Paper Files / DFIR
标题：面向现代 DFIR 的证据驱动架构：多层次关联、时间线的数学形式化以及混合环境中的自动化编排
标题：面向现代 DFIR 的证据驱动架构：多层次关联、时间线的数学形式化以及混合环境中的自动化编排 摘要：当代计算环境日益复杂，其特征包括混合基础设施、云工作负载、容器以及分布式系统，这为 Digital Forensics and Incident Response（DFIR）领域带来了新的挑战。传统调查方法主要依赖人工收集证据工件以及对日志进行临时性关联，在面对现代系统所产生数据的规模、易失性和异构性时表现出明显局限性。此外，高级持续性威胁（APT）、ransomware-as-a-service（RaaS）攻击活动以及关键漏洞的自动化利用，显著缩短了初始入侵与横向移动之间的时间间隔。在此背景下，开发形式化且可扩展的方法以整合多种遥测来源并精确重建攻击链条变得至关重要。本文提出一种面向现代 DFIR 的证据驱动架构，基于三个主要支柱：(i) 使用有向无环图对取证时间线重建进行数学形式化；(ii) 针对来自网络、终端、身份和云层的事件构建自动化摄取、标准化与关联流水线；(iii) 与事件响应编排和自动化平台进行操作级集成。所提出的模型将安全事件表示为结构化实体，并在相关事件之间建立概率因果关系。实验实现采用由 Elastic Stack、Suricata、Zeek、Sysmon、Volatility 3 以及基于 TheHive 和 Cortex 的 SOAR 平台组成的技术栈。我们使用一组与 MITRE ATT&CK 框架对齐的 37 个场景对该架构进行评估，总计 1.2 TB 数据和约 8600 万个事件。结果表明，与仅基于 SIEM 的传统方法相比，该架构显著降低了平均调查时间（MTTI），减少了误报，并提高了攻击链重建的准确性。此外，我们还讨论了该模型对安全运营中心（SOC）的实际影响、模型的局限性，以及结合动态图分析和机器学习技术以支持调查优先级排序的潜在扩展。
- 引言
数字取证与事件响应（DFIR）已成为应对高级持续性威胁（APT）、勒索软件即服务（RaaS）活动以及关键漏洞自动化利用的组织中的一项核心学科。混合架构的日益采用——整合本地基础设施、云服务和容器化环境——显著扩大了攻击面并增加了调查复杂性（BEHL; BEHL, 2017; SCARFONE; SOULE, 2020）。
从历史上看，数字取证调查依赖于静态磁盘镜像获取、人工分析工件以及事件日志的手工关联。然而，在具有计算弹性、短生命周期实例和海量遥测数据的环境中，这些方法已显不足（CASEY, 2019）。现代环境会生成来自多个层面的数据：网络、终端、身份、云服务以及容器化工作负载。
大量已公开的事件表明，攻击在初始利用后能够多快升级。例如，Log4Shell 漏洞（CVE-2021-44228）在公开披露后数小时内就使大规模远程代码执行成为可能（NIST, 2021）。类似地，Microsoft Outlook 中的 CVE-2023-23397 漏洞使通过特制消息静默外泄 NTLM 哈希成为可能（MITRE, 2023）。
威胁情报报告表明，攻击者在被攻陷环境中的平均驻留时间仍然相当可观。M-Trends 2023 报告给出的全球中位驻留时间为 16 天，显示出事件检测与调查方面仍存在缺口（MANDIANT, 2023）。
在此背景下，出现了如下核心技术问题：如何对异构证据进行形式化并自动化关联，以在保持时间精度并减少调查歧义的同时重建复杂攻击链？
我们提出三个研究问题：
RQ1：如何在分布式且异构的环境中，对取证时间线重建进行数学建模？
RQ2：多层关联在缩短平均调查时间（MTTI）以及降低误报方面的定量影响是什么？
RQ3：如何将成熟的安全工具集成到一个可验证、可扩展且在运营上可行的安全运营中心架构中？
本文的主要贡献如下：
- C1：我们提出一种基于有向无环图的数学形式化方法，用于攻击链重建。
- C2：我们开发了一种多层架构，用于证据的摄取、标准化和自动化关联。
- C3：我们在与 MITRE ATT&CK 对齐的场景中，于混合环境下实证展示了定量收益。
- 背景与相关工作
数字取证计算涉及应用科学方法对数字证据进行识别、保全、分析和呈现（CARRIER, 2005）。过去二十年来，随着计算机系统架构以及攻击者所采用技术的演变，该领域也取得了显著发展。
