我们到达目标了吗？基于溯源的端点检测与响应工具的工业界视角
密码学与安全
2023-07-18 v1
摘要
基于溯源的端点检测与响应（P-EDR）系统被视为未来 APT 防御的关键。尽管学术界已提出大量改进 P-EDR 系统的新技术，但工业界是否会采用 P-EDR 系统以及工业界对其有何改进需求仍不明确。为此，我们对 P-EDR 系统的有效性与局限性开展了首组系统性研究。我们的研究包含四个部分：一对一访谈、在线问卷调查、相关文献调研以及系统性测量研究。研究表明，所有行业专家均认为 P-EDR 系统比传统端点检测与响应（EDR）系统更有效。然而，行业专家担忧 P-EDR 系统的运行成本。此外，我们的研究揭示了学术界与工业界之间的三个显著差距：（1）忽视客户端开销；（2）告警分诊成本与解释成本失衡；（3）服务器端内存消耗过高。本文的发现为 P-EDR 系统的有效性以及工业界采用该系统所需改进程度提供了客观数据。
引用
@article{arxiv.2307.08349,
title = {Are we there yet? An Industrial Viewpoint on Provenance-based Endpoint Detection and Response Tools},
author = {Feng Dong and Shaofei Li and Peng Jiang and Ding Li and Haoyu Wang and Liangyi Huang and Xusheng Xiao and Jiedong Chen and Xiapu Luo and Yao Guo and Xiangqun Chen},
journal= {arXiv preprint arXiv:2307.08349},
year = {2023}
}
备注
The final version of this paper is going to appear in the ACM SIGSAC Conference on Computer and Communications Security (CCS'23), November 26-30, 2023, Copenhagen, Denmark