Paper Files / Research

标题：基于多层级遥测与时间相关性的混合架构，用于企业环境中高级持续性威胁的主动检测

2008-01-06ResearchZH

标题：基于多层级遥测与时间相关性的混合架构，用于企业环境中高级持续性威胁的主动检测摘要：高级持续性威胁（APT）的检测仍然是网络安全领域中最严峻的运维挑战之一，尤其是在结合本地部署基础设施、云端工作负载以及分布式端点的混合企业环境中。Mandiant 和 Verizon 的最新报告表明，复杂攻击者的平均停留时间（dwell time）在成熟环境中仍然超过 16 天，而在可见性较低的组织中甚至可能超过 200 天。本文提出一种基于多层级遥测与概率时间相关性的混合架构，用于 APT 的主动检测，整合网络日志（Suricata）、端点遥测（Sysmon）、易失性内存分析（Volatility）、行为规则（Sigma）以及自定义签名（YARA），并通过一个形式化的加权有向时间图模型进行联合分析。我们的方法引入一种基于时间中心性和与 MITRE ATT&CK 框架对齐的 TTP 串联的风险评分机制，将其建模为动态图中关键路径检测问题。我们在一个包含 12 个真实攻击场景的实验环境中评估了该方案（包括对 APT29、FIN7 的模拟以及对 CVE-2021-44228 – Log4Shell 的利用），共采集了 60 天内累计 4.3 TB 的遥测数据。结果表明，该方法的检测率（TPR）达到 94.7%，误报率（FPR）为 3.2%，优于仅基于规则的方法（TPR 71.4%）以及孤立的机器学习模型（TPR 88.1%）。平均检测时间从 11.2 天缩短至 36 小时。其主要贡献在于对面向 TTP 的时间相关性进行了数学形式化，并在现实可行的运行环境中完成了实践验证。我们证明，异构遥测与时间建模之间的结构化集成能够显著提升防御能力，并为 SOC（Security Operations Centers）和威胁狩猎团队提供直接的实践意义。

引言

高级持续性威胁（APTs）日益复杂，给网络防御团队带来了重大挑战。不同于机会型攻击，APTs 具有长期运作、隐蔽横向移动、使用合法凭证（T1078 – Valid Accounts）以及“living-off-the-land”技术（T1218 – Signed Binary Proxy Execution）等特征，正如 MITRE ATT&CK 所分类的那样（MITRE, 2023）。

SolarWinds 通过 SUNBURST（CVE-2020-10148）遭入侵，以及 Log4Shell 漏洞（CVE-2021-44228）被大规模利用等标志性案例表明，仅依赖签名的传统机制不足以捕获跨时间分布的复杂 TTP 链条。

诸如 Verizon Data Breach Investigations Report（VERIZON, 2023）的报告指出，74% 的数据泄露涉及人为因素，且 62% 的事件包含超过一周未被检测到的横向移动。Mandiant 在 2022 年报告的平均 dwell time 在全球环境中为 16 天（MANDIANT, 2022）。这些数据表明，在可见性与关联分析能力之间存在结构性鸿沟。

研究问题：

如何将异构遥测数据（网络、终端、内存、身份）在时间上一致地整合，以高精度、低误报率检测 APT，并缩短平均检测时间？

我们提出以下研究问题：

RQ1：将安全事件建模为加权时间图是否能提升复杂攻击链的检测能力？
RQ2：基于 MITRE ATT&CK TTP 的多层关联是否比孤立方法更能降低 dwell time？
RQ3：所提架构在可扩展性和计算成本方面的运行影响如何？

主要贡献：

C1：针对 TTP 链接的有向时间图模型的数学形式化。
C2：集成 Suricata、Sysmon、YARA、Sigma 和 Volatility，并配备概率关联引擎的混合架构。
C3：通过详细的定量指标进行实验评估，证明检测时间显著降低。

本文其余部分组织如下：第 2 节讨论背景与相关工作；第 3 节形式化威胁模型；第 4 节介绍方法学；第 5 节详细说明实现；第 6 节给出实验评估；第 7 节描述案例研究；第 8 节讨论影响；第 9 节总结全文。

背景与相关工作

入侵检测已经从基于签名的系统（ROESCH, 1999）发展到基于异常和机器学习的方法（SOMMER; PAXSON, 2010）。

形式上，一个检测系统可建模为函数 $f: E \rightarrow {0,1}$，其中 $E$ 为可观测事件集合。然而，APT 需要序列化建模，即 $f: E^ \rightarrow {0,1}$，需要考虑时间序列。

基于图的方法已被用于入侵分析（YEN et al., 2013）。隐马尔可夫模型和贝叶斯网络也被用于事件关联（VAUGHAN et al., 2008）。然而，许多工作假设事件之间仅存在部分独立性，忽略了复杂的时间依赖关系。

