搜索

[662] 2018-11-19_SAQL基于流查询的实时异常行为检测系统

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2018-11-19_SAQL基于流查询的实时异常行为检测系统 S A Q L : 基 于 流 查 询 的 实 时 异 常 行 为 检 测 系 统 A r k T e a m   2 0 1 8 - 1 1 - 1 9 作 者 ： { F r 4 n k } @ A r k T e a m 原 文 作 者 ： P e n g   G a o ,   X u s h e n g   X i a o , D i n g   L i ,   Z h i c h u n   L i ,   K a n g k o o k   J e e ,   Z h e n y u   W u ,   C h u n g   H w a n   K i m ,   S a n j e e v   R . K u l k a r n i , P r a t e e k   M i t t a l 原 文 标 题 ： S A Q L :   A   S t r e a m - b a s e d Q u e r y   S y s t e m   f o r   R e a l - T i m e   A b n o r m a l   S y s t e m   B e h a v i o r   D e t e c t i o n 原 文 会 议 ：   T h e   2 7 t h   U S E N I X S e c u r i t y   S y m p o s i u m 由 一 系 列 漏 洞 和 终 端 主 机 组 合 发 起 的 高 级 网 络 攻 击 严 重 威 胁 了 受 到 良 好 保 护 企 业 的 安 全 性 。 为 了 应 对 这 些 挑 战 ， 作 者 提 出 了 一 种 基 于 流 的 实 时 查 询 系 统 ， 将 来 自 企 业 中 众 多 主 机 聚 合 的 实 时 事 件 提 要 作 为 输 入 ， 并 提 供 了 用 于 识 别 异 常 行 为 事 件 提 要 的 实 时 查 询 引 擎 。 为 了 便 于 根 据 知 识 库 表 达 异 常 ， 系 统 使 用 了 特 定 查 询 语 言 S A Q L ， 它 允 许 研 究 人 员 定 义 基 于 规 则 的 异 常 、 时 间 序 列 的 异 常 、 基 于 不 变 量 的 异 常 以 及 基 于 异 常 值 的 模 型 。 图 1   主 要 异 常 系 统 行 为 类 型 S A Q L 提 供 （ 1 ） 事 件 模 式 的 语 法 ， 以 简 化 特 定 相 关 系 统 活 动 及 其 关 系 ; （ 2 ） 用 于 滑 动 窗 口 和 有 状 态 计 算 的 构 造 ， 它 允 许 在 数 据 流 上 的 每 个 滑 动 窗 口 中 计 算 有 状 态 异 常 模 型 。 系 统 通 过 对 监 视 数 据 流 的 连 续 查 询 来 检 查 S A Q L 中 的 指 定 模 型 ， 并 连 续 输 出 报 告 检 测 到 的 异 常 。 作 者 基 于 系 统 级 监 控 工 具 a u d i t d   [ 2 ] 、 E T W   [ 3 ] 和 现 有 的 流 管 理 系 统 S i d d h i [ 1 ] 构 建 了 整 个 S A Q L 系 统 ， 如 图 2 所 示 。 根 据 输 入 的 S A Q L 查 询 ， 系 统 汇 合 S i d d h i 查 询 以 匹 配 来 自 流 的 数 据 ， 同 时 执 行 有 状 态 计 算 、 构 造 异 常 模 型 以 检 测 流 上 的 异 常 。 为 解 决 大 规 模 系 统 监 控 数 据 上 处 理 多 个 并 发 异 常 查 询 的 可 扩 展 性 ， 系 统 根 据 滑 动 窗 口 、 事 件 属 性 等 维 度 分 析 提 交 的 查 询 ， 随 后 将 可 兼 容 的 查 询 放 入 同 一 个 组 中 ， 在 每 个 组 中 主 查 询 直 接 访 问 流 数 据 ， 其 他 相 关 查 询 利 用 主 查 询 的 中 间 执 行 结 果 。 图 2   S Q A L 系 统 架 构 最 后 ， 作 者 在 包 含 1 5 0 台 主 机 的 N E C   L a b s   A m e r i c a 中 部 署 系 统 ， 并 使 用 1 . 1 T B 的 实 际 系 统 监 控 数 据 （ 包 含 3 3 亿 个 事 件 ） 对 其 进 行 了 评 估 。 实 验 在 对 广 泛 的 攻 击 行 为 和 微 基 准 测 试 的 评 估 结 果 中 表 明 ， S A Q L 具 有 低 检 测 延 迟 （ < 2 s ） 和 高 系 统 吞 吐 量 （ 1 1 0 , 0 0 0 个 事 件 / 秒 ; 支 持 ~ 4 0 0 0 个 主 机 ） ， 并 且 实 现 更 高 效 的 内 存 利 用 ， 从 而 平 均 节 省 了 3 0 ％ 的 检 测 时 间 。 项 目 网 站 ： h t t p s : / / s i t e s . g o o g l e . c o m / s i t e / s a q l s y s t e m / 。 参 考 文 献 ： [ 1 ]   S i d d i h i   c o m p l e x   e v e n t p r o c e s s i n g   e n g i n e .   h t t p s : / / g i t h u b . c o m / w s o 2 / s i d d h i . [ 2 ]   T h e   L i n u x   a u d i t   f r a m e w o r k . h t t p s : / / g i t h u b . c o m / l i n u x - a u d i t / .
[ 3 ]   E T W   e v e n t s   i n   t h e   c o m m o n l a n g u a g e   r u n t i m e .   h t t p s : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y / f f 3 5 7 7 1 9 ( v = v s . 1 1 0 ) . a s p x . 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理