搜索

[10498] 2016-09-13_浅析基于用户（角色）侧写的内部威胁检测系统

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2016-09-13_浅析基于用户（角色）侧写的内部威胁检测系统 浅 析 基 于 用 户 （ 角 色 ） 侧 写 的 内 部 威 胁 检 测 系 统 木 千 之   F r e e B u f   2 0 1 6 - 0 9 - 1 3 * 本 文 原 创 作 者 ： 木 千 之 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 从 从 “ 谍 影 重 重 谍 影 重 重 ” 谈 起 谈 起 最 近 J a s o n   B o u r n e 再 次 归 来 ， 围 绕 自 己 进 入 “ 踏 脚 石 计 划 ” 的 种 种 内 幕 ， 与 知 晓 一 切 的 C I A 高 层 杜 威 以 及 头 号 杀 手 A s s e t 进 行 了 层 层 角 力 ， 斗 智 斗 勇 ， 为 了 避 免 剧 透 ， 感 兴 趣 的 童 鞋 可 以 自 行 观 影 ： ） ， 我 们 今 天 所 谈 的 是 整 个 故 事 的 缘 起 ： 前 C I A 特 工 N i c k y 使 用 报 废 的 电 脑 入 侵 C I A 网 络 。 后 斯 诺 的 时 代 ， 内 部 威 胁 防 范 早 已 成 为 国 内 外 关 注 的 重 点 ， 即 便 如 此 ， 如 C I A 一 样 的 安 全 堡 垒 也 无 法 避 免 内 部 人 N i c k y 利 用 对 内 部 安 全 机 制 的 了 解 入 侵 系 统 ， 窃 取 B l a c k   O p e r a t i o n 数 据 。 首 先 ， 就 N i c k y 利 用 一 台 旧 电 脑 入 侵 的 事 件 本 身 ， 我 们 可 以 从 安 全 角 度 来 进 行 初 步 的 分 析 ：
N i c k y 作 为 前 职 C I A 特 工 ， 了 解 内 部 网 络 组 织 结 构 ， 知 晓 防 火 墙 等 安 全 机 制 的 版 本 、 潜 在 漏 洞 ， 因 此 可 以 入 侵 进 入 系 统 ， 找 到 存 放 重 要 文 件 的 服 务 器 ， 进 行 远 程 拷 贝 ； N i c k y 使 用 的 笔 记 本 来 自 C I A 于 1 9 9 3 年 配 发 的 机 器 ， 因 此 笔 记 本 本 身 不 存 在 可 以 追 踪 的 任 何 信 息 ， 对 于 强 大 侦 查 力 的 C I A 来 说 相 对 隐 蔽 ； 另 外 一 种 可 能 ， 远 程 登 入 C I A 网 络 需 要 认 证 终 端 ， 而 旧 机 器 仍 可 通 过 认 证 ； 安 全 警 报 来 自 于 登 入 终 端 已 报 告 损 毁 的 异 常 ， 归 功 于 内 部 设 备 管 理 与 安 全 审 计 ， 虽 然 不 能 1 0 0 % 防 止 攻 击 ， 但 是 可 以 及 时 发 现 内 部 发 生 的 入 侵 ， 快 速 响 应 ； 电 影 总 是 源 于 现 实 ， 也 反 映 了 后 斯 诺 登 时 代 美 国 对 于 内 部 威 胁 的 忧 虑 与 重 视 。 N i c k y 这 样 的 内 部 人 （ 离 职 员 工 ） 对 于 任 何 一 个 组 织 而 言 都 是 潜 在 的 巨 大 威 胁 ， 然 而 现 实 中 的 内 部 威 胁 检 测 系 统 至 今 蒙 着 神 秘 的 面 纱 ， 不 仅 没 有 统 一 的 设 计 标 准 ， 也 没 有 得 到 普 遍 认 可 的 商 业 版 本 。 作 为 抛 砖 引 玉 ， 今 天 我 们 介 绍 一 种 内 部 威 胁 检 测 系 统 架 构 ， 希 望 可 以 对 大 家 了 解 这 个 领 域 有 所 帮 助 。 