基于增强遥测和零信任形式化建模的多云环境横向移动检测与缓解的可加密验证架构

1. 引言

云计算已经从以中心化为主的模型演进为分布式的多云和混合云架构，在这些架构中，组织将多个提供商（例如 AWS、Microsoft Azure、Google Cloud Platform）的服务与本地（on-premises）基础设施相结合。这种异构性显著扩大了攻击面，并在身份治理、策略执行和运行可见性方面引入了前所未有的复杂性。

Verizon Data Breach Investigations Report（DBIR）近期报告表明，2023 年超过 45% 的入侵事件涉及有效凭证的滥用。诸如通过利用公开仓库中泄露凭证而入侵环境的事件（例如，CVE-2022-22965 作为初始载荷向量，随后在云环境中进行 pivoting）表明，MITRE ATT&CK 中所归类的技术十分有效，例如 T1078（Valid Accounts）、T1098（Account Manipulation）和 T1021（Remote Services）。此外，存储服务中的配置错误（例如暴露的 S3 buckets）仍在被系统性利用。

我们所处理的核心问题可以形式化为：如何在近实时条件下检测分布式且表面上看似合法的动作序列，而这些动作序列在关联分析后构成多云环境中的恶意横向移动。日志的碎片化、格式多样性以及缺乏形式化的信任模型，使得传统 SIEM 机制显得不足。

我们提出以下研究问题：

RQ1：如何在多云环境中形式化建模身份与资源之间的信任和依赖关系，以便实现高效的异常检测？

RQ2：是否可以构建一种可扩展到每日数百万事件的策略完整性密码学验证机制？

RQ3：基于动态图和增强遥测的架构对 MTTD 和 MTTR 的定量影响如何？

我们的贡献如下：

C1：我们提出了一种多提供商身份-资源形式化图模型，并引入自适应中心性度量用于特权滥用检测。

C2：我们开发了一种增量式密码学证明机制，用于持续验证访问策略的完整性。

C3：我们在真实感的多云环境中实现并实验评估了该架构，证明其在检测与响应方面具有统计显著的提升。

本文其余部分组织如下：第 2 节回顾基础知识与相关工作；第 3 节形式化威胁模型；第 4 节描述所提方法；第 5 节给出实现细节；第 6 节讨论实验评估；第 7 节分析影响与局限；第 8 节总结全文。

2. 背景与相关工作

形式化地，我们将多云环境建模为一个有向图 $G = (V, E)$，其中 $V$ 表示实体（用户、roles、服务、资源），$E$ 表示访问或依赖关系。每条边 $e_{ij}$ 都具有一个权重 $w_{ij}$，对应合法访问的条件概率。

现有文献可分为三大类：

1. 基于规则的传统 SIEM：依赖事件的语法相关性。局限：误报率高且适应性差。

2. 基于机器学习的方案：采用聚类或异常检测（例如 Isolation Forest、Autoencoders）。局限：缺乏对策略的显式建模，且可解释性较弱。

3. Zero Trust 架构（NIST SP 800-207）：强调对身份的持续验证。局限：很少纳入形式化的密码学验证。

近期工作探索了云环境中的攻击图，但往往假设单一提供商环境，或忽略 API 之间的语义不一致性。

我们观察到以下关键缺口：（i）缺乏适用于多提供商的统一数学模型；（ii）不存在策略完整性的密码学证明机制；（iii）实验评估仅限于合成数据集。

3. 威胁模型与问题形式化

我们假设对手 $\mathcal{A}$ 具备以下能力：

• 初始攻陷有效凭证。
• 能够调用合法 API。
• 对环境拓扑具有部分知识。

我们不假设其能够攻陷提供商控制平面。

我们将横向移动定义为如下序列 ${e_1, e_2, …, e_k}$，使得：

$$ \exists v_i, v_j \in V : \text{reach}(v_i, v_j) = 1 \land P(\text{legítimo}) < \theta $$

其中 $\theta$ 为自适应阈值。

我们的目标是检测那些联合概率满足：

$$ P(\mathcal{S}) = \prod_{i=1}^{k} P(e_i) $$

且低于动态阈值 $\lambda$ 的序列。

所需安全性质包括：

• 完整检测：高概率识别恶意序列。
• 低误报：$FP < 5%$。
• 策略完整性：可验证地证明策略未被未授权更改。

4. 所提方法

我们的架构由四个主要模块组成：

1. 多云收集器：对日志（CloudTrail、Azure Activity Logs、GCP Audit Logs）进行标准化。
2. 动态图构建器：近实时更新 $G_t$。
3. 统计检测引擎：基于中心性和熵计算异常。
4. 密码学证明模块：生成策略的链式哈希。

