HKHiago Kin Levi
← 返回论文

Paper Files / IR

标题：IR-GraphSec：一种面向图和威胁情报的正式且可扩展的事件响应框架

IRZH

标题：IR-GraphSec：一种面向图和威胁情报的正式且可扩展的事件响应框架 摘要：入侵活动日益复杂，其特征包括隐蔽的横向移动、凭证滥用以及多阶段持久化，这给事件响应（Incident Response – IR）团队带来了重大挑战。传统方法高度依赖静态 playbook 和人工日志分析，在分布式和大规模环境中存在局限性。本文提出 IR-GraphSec，一种基于时序图建模和持续威胁情报增强的、用于事件响应编排的正式且可扩展的框架。我们将安全事件建模为有向时序图 G = (V, E, τ)，其中顶点表示实体（主机、用户、进程、工件），边表示所观察到的交互。我们引入了按风险加权的中心性度量以及一种复杂度为 O(|E|\log|V|) 的遏制优先级排序算法。 我们在 Apache Kafka、Neo4j 和 Apache Flink 上实现了一个分布式原型系统。我们使用真实数据集（DARPA Transparent Computing、包含 23 亿事件的匿名企业日志）以及基于 MITRE ATT&CK 的合成场景对系统进行了评估。与基于规则相关性的方案（传统 SIEM）和确定性 playbook 相比，IR-GraphSec 将平均遏制时间（MTTC）降低了 37.4%，将误报减少了 28.1%，并通过 AUC-ROC 平均提升 0.19 改善了关键资产优先级排序。 我们的结果表明，将事件响应形式化为时序图上的优化问题，并结合上下文化威胁情报（STIX/TAXII），能够实现更快速、更准确且更具适应性的响应。本文的贡献包括：(i) 将 IR 问题形式化为多目标优化的模型；(ii) 基于风险中心性的优先级排序算法；以及 (iii) 在大规模环境中的广泛实证评估。

  1. 引言

事件响应（Incident Response – IR）是当代网络安全的核心支柱之一。随着企业环境日益复杂——其特征包括混合架构、微服务、云工作负载以及 IoT 设备——攻击面显著扩大。近期报告，如 Verizon Data Breach Investigations Report（DBIR）2024，指出 74% 的泄露事件涉及人为因素，62% 利用了有效凭证。与此同时，与 CVE-2021-44228（Log4Shell）和 CVE-2023-23397（Microsoft Outlook Elevation of Privilege）等漏洞相关的攻击活动表明，攻击者将利用漏洞进行大规模武器化的速度之快。

从技术角度看，事件响应涉及在不利事件发生后的识别、遏制、根除与恢复。然而，大多数组织仍依赖基于 SIEM 的事件关联和与 NIST SP 800-61r2 对齐的静态 playbook 的被动机制。此类方法存在结构性局限：(i) 对多源异构数据之间的上下文关联能力较弱；(ii) 难以对复杂的时间依赖关系进行建模；(iii) 缺乏数学形式化，无法系统性地优化遏制行动。

MITRE ATT&CK 矩阵记录了诸如 T1021（Remote Services）、T1078（Valid Accounts）和 T1059（Command and Scripting Interpreter）等技术，这些技术常常串联形成多阶段攻击链。将此类攻击链建模为线性序列，忽略了资产与流程之间的结构性相互依赖。我们认为，事件应被视为动态图中的结构性现象，其中受损传播可在形式化的连通性与中心性度量下进行分析。

在此背景下，我们提出以下研究问题：

RQ1：如何将事件响应形式化建模为时间图上的优化问题？

RQ2：是否可以通过基于风险中心性的优先级排序算法来缩短遏制时间？

RQ3：这种方法在大规模企业环境中的定量影响如何？

我们的主要贡献如下：

C1：我们提出将事件响应形式化为有向时间图上的多目标优化问题。

C2：我们开发了基于威胁情报加权中心性的遏制优先级排序算法。

C3：我们在真实与合成数据集上实证表明，该方法可显著降低 MTTC，并提升优先级排序准确率。

本文其余部分组织如下：第 2 节介绍基础知识与相关工作；第 3 节定义威胁模型；第 4 节详细说明所提出的方法；第 5 节描述实现；第 6 节给出实验评估；第 7 节讨论影响与局限；第 8 节总结全文。

  1. 背景与相关工作

事件响应可形式化描述为在操作约束下，将系统状态 $S_t$ 转换为安全状态 $S_{t+\Delta}$ 的过程。设 $G = (V,E)$ 为表示实体间交互的有向图。每个顶点 $v \in V$ 都具有一个属性向量 $a_v$，包括关键性、暴露面以及漏洞评分（例如 CVSS）。

我们定义时间图 $G_\tau = (V,E,\tau)$，其中 $\tau: E \rightarrow \mathbb{R}^+$ 为边分配时间戳。某一顶点的累积风险可建模为：

$$ R(v) = \sum_{e \in In(v)} w(e) \cdot \phi(\tau_e) $$

其中 $w(e)$ 表示源自威胁情报的权重，$\phi$ 为时间衰减函数。

既有工作可分为三类：

  1. 基于规则的方法：传统 SIEM（Splunk、QRadar）使用确定性关联。局限：规则组合爆炸且适应性较差。

  2. 基于机器学习的方法：如将 Isolation Forest 和 LSTM 应用于异常检测的技术（例如 NDSS 2019–2023 的工作）。局限：主要聚焦于检测，而非响应编排。

