UNICORN：基于运行时溯源的高级持续性威胁检测器
密码学与安全
2020-01-15 v2
摘要
高级持续性威胁（APTs）因其“低速且缓慢”的攻击模式以及频繁使用零日漏洞而难以检测。我们提出UNICORN，一种基于异常的高级持续性威胁检测器，有效利用数据溯源分析。从建模到检测，UNICORN专门针对APT的独特特征量身设计其架构。通过广泛而时间高效的图分析，UNICORN探索提供丰富上下文与历史信息的溯源图，以在无预定义攻击签名的情况下识别隐蔽的异常活动。利用图草图技术，它以空间高效方式总结长时间运行的系统执行，从而应对跨越长时间段的缓慢攻击。UNICORN进一步采用一种新颖建模方法理解系统演化过程中的长期行为，从而提升其检测能力。我们的评估表明，UNICORN优于现有的最先进APT检测系统，并能以高精度检测真实APT场景。
引用
@article{arxiv.2001.01525,
title = {UNICORN: Runtime Provenance-Based Detector for Advanced Persistent Threats},
author = {Xueyuan Han and Thomas Pasquier and Adam Bates and James Mickens and Margo Seltzer},
journal= {arXiv preprint arXiv:2001.01525},
year = {2020}
}
备注
19 pages