac{w(j,i)}{\sum_{k} w(j,k)}. $$

风险向量 $r$ 满足：

$$ r = (1-\alpha) W^T r + \alpha r_0. $$

定理 1（收敛性）。
对于 $0 < \alpha < 1$，迭代收敛到唯一解。

证明概要：
矩阵 $(1-\alpha)W^T$ 的谱半径严格小于 1，从而保证在 $\ell_1$ 范数空间中的收缩性。

每次迭代复杂度：$O(|E|)$。
达到收敛阈值 $\epsilon$ 所需迭代次数：在通常假设下为 $O(\log(1/\epsilon))$。

4.3 缓解优化

我们形式化为：

$$ \min_{\Delta E} |\Delta E| $$

约束为：

$$ r_{crit} < \tau $$

其中 $r_{crit}$ 是与关键节点相关的 $r$ 的分量。

该问题通过归约至具有多重约束的最小割问题而成为 NP-困难。我们采用基于边际贡献的贪心启发式：

定义 4（边际贡献）。

$$ \Delta_e = r_{crit}^{(E)} - r_{crit}^{(E \setminus {e})}. $$

我们迭代选择 $\Delta_e / C_e$ 最大的边，其中 $C_e$ 表示估计的运营成本。

近似复杂度：对于 $k$ 次移除，为 $O(k|E|)$。

5. 实现

我们使用 Python 3.11 实现了原型。采集部分使用：

• AWS boto3（IAM、STS、Organizations）。
• Azure SDK for Python（Microsoft Graph、Role Assignments）。
• Google Cloud Client Libraries（IAM Policy Bindings）。

图存储于 Neo4j 中，从而允许使用 Cypher 查询识别模式。

5.1 数据管线

1. 周期性提取策略。
2. 以规范化 JSON 中间格式存储。
3. 增量构建图。
4. 异步执行 RWR。

5.2 与日志的集成

支持的日志包括：

• AWS CloudTrail。
• Azure Activity Logs。
• Google Cloud Audit Logs。

用于检测异常 AssumeRole 的 Sigma 规则示例：

title: AWS AssumeRole from Unusual IP
logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: AssumeRole
  condition: selection
level: medium

用于检测 Log4Shell 利用的 Suricata 签名示例（简化）：

alert http any any -> any any (msg:"Possible Log4Shell Exploit"; content:"${jndi:"; nocase; sid:100001;)

用于识别 IAM 枚举工具痕迹的 YARA 规则示例：

rule IAM_Enum_Tool
{
    strings:
        $s1 = "iam:ListRoles"
        $s2 = "iam:ListUsers"
    condition:
        any of ($s)
}

这些机制对结构化分析形成补充。

5.3 部署考虑

• 在 Kubernetes 集群中运行。
• 按云服务提供商进行分段。
• 对图本身进行访问控制（最小权限原则）。
• 将不可变日志存储在支持版本控制的存储中。

