面向网络取证调查的原则性数据驱动决策支持
密码学与安全
2023-03-07 v3 人工智能
摘要
在网络安全事件发生后，迅速发现威胁行为者如何突破安全防御至关重要，以便评估事件影响并开发和部署可防范进一步攻击的对策。为此，防御者可启动网络取证调查，以发现威胁行为者在事件中使用的技术。此类调查的一个根本挑战是对特定技术的调查优先级排序，因为每项技术的调查都需耗费时间与精力，而取证分析师在调查前无法知晓哪些技术被实际使用。为确保快速发现，必须提供可协助取证分析师进行优先级排序的决策支持。近期一项研究表明，基于既往事件数据集的数据驱动决策支持可提供最先进的优先级排序。然而，这种称为 DISCLOSE 的数据驱动方法基于一种启发式，仅利用可用信息的子集，且未逼近最优决策。为改进该启发式，我们提出一种面向网络取证调查的原则性数据驱动决策支持方法。我们使用马尔可夫决策过程表述决策支持问题，其状态表示取证调查的状态。为解决该决策问题，我们提出一种基于蒙特卡洛树搜索的方法，该方法依赖对既往事件的 k-NN 回归来估计状态转移概率。我们在多个版本的 MITRE ATT&CK 数据集上评估所提方法，该数据集是基于真实世界网络事件的对抗技术与战术知识库，结果表明我们的方法在单位投入发现技术数方面优于 DISCLOSE。
引用
@article{arxiv.2211.13345,
title = {Principled Data-Driven Decision Support for Cyber-Forensic Investigations},
author = {Soodeh Atefi and Sakshyam Panda and Emmanouil Panaousis and Aron Laszka},
journal= {arXiv preprint arXiv:2211.13345},
year = {2023}
}