软件学报

作者：王立敏，卜磊，马乐之，于笑丰，沈宁国

单位：王立敏，计算机软件新技术国家重点实验室(南京大学), 江苏 南京 210023;南京大学 计算机科学与技术系, 江苏 南京 21002311,卜磊，计算机软件新技术国家重点实验室(南京大学), 江苏 南京 210023;南京大学 计算机科学与技术系, 江苏 南京 210023;南京大学 软件学院, 江苏 南京 21009302,马乐之，计算机软件新技术国家重点实验室(南京大学), 江苏 南京 210023;南京大学 计算机科学与技术系, 江苏 南京 21002303,于笑丰，南京大学 商学院, 江苏 南京 21009304,沈宁国，华为技术有限公司, 广东 深圳 51812905

关键词：指标依赖模型;攻击检测;漏洞利用;系统状态

基金：国家自然科学基金（62232008，62172200）；江苏省前沿引领技术基础研究专项（BK20202001）

随着攻击技术的不断演进，防御的难度也与日俱增.为了及时、有效地识别和阻断攻击的实施，学术界与工业界已提出众多基于攻击检测的防御技术.现有的攻击检测方法主要着眼于攻击事件，通过识别攻击特征或者定位异常活动来发现攻击，分别具有泛化性和攻击导向性不足的局限性，容易被攻击者精心构造的攻击变种绕过，造成漏报和误报.然而，根据观察发现：尽管攻击及其变种可能采用众多不同的攻击机制来绕过一些防御措施，以实现同一攻击目的，但是由于攻击目的不变，这些攻击对系统的影响依然具有相似性，因此，所造成的系统影响并不会随攻击手段的大量增多而随之产生对应的增长.针对这一特点，提出了基于攻击指标依赖模型的攻击检测方法，以更有效地应对攻击变种.所提出的指标依赖模型着眼于漏洞利用后对系统的影响而非变化多样的攻击行为，因此具有更强的泛化能力.基于模型指导，进一步采用多层次监控技术，以迅速捕获定位攻击迹，最终实现对目标攻击与变种的精确检测，有效降低攻击检测的误报率.在DARPA透明计算项目以及典型APT攻击组成的测试集上，与现有的基于攻击事件分析的检测方法进行实验对比，结果表明：在预设场景下，所提出的方法可以根据可接受的性能损耗实现99.30%的检出率.

来源：2023年第6期

《软件学报》期刊编辑部

查看软件学报杂志2023年第6期