NIST SP 800-61r2 指南定义了一个被广泛采用的事件响应模型，由四个主要阶段组成：准备、检测与分析、遏制/根除以及事件后活动（CICHONSKI et al., 2012）。尽管该模型提供了重要的操作指南，但并未为系统性事件重建提供数学形式化。
现代安全监控与分析工具会产生大量遥测数据。其中最相关的类别包括：
| 类别 | 工具示例 | 遥测类型 |
|---|---|---|
| SIEM | Elastic, Splunk | 日志关联与聚合 |
| EDR | Microsoft Defender, CrowdStrike | 终端遥测 |
| NDR | Zeek, Suricata | 网络流量分析 |
| 内存取证 | Volatility 3 | RAM 中工件分析 |
| CNAPP | Prisma Cloud, Wiz | 云工作负载遥测 |
近年来，研究开始探索基于图的模型，用于表示恶意活动以及分析事件之间的依赖关系（HASSAN et al., 2019）。provenance computing 系统记录进程、文件和网络流之间的因果关系，从而能够识别异常行为。
尽管取得了这些进展，仍然存在重要空白。许多方法侧重于实时检测，但并未稳健地处理具有证据价值的攻击链回溯重建。此外，数据源的异构性——包括 AWS CloudTrail 和 Azure Activity Logs 等云提供商日志——也使事件之间的一致关联变得困难。
近期另一项重要趋势是采用基于 eBPF（extended Berkeley Packet Filter）的遥测技术，它允许对 Linux 内核进行高效插装，以系统级收集安全事件（GREGG, 2020）。这种插装显著增强了调查可见性。
- 威胁模型与问题形式化
我们假设攻击者具备与 MITRE ATT&CK 框架中所记录战术相一致的能力（MITRE, 2023），包括：
- 远程命令执行（T1059），
- 凭证提取（T1003），
- 通过 SMB 或 WinRM 进行横向移动（T1021），
- 通过加密通道进行数据外泄（T1041）。
我们将系统中观测到的全部事件集合建模为：
$$ E = {e_1, e_2, …, e_n} $$
每个事件 $e_i$ 定义为一个四元组：
$$ e_i = (t_i, s_i, d_i, a_i, c_i) $$
其中：
- $t_i$ 表示事件时间戳；
- $s_i$ 表示来源；
- $d_i$ 表示目的地；
- $a_i$ 表示所执行的动作；
- $c_i$ 包含附加上下文（文件哈希、PID、用户、IP 地址或实例标识符）。
随后我们构建一个有向图：
$$ G = (V, A) $$
其中 $V = E$，而 $A$ 表示事件之间的因果关系集合。
形式化地：
$$ A = {(e_i, e_j) \mid t_i < t_j \land related(e_i, e_j)} $$
函数 $related(e_i, e_j)$ 用于评估事件之间的语义依赖关系，例如：
- 父子进程关系，
- 网络会话连续性，
- 凭证复用，
- 访问同一工件。
调查目标是找到一条链 $C$，使所观察到的因果序列的似然最大化：
$$ \max_{C \subseteq G} P(C \mid E) $$
该模型能够将攻击表示为时间图中的轨迹。
- 所提方法
所提出的架构遵循一个包含五个主要层次的流水线：
- 遥测采集
- 事件规范化
- 时间关联
- 概率推断
- 编排与响应
采集层集成了多种数据源，包括网络传感器（Suricata、Zeek）、终端遥测（Sysmon）以及云日志（AWS CloudTrail）。在 Linux 环境中，还可以通过 eBPF 捕获附加事件。
事件规范化采用 Elastic Common Schema（ECS），以标准化 IP、用户、进程和文件哈希等字段（ELASTIC, 2023）。
时间图构建算法如下所示：
Algorithm 1: BuildAttackGraph(E)
Input: Event set E
Output: Directed acyclic graph G
1: Sort E by timestamp
2: Initialize graph G
3: for each event e_i in E:
4: for each event e_j where t_j > t_i:
5: if Correlate(e_i, e_j):
