入侵检测相关文献泛读0810

秒速五厘米 2022-09-04 07:50 198阅读 0赞

# HOLMES: Real-time APT Detection through Correlation of Suspicious Information Flows #

2019 S&P

一种新方法实现APT攻击识别

### 挑战 ###

IDS或IPS识别异常事件很普遍，但从低级别的告警得到高级别的APT攻击活动仍很困难

### 现状 ###

SIEM 安全信息事件集中管理系统

### 思路 ###

一、将日志中的活动映射到杀伤链

二、识别与apt攻击相关的事件

三、设计一个高级别的情节图HSG，结点是匹配的战略、战术、技术，边是涉及对应ttp的信息流实体

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dvZnJlc2htYW4_size_16_color_FFFFFF_t_70]

## 相关工作 ##

### 告警关联 ###

BotHunter 基于异常

HERCULE 分散攻击步骤

### 告警生成 ###

主机的入侵检测：误用、异常、基于具体方法的

# A Systematic Framework to Generate Invariants for Anomaly Detection in Industrial Control Systems #

2019 NDSS

提出一种新的基线规则来广泛的应用到工控场景，识别攻击

## 相关工作 ##

LERAD 基于tcp会话学习规则，识别异常

Momtazpour 基于机器学习找到invariants 规则

Chen 利用突变程序和svm来找到invariants

# Accumulated Generalized Mean Value – a New Approach to Flow-Based Feature Generation for Encrypted Traffic Characterization #

CCWC 2021

提出一种预处理方法处理流特征

对比数据集提供的特征和本方法生成的特征做识别测验，显示识别召回率、准确率均大于90%

# Analysis and Classification of Encrypted Network Traffic Using Machine Learning #

SCM 2020

暂无可参考

# Detecting Lateral Movement in Enterprise Computer Networks with Unsupervised Graph AI #

RAID 2020

基于认证图的机器学习方法，识别apt攻击的横向移动战略

主要分为离线训练部分和在线识别两个部分

离线训练：随机游走采样等方式训练得到逻辑连接回归预测器

在线识别：通过认证图和上述预测器识别异常

认证图：节点是机器或用户，边是认证时间

## 相关工作 ##

基于主机日志的apt攻击识别：

A fast automaton-based method for detecting anomalous program behaviors

Unearthing stealthy program attacks buried in extremely long execution paths

Fast memory-efficient anomaly detection in streaming heterogeneous graphs

基于异常行为模型的识别：Holmes 、Poirot

# Length Matters: Fast Internet Encrypted Traffic Service Classification based on Multi-PDU Lengths #

2020 MSN

提出一种基于协议数据单元PDU长度特征的胶囊神经网络，表达长度相关的马尔可夫关系和业务服务相关的长度特征

## 挑战 ##

1 复杂特征提取开销问题

2 tls-1.2的方法不适用tls-1.3

### 识别加密流量步骤 ###

探测、分类、识别

最重要的是分类，其中最基本的是服务或业务分类

## 相关工作 ##

加密流量数据集：ISCX VPN-NonVPN

最初机器学习工作：C4.5 和 kNN模型，基于时间维度特征

Gradient Boosting Trees 和随机森林模型，优于上述机器学习

### 深度学习： ###

CNN 模型

cnn和SAE

RNN模型如Long Short Term Memory 、Hierarchical Attention Network

#### 组合模型：1D-CNN, LSTM, and SAE ；CNN and LSTM ####

### 特征提取： ###

FlowPic 、Continuous Wavelet Transform 、Constant-Q nonstationary Gabor Transform 、Wiegner-Ville Distribution 、

上述特征提取方式导致模型复杂，性能开销大

### 半监督学习 ###

GAN+CNN

An efficient deep learningmethod for encrypted traffic classification on the web ICWR2020

## 框架 ##

![\[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-JUq626Sq-1628734515697)(C:\\Users\\Mr.qun\\AppData\\Roaming\\Typora\\typora-user-images\\image-20210811223511834.png)\]][img-JUq626Sq-1628734515697_C_Users_Mr.qun_AppData_Roaming_Typora_typora-user-images_image-20210811223511834.png]