企 业 中 的 内 部 威 胁 检 测 系 统 要 求 企 业 中 的 内 部 威 胁 检 测 系 统 要 求 企 业 中 部 署 内 部 威 胁 检 测 系 统 的 前 提 是 实 行 内 部 安 全 审 计 ， 内 部 员 工 的 计 算 机 操 作 与 网 络 使 用 行 为 应 得 到 详 细 的 记 录 ， 无 论 使 用 何 种 商 业 审 计 软 件 ， 进 行 内 部 人 行 为 监 控 起 码 应 包 括 以 下 类 别 ： 登 录 事 件 ： 用 户 登 录 系 统 记 录 ， 包 括 登 录 的 设 备 、 时 间 等 ； 文 件 事 件 ： 用 户 文 件 访 问 记 录 ， 包 括 所 有 针 对 文 件 的 操 作 ， 如 读 、 写 、 执 行 等 ； 网 络 事 件 ： 用 户 网 络 使 用 记 录 ， 可 以 依 靠 T c p d u m p 抓 包 分 析 流 量 ， 监 控 访 问 域 名 ； 邮 件 事 件 ： 用 户 邮 件 通 讯 记 录 ， 可 以 记 录 邮 件 头 信 息 ， 最 好 记 录 邮 件 内 容 与 附 件 信 息 ； 设 备 事 件 ： 用 户 使 用 外 设 记 录 ， 如 U S B 设 备 、 打 印 机 、 传 真 机 、 光 盘 刻 录 等 ； 上 述 审 计 数 据 要 求 中 ， 登 录 事 件 、 文 件 事 件 、 网 络 事 件 以 及 部 分 设 备 事 件 一 般 在 现 有 商 业 审 计 软 件 中 均 有 体 现 ， 唯 一 需 要 考 量 的 是 邮 件 数 据 。 由 于 邮 件 数 据 的 特 殊 性 ， 必 须 权 衡 用 户 隐 私 与 内 部 安 全 两 方 面 权 值 ， 一 般 而 言 ， 邮 件 头 与 附 近 信 息 可 以 部 分 审 计 ， 而 邮 件 内 容 一 般 不 做 要 求 。 然 而 ， 实 际 用 户 不 知 觉 情 况 下 的 邮 件 通 讯 对 于 侧 写 、 监 控 用 户 行 为 而 言 十 分 重 要 。 内 部 安 全 审 计 的 基 础 上 ， 我 们 可 以 建 立 内 部 威 胁 检 测 系 统 ， 该 系 统 应 当 满 足 几 个 最 基 本 的 需 求 ： 检 测 系 统 可 以 对 内 部 用 户 行 为 进 行 风 险 判 定 ， 给 出 一 个 风 险 预 估 值 供 安 全 人 员 分 析 （ 数 值 化 结 果 ） ； 检 测 系 统 应 可 以 检 测 常 见 攻 击 ， 如 内 部 系 统 破 坏 、 知 识 产 权 窃 取 以 及 数 据 欺 诈 等 ； 检 测 系 统 具 有 一 定 的 应 对 未 知 攻 击 的 能 力 ； 检 测 系 统 应 当 可 以 针 对 用 户 及 职 业 角 色 两 个 维 度 建 立 行 为 侧 写 （ P r o f i l e ） ； 接 下 来 ， 我 们 提 出 一 定 程 度 上 可 以 满 足 上 述 要 求 的 检 测 系 统 框 架 ， 然 后 逐 步 分 析 。 三 层 检 测 框 架 三 层 检 测 框 架 当 前 的 内 部 威 胁 检 测 思 路 主 要 是 通 过 用 户 的 计 算 机 与 网 络 行 为 构 建 起 行 为 模 型 ， 然 后 利 用 异 常 检 测 算 法 检 测 用 户 异 常 。 若 直 接 对 用 户 数 据 使 用 异 常 检 测 作 为 攻 击 分 类 器 ， 效 果 并 不 理 想 ， 因 此 需 要 构 建 三 层 检 测 框 架 ， 即 图 3 ：
上 图 中 最 初 的 数 据 输 入 是 审 计 日 志 ， 然 后 通 过 数 据 解 析 引 擎 构 建 所 需 的 用 户 （ 角 色 ） 行 为 结 构 树 ， 通 过 树 结 构 比 较 实 现 第 一 层 检 测 ； 然 后 从 用 户 行 为 结 构 树 中 提 取 特 征 ， 使 用 异 常 检 测 算 法 实 现 第 二 层 检 测 ； 最 后 对 于 特 征 矩 阵 进 行 偏 移 计 算 ， 实 现 第 三 层 检 测 。 下 面 我 们 从 数 据 输 入 开 始 ， 依 次 对 相 应 模 块 进 行 分 析 。 数 据 输 入 数 据 输 入