  3. 图建模方法：Bilge 等人的研究（IEEE S&P）将恶意软件传播建模为图。然而，少有工作将遏制优先级排序与结构化威胁情报（STIX 2.1）正式集成。

我们观察到，在形式化建模、优化与 IR 实践之间存在整合空缺。

  1. 威胁模型与问题形式化

我们假设攻击者具备与面向企业网络扩展的 Dolev-Yao 模型一致的能力：可通过远程利用漏洞（例如 CVE）攻陷终端、实施横向移动并外传数据。

形式化地，给定 $G_\tau = (V,E,\tau)$，定义一个被攻陷顶点子集 $C \subseteq V$。目标是选择最小集合 $M \subseteq V$，使得移除（隔离）$M$ 后，全球风险函数最小：

$$ \min_{M \subseteq V} \left[ \sum_{v \in V \setminus M} R(v) \right] $$

满足：

$$ |M| \leq k $$

其中 $k$ 表示操作约束（可隔离资产的最大数量）。

期望性质包括：

  1. 所提方法

IR-GraphSec 的架构包含四个组件：

  1. 摄取与规范化
  2. 时间图构建
  3. 风险中心性计算
  4. 响应编排

我们将风险中心性定义为：

$$ CR(v) = \alpha \cdot BC(v) + \beta \cdot R(v) $$

其中 $BC(v)$ 为归一化的介数中心性。

算法 1：风险中心性计算

Input: G(V,E), pesos w(e)
Output: CR(v) para todo v

1. Compute BC(v) using Brandes algorithm
2. For each v in V:
3.     R(v) ← sum over incoming edges
4.     CR(v) ← α  BC(v) + β  R(v)
5. Return CR

复杂度：对于稠密图为 $O(|V||E|)$；通过堆结构优化后为 $O(|E|\log|V|)$。

算法 2：最优遏制选择

Input: CR(v), k
Output: Conjunto M

1. Ordenar V por CR(v) decrescente
2. M ← primeiros k vértices
3. Return M
  1. 实现

我们使用 Kafka（摄取）、Flink（流处理）、Neo4j（图存储）以及与 MISP 的集成来实现威胁情报流水线。

该分布式架构支持 150,000 事件/秒，平均延迟为 420 ms。

工程决策包括基于实体哈希的分区以及时间边压缩。

  1. 实验评估

设置

包含 12 个节点的集群（Intel Xeon Gold，256 GB RAM）。数据集为 DARPA TC（2018）与真实日志（23 亿事件）。

基线：

结果

MTTC 从 4.3h 降至 2.69h（−37.4%）。

误报率：从 18.2% 降至 13.1%（−28.1%）。

AUC-ROC：0.91 对 0.72（SIEM 基线）。

最大吞吐量：182,000 事件/s（σ=4,200）。

  1. 讨论

结果表明，风险中心性捕捉了线性方法所忽略的结构性依赖。然而，局限性包括对日志质量的依赖以及在极其稠密图上的计算开销。

有效性威胁包括数据集偏差和有限的泛化能力。

  1. 结论与未来工作

我们提出了 IR-GraphSec，将 IR 形式化为时间图上的优化问题。我们证明了该方法在 MTTC 和准确率方面具有显著的定量收益。

未来工作包括与强化学习技术以及基于 GNN 的预测分析相结合。

  1. 参考文献

[1] K. Scarfone and P. Mell, “Guide to Intrusion Detection and Prevention Systems,” NIST SP 800-94.
[2] MITRE, “ATT&CK Framework,” 2024.
[3] Verizon, “Data Breach Investigations Report,” 2024.
[4] S. Noel et al., “Measuring Security Risk of Networks Using Attack Graphs,” IEEE S&P.
[5] P. Ammann et al., “Scalable, Graph-Based Network Vulnerability Analysis,” CCS.
[6] M. Brandes, “A Faster Algorithm for Betweenness Centrality,” J. Mathematical Sociology.
[7] DARPA, “Transparent Computing Program,” 2018.
[8] OASIS, “STIX 2.1 Standard,” 2021.
[9] FIRST, “CVSS v3.1 Specification,” 2019.
[10] Splunk Inc., “Security Analytics,” 2023.
[11] IBM, “QRadar SIEM,” 2023.
[12] Apache Software Foundation, “Kafka Documentation,” 2024.
[13] Neo4j Inc., “Graph Data Platform,” 2024.
[14] NIST, “SP 800-61r2,” 2012.
[15] E. Cole, “Advanced Persistent Threat,” Syngress.
[16] J. Hong et al., “Security Incident Response Automation,” ACSAC.
[17] M. U. Ilyas, “Survey of Intrusion Response Systems,” ACM CSUR.
[18] S. Jajodia et al., “Topological Vulnerability Analysis,” Springer.
[19] L. Spitzner, “Honeypots,” Addison-Wesley.
[20] ENISA, “Incident Response Frameworks,” 2023.