第一步：预分类和特征提取

第二步：胶囊神经网络分类流量服务

# PERT: PAYLOAD ENCODING REPRESENTATION FROM TRANSFORMER FOR ENCRYPTED TRAFFIC CLASSIFICATION #

ITU K 2020

### 相关工作 ###

代表学习：CNN模型、Long Short Term Memory、HAST

### 思路 ###

动态词嵌入编码形成token，使用无监督语言模型做数据包级别的预训练，采用BERT模型完成流级别的训练和分类

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dvZnJlc2htYW4_size_16_color_FFFFFF_t_70 1]

# PLC-Sleuth: Detecting and Localizing PLC Intrusions Using Control Invariants #

RAID 2020

### 抽象控制不变性 ###

使用控制图描述控制图

无需领域先验知识，只需scada日志驱动的方法建立控制图

采用一种基于内存的方法CUmulative SUM(CUSUM)来识别入侵

### 相关工作 ###

识别PLC攻击

基于控制流图的方式，时间开销大

系统模型的方法，需要先验知识

Srid: State relation based intrusion detection for false data injection attacks inscada

SAVIOR: Securing Autonomous Vehicles with Robust Physical Invariants

Behavior rule specification-based intrusion detection for safety critical medical cyber physical systems

Behaviourbased attack detection and classification in cyber physical systems using machine learning

Learning from Mutants: Using Code Mutation to Learn and Monitor Invariants of a Cyber-Physical System

TowardsAutomated Safety Vetting of PLC Code in Real-World Plants

PAtt: Physics-based Attestation of Control Systems

# Poster: Data Quality for Security Challenges: Case Studies of Phishing, Malware and Intrusion Detection Datasets #

调研总结了数据集的问题

入侵检测数据集问题：缺少信息、重复、攻击种类少且分布不均匀、数据集不复杂

# Timing Patterns and Correlations in Spontaneous SCADA Traffic for Anomaly Detection #

RAID 2019

针对IEC-60870-5-104 通讯协议流量的异常识别

### 相关工作 ###

基于时间的统计模型

基于序列感知的模型

动态贝叶斯网络

离散马尔可夫链

Goldenberg and Wool’s 模型

基于物理世界的异常识别

LDS 、AR

高斯混合模型

基于内容的安全识别

## 思路 ##

主要分为三部分

第一部分：提取器软件，提取输入数据的轨迹如时间戳

第二部分：数据流分为两种类型。对于间隔时间模型，形成序列；对于相关模型，形成时间序列，标注自发事件

第三部分：上述数据送入识别器

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dvZnJlc2htYW4_size_16_color_FFFFFF_t_70 2]

识别异常的原则：间隔到达时间和一对相关数据时间超出样本边界，计算超出边界值的数量是否超越阈值，超了则异常，否则，不是

# UNICORN: Runtime Provenance-Based Detector for Advanced Persistent Threats #

NDSS 2020

APT攻击识别难点：层级低、时间长

提出一种高效的基于数据源的图分析方法识别APT攻击

## 思路 ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dvZnJlc2htYW4_size_16_color_FFFFFF_t_70 3]

## 相关工作 ##

### 动态主机入侵识别 ###

A sense of self for unix processes

A fast automatonbased method for detecting anomalous program behaviors 2001

Anomaly detection using call stack information 2003

A gray-box dpdabased intrusion detection technique using system-call monitoring 2011

### 基于图的异常识别 ###

se of self for unix processes

A fast automatonbased method for detecting anomalous program behaviors 2001

Anomaly detection using call stack information 2003

A gray-box dpdabased intrusion detection technique using system-call monitoring 2011

### 基于图的异常识别 ###

Intrusion as (anti) social communication: characterization and detection 2012

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dvZnJlc2htYW4_size_16_color_FFFFFF_t_70]: /images/20220829/85003a618da84ee7b81f372018f3c888.png
[img-JUq626Sq-1628734515697_C_Users_Mr.qun_AppData_Roaming_Typora_typora-user-images_image-20210811223511834.png]: /images/20220829/288bad4480744a03b4b8b6d1b506d215.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dvZnJlc2htYW4_size_16_color_FFFFFF_t_70 1]: /images/20220829/4d5cb3e686274415a10ee236be588726.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dvZnJlc2htYW4_size_16_color_FFFFFF_t_70 2]: /images/20220829/432b12b561e64572abb4ec49a8be9798.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dvZnJlc2htYW4_size_16_color_FFFFFF_t_70 3]: /images/20220829/2ba3c0967b174b5bb88005f419fcc325.png