原 始 的 数 据 输 入 是 内 部 审 计 日 志 ， 按 照 用 户 I D 、 时 间 戳 、 设 备 M A C 、 行 为 等 元 素 对 用 户 行 为 进 行 记 录 ， 原 始 数 据 记 录 如 下 图 ： 原 始 数 据 输 入 之 后 ， 必 须 进 行 预 处 理 ， 即 经 过 数 据 解 析 引 擎 提 取 出 构 建 用 户 / 角 色 行 为 树 的 关 键 元 素 。 我 们 必 须 从 原 始 审 计 记 录 中 解 析 出 用 户 I D 、 设 备 I D 、 活 动 名 以 及 活 动 属 性 和 时 间 戳 等 关 键 元 素 。 其 中 活 动 名 如 登 录 、 邮 件 、 读 文 件 等 用 来 标 识 行 为 类 别 ， 而 活 动 属 性 则 可 以 对 活 动 进 行 补 充 说 明 ， 如 读 文 件 活 动 的 属 性 即 文 件 名 等 。 数 据 解 析 的 第 一 步 是 内 容 解 析 ， 内 容 解 析 根 据 实 际 部 署 的 要 求 可 以 选 择 部 分 部 署 。 内 容 解 析 主 要 涉 及 两 类 ： 邮 件 内 容 解 析 与 网 站 内 容 解 析 。 网 站 内 容 解 析 的 方 法 类 似 于 朴 素 贝 叶 斯 检 测 ， 主 要 通 过 词 袋 的 形 式 将 H T T P 页 面 的 纯 文 本 内 容 变 成 词 袋 向 量 ； 邮 件 内 容 则 考 虑 更 多 与 用 户 人 格 心 理 状 态 关 联 ， 即 借 助 于 邮 件 内 容 与 L I W C 库 的 分 析 ， 得 到 邮 件 内 容 表 征 的 L I W C 数 据 。 L I W C 即 L i n g u s i t i c   I n q u i r y   a n d   W o r d   C o u n t ， 通 过 L I W C 我 们 可 以 从 语 言 角 度 刻 画 用 户 的 特 点 。 得 到 词 袋 特 征 与 L I W C 特 征 之 后 ， 与 其 他 数 据 分 别 提 取 用 户 、 设 备 、 活 动 、 活 动 属 性 等 关 键 元 素 ， 构 建 出 用 户 / 角 色 的 行 为 树 。 第 一 层 第 一 层 传 统 的 检 测 方 法 重 点 是 刻 画 用 户 自 身 的 行 为 特 征 ， 而 当 今 的 研 究 方 法 补 充 了 用 户 所 属 工 作 组 或 职 业 角 色 的 行 为 比 对 ， 目 的 是 为 了 减 小 因 为 工 作 环 境 改 变 等 引 起 的 用 户 行 为 变 化 对 异 常 检 测 的 影 响 。 通 过 上 步 数 据 解 析 之 后 ， 我 们 可 以 绘 制 出 用 户 / 角 色 的 行 为 结 构 树 ， 如 图 4 ：
用 户 / 角 色 的 整 体 树 结 构 如 上 图 ， 每 个 用 户 节 点 作 为 根 节 点 ， 延 伸 出 三 条 分 支 ， 分 别 是 D a i l y （ 当 前 数 据 ） 、 N o r m a l （ 已 有 正 常 数 据 ） 以 及 A t t a c k （ 攻 击 数 据 ） ； 之 后 每 个 分 支 按 照 设 备 继 续 分 支 ， 依 次 延 伸 出 活 动 与 活 动 属 性 。 最 初 时 N o r m a l 与 A t t a c k 分 支 均 为 空 ， 系 统 读 取 用 户 一 天 的 数 据 记 录 ， 生 成 当 天 的 D a i l y 分 支 ， 若 N o r m a l 分 支 为 空 ， 则 添 加 到 其 中 ， 反 复 直 到 训 练 期 结 束 。 一 旦 用 户 / 角 色 树 构 建 完 成 ， 当 用 户 新 一 天 数 据 到 来 时 ， 一 方 面 可 以 与 现 有 的 安 全 策 略 匹 配 ， 如 “ 工 作 外 时 间 登 录 计 算 机 拷 贝 文 件 等 ” ， 或 者 匹 配 已 有 攻 击 树 中 的 分 支 ， 从 而 实 现 较 为 实 时 的 用 户 / 角 色 行 为 检 测 。 角 色 树 的 构 建 类 似 于 用 户 ， 只 不 过 角 色 树 的 设 备 节 点 是 该 角 色 用 户 使 用 的 设 备 节 点 集 合 。 第 二 层 第 二 层 现 有 内 部 攻 击 行 为 的 表 现 可 以 归 结 为 用 户 行 为 两 方 面 ： 一 是 使 用 了 之 前 未 使 用 过 的 新 设 备 、 打 开 了 未 看 过 的 新 文 件 ； 另 一 类 则 是 虽 然 之 前 使 用 该 设 备 或 打 开 该 文 件 ， 但 是 使 用 频 率 变 化 较 大 。 