6: AddEdge(G, e_i, e_j)
7: return G
计算复杂度为：
- 初始排序：$O(n \log n)$
- 时间窗口 $k$ 内的关联：$O(nk)$
- 实现
实验实现采用如下技术栈：
| 组件 | 工具 | 功能 |
|---|---|---|
| SIEM | Elastic Stack 8.x | 摄取与关联 |
| NDR | Suricata 7 | 流量检测 |
| NDR | Zeek 6 | 网络行为分析 |
| Endpoint | Sysmon v15 | 进程遥测 |
| Forense | Volatility 3 | 内存分析 |
| SOAR | TheHive 5 + Cortex | 响应编排 |
用于识别对 LSASS 进程可疑访问的 Sigma 规则示例如下：
logsource:
product: windows
detection:
selection:
EventID: 10
TargetImage: 'lsass.exe'
condition: selection
实验基础设施运行在包含六个节点的 Kubernetes 集群上，每个节点配备 32 vCPU 和 128 GB 内存。
- 实验评估
实验环境使用了基于 MITRE ATT&CK 框架的 37 个场景。分析的总数据量约为 1.2 TB。
| 指标 | 基线（SIEM） | 所提架构 |
|---|---|---|
| 平均 MTTI | 14.8 小时 | 8.5 小时 |
| 误报率 | 18.3% | 13.2% |
| 正确重建的链路 | 61.4% | 92.8% |
我们观察到平均调查时间减少了 42.7%，误报率降低了约 28%。
系统每秒处理约 18,000 个事件，平均关联延迟为 3.4 秒。
- 案例研究
我们模拟了一次由多阶段组成的勒索软件攻击，其阶段如下：
- 利用 Exchange 服务器上的 ProxyShell 漏洞；
- 部署 webshell；
- 通过 LSASS dump 提取凭证；
- 使用 PsExec 进行横向移动；
- 通过 Rclone 工具外泄数据。
攻击图的重建使得我们能够在初始事件摄取后约 11 分钟内识别出完整攻击链。
主要观察结果包括：
- 内存事件与网络流量之间的关联对于识别凭证提取阶段至关重要；
- 主机之间的时间同步不一致可能会给时间线重建引入错误；
- 通过 SOAR 实现的自动化显著降低了人工分诊工作量。
- 讨论
所得结果表明，对事件重建进行数学形式化可以显著减少调查歧义。基于图的表示能够捕获复杂的事件依赖关系，而仅靠日志关联很难识别这些关系。
然而，仍然存在一些局限。模型的有效性取决于所采集遥测的质量与完整性。日志不足或数据保留受限的环境可能会损害攻击链重建。
此外，端到端加密技术和隐蔽通道可能会降低网络层面对恶意活动的可见性。
对于安全运营中心而言，我们的结果表明了三个主要的实践意义：网络遥测与终端遥测的集成、通过 ECS 等模式实现日志标准化，以及通过 SOAR 平台采用调查自动化。
- 结论
我们提出了一种面向现代混合环境数字取证调查的证据驱动架构。所提出的形式化模型使用有向无环图来表示事件之间的因果关系，从而实现攻击链的结构化重建。
实验评估表明，在包括平均调查时间缩短和事件重建精度提升在内的关键运营指标上均有显著改善。
未来研究可探索与机器学习技术的集成，以自动优先排序最可能的攻击链，并研究在法律语境下对数字证据进行证据效力验证的形式化方法。
References
BEHL, Abhishek; BEHL, Kanika. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com/academic/product/cybersecurity-and-cyberwar-9780199918096. Accessed on: 13 Apr. 2024.
CASEY, Eoghan. Digital Evidence and Computer Crime. 3. ed. London: Academic Press, 2019. Available at: https://www.sciencedirect.com/book/9780123742681/digital-evidence-and-computer-crime. Accessed on: 13 Apr. 2024.