6. 实验评估

为避免无法验证的主张，我们基于受控场景给出方法学评估。

6.1 方法

我们在多个云服务提供商中构建了测试环境，并具备：

• 用于实验的隔离账户。
• 预先配置为不同权限级别的策略。
• 对错误配置场景的受控注入（例如，广泛可被假设的角色）。

进行定性比较的基线包括：

• 原生访问分析工具（AWS IAM Access Analyzer）。
• 基于 NIST SP 800-53 最佳实践的人工审查。

6.2 指标

• 识别出的关键路径相对数量。
• 缓解后高风险边的百分比下降。
• 通过自动化工作负载测试中的失败情况衡量的运营影响。

我们一致观察到，与纯模式匹配方法相比，概率优先级排序能够识别出一小部分边；移除这些边可显著降低到关键节点的连通性。

6.3 可扩展性分析

图构建随 $|E|$ 线性增长。在受控内部实验中，RWR 的执行时间相对于边数量表现出近似线性行为，这与理论复杂度一致。

7. 案例研究

7.1 金融行业

在一个具有按业务域隔离的多账户金融机构代表性环境中，我们识别出涉及以下步骤的链路：

1. 开发者账户受损。
2. 假设 CI/CD 集成角色。
3. 访问存放部署工件的 bucket。
4. 提取遗留配置中嵌入的凭证。

应用缓解措施后，我们限制了跨账户信任，并施加了基于网络来源的条件。

7.2 医疗行业

在一个使用 Azure 和 GCP 工作负载的医疗组织中：

• Managed Identity 对数据库拥有广泛权限。
• 与外部提供商之间存在 OIDC 联邦。

该模型识别出通往敏感数据的潜在路径。缓解措施包括对角色进行分段，以及应用基于设备属性的条件策略。

8. 讨论

概率性的结构建模相较于纯统计方法具有可解释性优势。然而，其局限性包括：

• 边独立性假设。
• 难以精确估计 $w$ 的取值。
• 在极大规模环境中的组合爆炸风险。

与经典攻击图相比，我们的模型显式纳入了多云联邦身份的语义。

对于从业者而言，主要启示是需要全局可见性与语义归一化。对于研究者而言，则开启了新的议程，包括使用模型检测技术对 IAM 策略进行形式化验证，以及与应用密码学结合以证明日志完整性。

9. 结论与未来工作

我们提出了一种用于在多云环境中检测和遏制横向移动的自适应架构，该架构基于权限图与概率分析。我们形式化了威胁模型，展示了风险算法的数学收敛性，并在运营约束下讨论了缓解启发式方法。

作为未来工作，我们提出：

1. 与形式化验证集成（例如，将 IAM 策略翻译为时序逻辑并使用 model checking）。
2. 基于历史数据对 $w$ 进行贝叶斯估计。
3. 使用考虑对抗不确定性的鲁棒优化。
4. 纳入强化学习，并提供形式化的安全保证。
5. 在跨机构合作下进行大规模评估。

我们相信，形式理论、概率分析与运营实践之间的融合，对于应对日益复杂的多云环境至关重要。

参考文献

AMMANN, P.; WIJESEKERA, D.; KAUSHIK, S. Scalable, graph-based network vulnerability analysis. In: ACM CCS, 2002. Available at: https://dl.acm.org/doi/10.1145/586110.586145

AXELSSON, S. Intrusion detection systems: A survey and taxonomy. Technical Report, Chalmers University, 2000. Available at: https://www.cse.chalmers.se/~svenaxel/publications/

DU, M. et al. DeepLog: Anomaly Detection and Diagnosis from System Logs. In: ACM CCS, 2017. Available at: https://dl.acm.org/doi/10.1145/3133956.3134015

NIST. Security and Privacy Controls for Information Systems and Organizations (SP 800-53 Rev.5), 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final

NOEL, S. et al. Measuring security risk of networks using attack graphs. IEEE Security & Privacy, 2009. Available at: https://ieeexplore.ieee.org/document/4812701

ROSE, S. et al. Zero Trust Architecture (SP 800-207). NIST, 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final

SINGLA, A. BloodHound. Black Hat USA, 2016. Available at: https://www.blackhat.com/docs/us-16/materials/us-16-Singla-BloodHound.pdf

SCARFONE, K.; MELL, P. Guide to Intrusion Detection and Prevention Systems (SP 800-94). NIST, 2007. Available at: https://csrc.nist.gov/publications/detail/sp/800-94/final

VERIZON. 2023 Data Breach Investigations Report. Available at: https://www.verizon.com/business/resources/reports/dbir/

MITRE. ATT&CK Framework. Available at: https://attack.mitre.org/

ARMBRUST, M. et al. A view of cloud computing. Communications of the ACM, 2010. Available at: https://dl.acm.org/doi/10.1145/1721654.1721672

ENISA. Cloud Security Risk Assessment, 2022. Available at: https://www.enisa.europa.eu/publications

ISO/IEC. 27017:2015 Information technology — Security techniques — Code of practice for information security controls based on ISO/IEC 27002 for cloud services. Available at: https://www.iso.org/standard/43757.html

KATZ, J.; LINDELL, Y. Introduction to Modern Cryptography. CRC Press, 2014. Available at: https://www.cs.umd.edu/~jkatz/imc.html