因 此 ， 从 “ 新 ” 与 “ 程 度 ” 两 个 角 度 出 发 ， 可 以 相 应 地 提 取 能 反 映 这 些 方 面 的 特 征 ， 如 ： N e w ： 用 户 使 用 的 新 设 备 、 角 色 的 新 活 动 、 用 户 在 某 设 备 上 的 新 活 动 等 ； 程 度 ： 用 户 在 每 小 时 、 每 天 时 间 窗 口 内 设 备 使 用 、 计 算 机 行 为 的 频 率 与 总 数 ， 如 每 小 时 使 用 某 设 备 次 数 、 日 常 设 备 使 用 次 数 和 等 ； 时 间 选 择 ： 如 用 户 最 早 登 录 系 统 的 时 间 、 最 晚 下 线 的 时 间 等 ； 在 数 据 中 提 取 特 征 后 ， 接 下 来 需 要 指 定 异 常 指 示 器 ， 用 于 比 较 用 户 行 为 的 异 常 度 。 常 用 的 异 常 指 示 器 有 ： 登 录 异 常 ； 登 录 持 续 时 间 异 常 ； 登 出 异 常 ；
U S B 使 用 异 常 ； U S B 使 用 持 续 时 间 异 常 ； 邮 件 异 常 ； W e b 访 问 异 常 ； 文 件 访 问 异 常 ； 新 事 件 异 常 ； 每 小 时 程 度 异 常 ； 用 户 异 常 ； 角 色 异 常 ； 异 常 总 数 ； 上 述 1 3 个 异 常 指 示 器 每 个 均 是 原 始 特 征 的 子 集 ， 即 包 含 多 个 原 始 特 征 ， 如 文 件 异 常 指 示 器 就 会 包 含 打 开 异 常 、 写 入 异 常 、 创 建 异 常 等 多 种 具 体 的 特 征 。 将 用 户 训 练 期 间 的 数 据 特 征 与 新 数 据 同 时 在 每 个 异 常 指 示 器 上 投 影 （ 每 次 单 独 考 虑 一 个 指 示 器 的 多 维 图 像 ） ， 一 般 而 言 用 户 特 征 会 聚 成 一 簇 ， 而 异 常 行 为 则 会 远 离 该 簇 。 我 们 可 以 计 算 用 户 新 行 为 在 每 个 异 常 指 示 器 上 的 距 离 ， 然 后 为 每 个 指 示 器 指 定 一 个 权 值 ， 采 用 异 常 度 量 加 权 和 的 方 式 判 定 用 户 新 行 为 的 异 常 程 度 。 第 三 层 第 三 层 假 设 训 练 期 间 共 m - 1 天 ， 用 户 行 为 特 征 共 n 列 ， 那 么 算 上 新 一 天 的 用 户 行 为 记 录 ， 可 以 得 到 一 个 m * n 的 特 征 矩 阵 ： 接 下 来 我 们 的 问 题 就 是 ， 如 何 计 算 最 后 一 行 与 其 他 m - 1 行 的 偏 移 ？ 计 算 的 方 法 有 很 多 ， 一 种 方 法 是 依 次 计 算 最 后 一 行 与 前 面 m - 1 行 每 一 行 向 量 的 欧 式 距 离 ， 然 后 取 最 大 的 距 离 作 为 偏 移 值 ； 或 者 可 以 计 算 最 后 一 行 与 前 面 多 行 的 马 氏 距 离 ， 或 者 可 以 直 接 计 算 协 方 差 矩 阵 等 。 具 体 使 用 何 种 方 法 并 不 重 要 ， 重 要 的 是 我 们 的 目 标 是 比 较 最 后 一 行 与 前 面 m - 1 行 变 化 了 多 少 。 计 算 得 到 的 偏 移 值 即 可 以 作 为 用 户 行 为 的 判 定 值 ， 根 据 确 定 阈 值 的 大 小 ， 从 而 判 断 用 户 行 为 是 否 正 常 。 马 氏 距 离 是 统 计 学 上 的 距 离 ， 不 同 于 欧 式 距 离 ， 感 兴 趣 可 以 参 考 h t t p : / / b a i k e . b a i d u . c o m / l i n k ? u r l = x Q q 5 j D U d - r S K I F U O T L h G f L m 3 w 6 M e 5 0 Q g O 9 o c p 0 V k w z 8 O a 9 B c h g S A 1 - 5 L G - E L N r e a f 4 Q q H V u G S 0 x 0 l E L H m 4 G _ 还 是 那 句 话 ， 方 法 不 重 要 ， 关 键 是 目 标 : ) 即 时 反 馈 即 时 反 馈 第 一 层 检 测 依 靠 用 户 的 树 结 构 进 行 分 支 比 较 ， 需 要 确 定 不 匹 配 的 阈 值 ； 第 二 层 依 靠 用 户 在 多 个 异 常 指 示 器 上 投 影 后 的 距 离 ， 因 此 也 需 要 指 定 阈 值 ； 第 三 层 依 靠 用 户 特 征 向 量 矩 阵 的 偏 移 计 算 ， 也 许 要 制 定 距 离 阈 值 。 