Jan, 2018

SLEUTH: COTS 审计数据实时攻击场景重建

PDF
TL;DR本文介绍了一种基于内存的依赖图抽象实现的攻击行为实时重建系统，采用高效的基于标记的检测和重建技术，包括源识别和影响分析，并通过构建紧凑视觉图表现攻击步骤来揭示攻击行为的大局。在 DARPA 组织的红队评估中，该系统成功检测并重建了在 Windows，FreeBSD 和 Linux 上红队的攻击细节。
发现论文，激发创造
  • 为了娱乐和利益模拟网络攻击

    介绍了一个新的模拟平台 Insight，用于设计和模拟针对大规模任意目标场景的网络攻击，包括模拟漏洞和利用，可应用于渗透测试、漏洞评估和风险评估等安全研究领域。

    Jun, 2010

  • 工业控制系统中基于重构异常检测器的受限隐匿攻击

    本文研究了通过操作传感器数据逃避先前使用重建驱动检测器检测攻击的不同方法，并提出了两种新的攻击方式：白盒攻击和黑盒攻击，通过在真实工业测试平台上的实现和演示证明了它们的可行性和有效性。

    Jul, 2019

  • 基于日志的可伸缩和自适应异常检测，专家在环节中

    提出了一种基于 Trie 数据结构和机器学习的日志异常检测框架 SeaLog，实验结果表明 SeaLog 相比基线方法实现更高的准确性和效率，并且可以借助 ChatGPT 等大型语言模型进行异常日志数据的快速反馈和验证。

    Jun, 2023

  • 有信息数据增强的无文件反弹 Shell 检测

    为了在恶劣环境中改进模型性能，提出了一个增强框架，通过注入已知用于网络攻击的模板和模仿逃避性威胁行为的合法活动模式，以增加并多样化在合法日志中出现的恶意活动。结果表明，增强是维持高预测能力所必需的，攻击鲁棒性可通过特定的加固技术如对抗性训练来实现，几乎不产生误报的准实时模型也是可行的。

    Feb, 2024

  • 基于规则挖掘的高级持久性威胁检测系统

    该论文介绍了一种利用与操作系统无关的特征来检测真实的高级持续性威胁攻击的无监督方法，并利用可解释性的结果来揭示被检测到的异常，这有助于解释因果关系。在 DARPA 的测试数据集中，该方法的表现优于竞争方法。

    May, 2021

  • 基于系统级溯源的无监督高级持续性威胁检测基线

    本研究评估了无监督的批量式和流式异常检测算法的有效性，通过对记录在四个不同操作系统上的多个 GB 的溯源跟踪进行检测，以确定它们是否能够可靠和高效地检测类似 APT 攻击。这是关于通用无监督异常检测技术在此环境中有效性的首个详细研究。

    Jun, 2019

  • Zebra：用于高效攻击调查的深度集成系统级溯源搜索和跟踪

    Zebra 是一个集成攻击模式搜索和因果依赖跟踪的系统，提供了一个高效的攻击调查方法，并使用一种表达性强且简洁的特定领域语言 Tstl，以及一个优化的语言执行引擎，使得在大量审计数据上进行快速执行成为可能。

    Nov, 2022

  • 实施 SCADA 场景并引入攻击以获取入侵检测方法的训练数据

    本文提出了一个用于基于机器学习的异常检测算法训练的标记数据集。该数据集基于实际的工业应用场景，包括真实工业硬件和应用特定的网络数据。数据集包含人工引入的攻击行为，并用传感器数据标记攻击行为，以进行规范的测试和评估。

    May, 2019

  • TBDetector：面向先进持久性威胁的基于 Transformer 的检测器，带有溯源图

    TBDetector is a transformer-based APT detection method that uses provenance analysis to identify anomalous activities in long-running system executions and extracts long-term features of system states with anomaly scores, presenting better performance than current state-of-the-art methods.

    Apr, 2023

  • TREC：利用少样本来源子图学习进行 APT 技巧识别

    本文提出了 TREC 方法，通过利用深度学习技术从溯源图中识别 APT 战术 / 技术，以解决现有方法中粗粒度、缺乏泛化能力的问题，实验结果表明 TREC 在 APT 战术识别方面明显优于现有系统，同时也能有效地识别 APT 技术。

    Feb, 2024