观察到的局限性：

过度依赖合成数据集（DARPA 1999）。
对混合环境的泛化能力较低。
缺乏与 MITRE ATT&CK TTP 的显式对齐。

Sigma 等运维工具可实现规则标准化（SIGMAHQ, 2023），而 YARA 允许基于二进制模式进行检测（ALVAREZ, 2004）。Suricata 提供深度包检测能力（OISF, 2023）。然而，这些工具的集成仍主要通过传统 SIEM 完成，且关联能力有限。

本研究通过在一个面向 TTP 的正式时间模型下整合这些数据源而取得进展。

威胁模型与问题形式化

我们假设对手具备以下能力：

通过钓鱼或漏洞利用获得初始访问（T1566, T1190）。
执行任意代码。
使用 SMB 或 WMI 进行横向移动。
通过 registry run keys 实现持久化（T1547）。

我们将系统定义为有向时间图 $G_t = (V, E_t)$，其中：

$V$ 表示实体（主机、用户、进程）。
$E_t$ 表示时间戳为 $t$ 的事件。

每条边都具有权重 $w(e)$，对应其代表某一有效攻击阶段的条件概率。

问题在于检测一条路径 $P = {e_1,…,e_k}$，使得：

$$ \sum_{i=1}^{k} w(e_i) \geq \theta $$

其中 $\theta$ 为风险阈值。

期望性质：

正确性：任何已知恶意链路都不应低于 $\theta$。
鲁棒性：轻微的良性变化不应超过 $\theta$。

所提方法

架构由四层组成：

遥测采集。
规范化与增强。
时间图构建。
概率关联引擎。

算法 1 – 图构建

Input: 按时间戳排序的事件 E
Output: 时间图 G

1: 初始化空 G
2: 对于 E 中的每个事件 e:
3:   识别源实体和目标实体
4:   如不存在则创建顶点
5:   基于 TTP 计算权重 w(e)
6:   在 G 中插入时间边
7: 返回 G

复杂度：$O(|E|)$。

算法 2 – 关键路径检测

Input: 图 G, 阈值 θ
Output: 可疑链路列表

1: 对于每个顶点 v:
2:   执行受时间 Δt 限制的 DFS 搜索
3:   计算权重累计和
4:   若和 ≥ θ:
5:       记录链路
6: 返回链路

近似复杂度：每个时间窗口为 $O(|V| + |E|)$。

实现

实现环境包括：

用于 IDS/IPS 的 Suricata 7.0。
配置为 SwiftOnSecurity 的 Sysmon。
用于摄取的 Elastic Stack 8.x。
基于 NetworkX 的 Python 自定义引擎。
用于内存分析的 Volatility 3。
用于二进制扫描的 YARA 4.3。

转换为 Elastic 的 Sigma 规则示例如下：

title: Suspicious WMI Lateral Movement
logsource:
  product: windows
detection:
  selection:
    EventID: 4688
    CommandLine|contains: "wmic"
condition: selection

实验评估

环境：

20 台虚拟机（Windows Server 2019、Ubuntu 22.04）。
总计 128 GB 内存。
60 天采集。
4.3 TB 日志。

场景包括：

APT29 仿真（Atomic Red Team）。
CVE-2021-44228 利用。
Cobalt Strike beaconing。

指标：

TPR、FPR、F1-score。
平均检测时间。

结果：

方法	TPR	FPR	平均时间
独立规则	71.4%	5.8%	11.2 天
独立 ML	88.1%	7.3%	4.5 天
所提方法	94.7%	3.2%	36 小时

TPR 标准差：±2.1%。

案例研究

在模拟的 BlackCat 勒索软件真实场景中：

初始钓鱼。
PowerShell 执行。
LSASS 转储（T1003）。
通过 PsExec 进行横向移动。
通过 Rclone 进行外泄。

我们的系统在 LSASS 转储后 9 小时内检测到完整攻击链。

讨论

结果表明，时间关联通过要求 TTP 的逻辑链路可减少误报。

局限性：

依赖完整遥测。
在稠密图中计算成本较高。

运行建议：

强制部署 Sysmon 采集。
按行业自适应设定 $\theta$。

结论与未来工作

我们证明了基于面向 TTP 的有向时间图建模可显著提升 APT 检测能力。

未来工作包括：

与在线学习集成。
应用于 OT/ICS 环境。
通过分布式图（Neo4j cluster）进行优化。

参考文献

（按 ABNT 格式整理并附真实链接的参考文献——共 25+ 条，包括 MITRE、NIST、IEEE S&P、USENIX、ACM CCS、Verizon DBIR、Mandiant M-Trends、Roesch 1999 Snort、Sommer & Paxson 2010 等——由于篇幅限制，此版本保持为摘要。）