因 此 与 三 层 检 测 关 联 ， 判 断 异 常 的 用 户 行 为 会 由 人 工 继 续 分 析 ， 判 定 结 果 后 对 检 测 阈 值 进 行 反 馈 ， 从 而 灵 活 调 节 整 个 检 测 系 统 的 灵 敏 性 。 运 行 测 试 运 行 测 试 系 统 刚 刚 部 署 ， 小 规 模 地 是 用 C E R T - C M U 数 据 进 行 了 测 试 ， 重 点 是 针 对 集 中 异 常 指 示 器 绘 制 用 户 行 为 的 异 常 程 度 ， 其 中 横 坐 标 为 异 常 指 示 器 ， 图 形 表 示 了 四 个 用 户 在 不 同 指 示 器 上 的 异 常 度 ， 由 图 可 以 看 出 用 户 的 异 常 程 度 ， 从 而 帮 助 安 全 分 析 员 进 一 步 判 定 。
小 结 小 结 信 息 化 的 发 展 导 致 内 部 威 胁 的 潜 在 危 害 越 来 越 大 ， 因 此 实 际 中 的 内 部 威 胁 检 测 系 统 便 成 为 了 亟 待 研 究 的 问 题 。 今 天 我 们 介 绍 了 一 种 基 于 用 户 / 角 色 行 为 的 三 层 内 部 威 胁 检 测 系 统 框 架 。 之 所 以 设 计 有 三 层 检 测 ， 是 为 了 可 以 在 实 时 检 测 、 多 指 标 异 常 度 量 以 及 特 征 矩 阵 偏 移 分 析 三 个 维 度 获 得 某 种 互 补 。 传 统 的 异 常 检 测 更 多 侧 重 于 特 征 矩 阵 分 析 ， 而 忽 视 了 实 时 检 测 与 多 指 标 异 常 分 析 ， 多 指 标 异 常 检 测 正 是 实 现 多 类 内 部 威 胁 检 测 的 有 效 方 法 ， 因 此 三 层 检 测 系 统 一 定 程 度 上 弥 补 了 上 述 不 足 。 此 外 由 于 阈 值 系 统 可 以 根 据 分 析 人 员 反 馈 ， 因 此 系 统 具 备 了 灵 活 性 ， 可 以 实 时 更 新 。 内 部 威 胁 检 测 系 统 需 要 在 实 际 中 不 断 调 优 ， 因 此 实 际 应 用 中 根 据 企 业 员 工 审 计 记 录 的 学 习 、 训 练 尤 为 重 要 。 今 天 介 绍 的 三 层 检 测 系 统 框 架 是 一 种 可 行 的 实 现 框 架 ， 希 望 可 以 对 感 兴 趣 的 童 鞋 有 所 帮 助 。 参 考 文 献 参 考 文 献 1   J . R . C   e t c ,   U n d e r s t a n d i n g   i n s i d e r   t h r e a t :   A   f r a m e w o r k   f o r   c h a r a c t e r i s i n g   a t t a c k s ,   2 0 1 1 2   P h . A .   L e g g ,   e t c ,   A u t o m a t e d   I n s i d e r   T h r e a t   D e t e c t i o n   S y s t e m ,   2 0 1 5 3   P . A . L e g g ,   e t c ,   C a u g h t   i n   t h e   a c t   o f   a n   i n s i d e r   a t t a c k :   D e t e c t i o n   a n d   a s s e s s m e n t   o f   i n s i d e r   t h r e a t ,   2 0 1 5 * 本 文 原 创 作 者 ： 木 千 之 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理