Laccolith：基于管理程序的抗检测对手仿真
密码学与安全
2024-04-30 v3 操作系统
摘要
高级持续性威胁（APT）因可长期隐匿而构成当今最具威胁的攻击形式。对手仿真是一种针对此类攻击的主动防御准备方法。然而，现有对手仿真工具缺乏 APT 的抗检测能力。我们引入 Laccolith，一种基于管理程序（hypervisor）且具抗检测能力的对手仿真解决方案以填补此空白。我们还开展实验研究，将 Laccolith 与最先进的对手仿真方案 MITRE CALDERA 针对五款流行杀毒产品进行比较。我们发现 CALDERA 无法规避检测，限制了仿真攻击的真实度，即便结合最先进的抗检测框架亦然。实验表明 Laccolith 可对其所有被测杀毒产品隐藏自身活动，从而适用于真实仿真。
引用
@article{arxiv.2311.08274,
title = {Laccolith: Hypervisor-Based Adversary Emulation with Anti-Detection},
author = {Vittorio Orbinato and Marco Carlo Feliciano and Domenico Cotroneo and Roberto Natella},
journal= {arXiv preprint arXiv:2311.08274},
year = {2024}
}