NVision-PA: 基于进程账目日志进行命令行为可视化分析工具（附 HPC 集群安全案例研究）

在 UNIX/Linux 环境中，内核可以记录每个用户创建的每个命令进程的过程账目。因此，过程账目日志有许多潜在用途，特别是安全事件的监控和 Forensic 调查。以前的工作成功地利用过程账目日志来识别针对高性能计算 (HPC) 集群的难以检测且具有破坏性的入侵——伪装攻击，入侵者伪装成带有盗取的身份验证凭据的合法用户。尽管 HPC 集群上的伪装者可以以高于 90% 的准确率被识别，但这种准确率仍不足以应用于 HPC 生产环境，其中需要超过 99% 的准确率。本文通过寻求识别区分伪装者的命令集中的特征， incrementally 推进 HPC 集群上更准确识别伪装者的目标。为实现此目标，我们创建了 NVision-PA，一个产生描述输入处理过程账目日志的文本和图形统计摘要的软件工具。我们报告了 NVision-PA 描述两个不同的过程账目日志的结果；一个来自 Internet 使用，一个来自 HPC 集群使用。这些结果识别了来自 Internet 用户（作为伪装者的代理）在集群用户身上进行伪装的区别特征。该研究既是为创建面向生产 HPC 集群的实时伪装检测传感器的有前景的下一步，也为系统管理员提供了另一个用于在 HPC 环境中进行统计监控和管理合法工作负载（如命令使用情况）的工具。