算法 1：动态图更新

Input: 事件 e, 图 G_t
Output: G_{t+1}

1: 提取源实体和目标实体
2: 若节点不存在，则加入 V
3: 更新或创建边 e_{ij}
4: 通过指数移动平均更新权重 w_{ij}
5: 返回 G_{t+1}

复杂度：使用平衡结构时为 $O(\log |V|)$。

算法 2：异常序列检测

Input: 序列 S, 阈值 λ
Output: 布尔告警

1: 计算 P(S)
2: 若 P(S) < λ 则
3:     生成告警
4: 否则
5:     忽略

证明机制采用哈希链：

$$ H_t = H(H_{t-1} || \text{Policy}_t) $$

通过每次更新 $O(1)$ 的复杂度保证增量完整性。

5. 实现

我们使用以下组件实现系统：

• 基于 Go 的后端用于事件摄取。
• Apache Kafka 用于流式处理。
• Neo4j 用于图存储。
• Prometheus 和 Grafana 用于指标监控。
• 基于 SHA-256 和 HMAC 的密码学模块。

我们测试了最高达 $10^7$ 事件/天的可扩展性。该架构部署在启用水平自动扩缩容的 Kubernetes 集群（v1.28）上。

权衡主要体现在延迟与一致性之间：我们对图更新采用最终一致性，将每 1,000 个事件批次的平均延迟降低至 240 ms。

6. 实验评估

环境

• 1,200 台虚拟机（m5.large、Standard_D4s_v5、e2-standard-4）
• 4 个 Kubernetes 集群
• 3 家云提供商
• 30 天采集

指标

• MTTD
• MTTR
• 误报率
• 计算开销

结果

指标	传统 SIEM	所提方案
MTTD	18,4 min	11,5 min
MTTR	42,7 min	24,7 min
FP	8,9%	3,2%
CPU Overhead	12%	16%

我们观察到 MTTD 降低 37,4%（p < 0,01），MTTR 降低 42,1%。FP 的标准差为 0,6%。

持续吞吐量为 115,000 事件/分钟。

7. 讨论

结果表明，基于动态图的建模显著提升了识别分布式特权滥用的能力。误报率下降源于对结构上下文的考虑，而这在纯语法方法中是缺失的。

局限性包括对日志质量的依赖，以及可能通过低慢速攻击进行规避。具有全局管理权限的内部威胁仍然具有挑战性。

从实践角度看，该架构与 NIST CSF 和 MITRE ATT&CK 框架兼容，便于企业集成。

8. 结论与未来工作

我们提出了一种可验证的多云环境横向移动检测架构。我们证明了其在 MTTD 和 MTTR 上具有显著的定量收益，同时保持了较低的误报率。

未来工作方面，我们计划集成深度学习技术用于攻击路径预测，并探索零知识证明用于去中心化证明。

参考文献

[1] S. Subashini and V. Kavitha, “A survey on security issues in service delivery models of cloud computing,” J. Netw. Comput. Appl., 2011.
[2] P. Mell and T. Grance, “The NIST Definition of Cloud Computing,” NIST SP 800-145, 2011.
[3] NIST, “Zero Trust Architecture,” SP 800-207, 2020.
[4] Verizon, “Data Breach Investigations Report,” 2023.
[5] MITRE, “ATT&CK Framework,” 2023.
[6] M. Almorsy et al., “Cloud computing security,” IEEE CLOUD, 2016.
[7] R. Buyya et al., “Cloud computing and emerging IT platforms,” Future Gener. Comput. Syst., 2009.
[8] C. Tankard, “Advanced persistent threats and how to monitor,” Netw. Secur., 2011.
[9] S. Roschke et al., “Intrusion detection in the cloud,” ICNS, 2009.
[10] OWASP, “Cloud Security Top 10,” 2022.
[11] A. Singhal et al., “Attack graphs for enterprise security,” NIST, 2011.
[12] G. Ateniese et al., “Provable data possession,” CCS, 2007.
[13] M. Newman, “Networks: An Introduction,” Oxford, 2010.
[14] T. Kim et al., “Graph-based anomaly detection,” IEEE S&P, 2018.
[15] J. Sherry et al., “Making middleboxes someone else’s problem,” SIGCOMM, 2012.
[16] Amazon Web Services, “CloudTrail Documentation,” 2024.
[17] Microsoft, “Azure Monitor Logs,” 2024.
[18] Google, “Cloud Audit Logs Overview,” 2024.
[19] S. Pearson, “Privacy, security and trust in cloud computing,” Privacy Secur. Cloud Comput., 2013.
[20] ENISA, “Cloud Security Risk Assessment,” 2022.