CARRIER, Brian. File System Forensic Analysis. Boston: Addison-Wesley, 2005. Available at: https://www.pearson.com/en-us/subject-catalog/p/file-system-forensic-analysis/P200000003012. Accessed on: 13 Apr. 2024.
CICHONSKI, Paul et al. Computer Security Incident Handling Guide (NIST SP 800-61r2). Gaithersburg: NIST, 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf. Accessed on: 13 Apr. 2024.
ELASTIC. Elastic Common Schema Reference. 2023. Available at: https://www.elastic.co/guide/en/ecs/current/index.html. Accessed on: 13 Apr. 2024.
GREGG, Brendan. BPF Performance Tools. Boston: Addison-Wesley, 2020. Available at: https://www.brendangregg.com/bpf-performance-tools-book.html. Accessed on: 13 Apr. 2024.
HASSAN, Wajih Ul et al. Unicorn: Runtime Provenance-Based Detector for Advanced Persistent Threats. NDSS Symposium, 2019. Available at: https://www.ndss-symposium.org/ndss-paper/unicorn-runtime-provenance-based-detector-for-advanced-persistent-threats/. Accessed on: 13 Apr. 2024.
KENT, Karen; CHEVALIER, Suzanne; GRANCE, Tim. Guide to Integrating Forensic Techniques into Incident Response. Gaithersburg: NIST, 2006. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf. Accessed on: 13 Apr. 2024.
MANDIANT. M-Trends 2023 Report. 2023. Available at: https://www.mandiant.com/resources/m-trends-2023. Accessed on: 13 Apr. 2024.
MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org. Accessed on: 13 Apr. 2024.
NIST. National Vulnerability Database – CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228. Accessed on: 13 Apr. 2024.
SCARFONE, Karen; SOULE, Amanda. Guide to Enterprise Telework, Remote Access, and Bring Your Own Device Security. NIST, 2020. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-46r2.pdf. Accessed on: 13 Apr. 2024.
SYSMON. Sysinternals Sysmon Documentation. Microsoft, 2024. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon. Accessed on: 13 Apr. 2024.
THEHIVE PROJECT. TheHive 5 Documentation. 2024. Available at: https://docs.thehive-project.org. Accessed on: 13 Apr. 2024.
CORTEX PROJECT. Cortex Analyzer Documentation. 2024. Available at: https://docs.thehive-project.org/cortex. Accessed on: 13 Apr. 2024.
VOLATILITY FOUNDATION. Volatility 3 Framework. 2023. Available at: https://volatilityfoundation.org. Accessed on: 13 Apr. 2024.
SURICATA. Suricata IDS/IPS Documentation. 2024. Available at: https://suricata.io/documentation. Accessed on: 13 Apr. 2024.
ZEEK PROJECT. Zeek Network Security Monitor Documentation. 2024. Available at: https://zeek.org. Accessed on: 13 Apr. 2024.
SIGMA PROJECT. Sigma Rule Format Specification. 2023. Available at: https://sigmahq.io. Accessed on: 13 Apr. 2024.
AWS. AWS CloudTrail User Guide. 2024. Available at: https://docs.aws.amazon.com/awscloudtrail. Accessed on: 13 Apr. 2024.
MICROSOFT. Azure Activity Logs Documentation. 2024. Available at: https://learn.microsoft.com/azure/azure-monitor/essentials/activity-log. Accessed on: 13 Apr. 2024.
CLOUD SECURITY ALLIANCE. Cloud Incident Response Framework. 2022. Available at: https://cloudsecurityalliance.org. Accessed on: 13 Apr. 2024.
BEHL, Abhishek. Cybersecurity: Attack and Defense Strategies. Birmingham: Packt, 2020. Available at: https://www.packtpub.com/product/cybersecurity-attack-and-defense-strategies/9781839218811. Accessed on: 13 Apr. 2024.
STALLINGS, William. Network Security Essentials. 6. ed. Boston: Pearson, 2021. Available at: https://www.pearson.com. Accessed on: 13 Apr. 2024.
ENISA. Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023. Accessed on: 13 Apr. 2024.