从kill-chain的角度检测APT攻击
从kill-chain的角度检测APT攻击
前言
最近一直在考虑如何结合kill chain检测APT攻击。出发点是因为尽管APT是一种特殊、高级攻击手段，但是它还是会具有攻击的common feature，只要可以把握住共同特征，就能进行检测。而kill chain就是个非常好的common feature描述。
在预研期间看到了一些觉得比较好的工作，这里和各位师傅一起分享下。如题所述，这篇文章是介绍如何如kill-chain的角度检测APT攻击的一个方案，其特点解决了三个痛点：1.在于针对大数据量的问题引入Pearson相关检验来减少处理数据量；2，使用基于贝叶斯算法分类的优先级选择方法对训练数据进行选择，从而显著降低训练时间；3.利用层次分析法，对不同的警报进行分类，并确定各参数之间的相关性，最终提高所有攻击数据类的检测率。
kill-chain模型
kill-chain模型各位师傅应该都比较熟悉了，不过为了方便与后文的APT检测对应起来，我们这里还是简单梳理下。
kill-chain模型有7个阶段：(1) Reconnaissance, (2) Weaponization, (3) Deliver, (4) Exploitation, (5) Installation, (6) Command and Control (7) Actions on objectives
这7个连续的步骤为攻击者提供了行动TTP(tactic,technique和procedure)。
事实上，kill-chain模型不仅可以给攻击者提供参考，也能给防御者提供指引，从预防、检测、分析每一步骤都有章可循。
下面根据个人经验简单回顾一下。
Reconnaissance
第一阶段侦查的主要目标就是收集目标的信息，这一步说简单也简单，说难也难，相信做渗透的师傅们都深有体会。
Weaponization
第二阶段Weaponization，即武器化，其目标是创建一个可以交付攻击的恶意payload，这里的payload可以分为两种类型：
1.不需要与攻击者通信的payload，比如病毒、蠕虫等
2.需要与攻击者通信的payload，比如带有C 0. 1缺乏科学依据;判断矩阵的一致性与人类思维的一致性有显著差异。
在模糊层次分析中,作因素间的两两比较判断时,如果不用三角模糊数来定量化,而是采用一个因素比另一个因素的重要程度定量表示,则得到模糊判断矩阵。
其抽象结构如下所示：
emmm，不好理解的话，我们里去哪里旅游的问题为例，可以把要考虑的因素都放上去进行计算，如下所示：
用模糊层次分析法解决问题的一般步骤如下：
模糊层次分析法的基本思想是根据多目标评价问题的性质和总目标，把问题本身按层次进行分解，构成一个由下而上的梯阶层次结构。因此在运用FAHP决策时，大体上可以可分为以下四个步骤。
（1）分析问题，确定系统中各因素之间的因果关系，对决策问题的各种要素建立多级（多层次）递阶结构模型。
（2）对同一层次（等级）的要素以上一级的要素为准则进行两两比较，并根据评定尺度确定其相对重要程度，最后据此建立模糊判断矩阵。
（3）通过一定计算，确定各要素的相对重要度。
（4）通过综合重要度的计算，对所有的替代方案进行优先排序，从而为决策人选择最优方案提供科学的决策依据
在我们提出的方案中，模糊层次分析法是用于对不同的警报进行分类，并确定各参数之间的相关性，从而检测出APT攻击的。
该方法首先会对输入数据进行模糊化处理，数值模糊化可以采用各种隶属函数。隶属度A(x)表示模糊集合A中元素x的隶属度。如果一个元素的隶属度为0，则该元素完全不在该集合中;如果隶属度为1，则该元素完全在该集合中。当隶属度在0到1之间时，表示隶属度是渐进的。这里我们可以使用三角隶属函数对值进行模糊化处理。其公式如下：
层次分析过程步骤如下:
•AHP建模过程-》创建两两比较决策矩阵-》计算每个选项的标准权重和得分，其最后一步涉及兼容性测试;其中涉及一致性指标(CI)和一致性比(CR)两个参数，当CR小于0.1时，结果才是可接受的，否则就要重新执行
检测效果
为了检测方案的可行性，这里使用了标准的公开数据集KDD CUP99进行评估。
KDD CUP99是非常经典的数据集。该数据集是自1999年以来评估入侵检测系统最常见和标准的数据集，是基于DARPA 98项目记录的数据。该数据集包含由TCPDump软件从网络流量中收集的大约4 GB的原始二进制数据。它还包含大约500万条带有连接向量的记录，每条记录的大小为100字节和41个属性，以及一个包含正常模式或攻击模式的标签。由于该数据集的容量很大，大多数研究都使用了标准数据集中提供的10%的子集。这个数据集包括494,021条记录，包括23种攻击类和2个普通类。
在该数据集中，将数据记录分为拒绝服务(DoS)攻击、获取初始访问(R2L)攻击、提权(U2R)攻击和探测攻击(probing)四大类。在这里，根据kill-chain的特性以及这些攻击对kill-chain模型某些阶段的适应性，以这些攻击为例对APT攻击进行了分析。我们考虑了DoS、R2L、U2R攻击，以及信息收集(“Reconnaissance”)、入侵(“weaponization” 和“Delivery)、部署(““Exploitation” 和 “Installation””)和信息窃取(“Command and Control” 和 “Action on Objectives”)阶段的探测（probing）。为了区分正常流量和攻击流量，KDD99中每个网络通信数据组件用41个属性表示。此外，KDD99中的每个数据组件都被标记为攻击预计或规范预警。数据集中的这23种网络攻击类型都可以用于APT攻击，每一种都属于四种我们设计的攻击类型中的一种。
因为使用了贝叶斯算法和模糊层次分析法相结合的方法，这里通过参数M负责控制这两种算法的收敛（M的值实际上表示Bayesian算法下一步将用于训练的数据点），为了确定M去哪个值更好，这里分别作了实验，效果如下：
可以看到，M=4时效果是最好的
为了确定所提出的方案的效率更好，这里可以对T2数据集提取混淆矩阵，如下所示。a是基础方案，b是提出的方案.
在接下来的实验中，我们把这里提出的新的思路命名为APT-Dt-KC,然后与参考文献5中提出的DT-EnSVM方法进行对标，从结果可以看到，新的方案全面胜出。
从上表可以看出来，现在的方案混淆矩阵在分类阶段的效率比基础方案要更优。
然后分别比较两个方案在T1数据集和T2数据集上的结果，如下所示，第一个表示是在T1数据集上的结果，第二个表是在T2数据集上的结果。
可以看到，现在的方案在检出率、假阳性率和假阴性率方面均要更占优势。而且由于消除了预警的冗余性，其训练时间也更短。
两个方案在两个数据集上的准确率如下：
可以看到，现在的方案在准确率上是遥遥领先。
但是这还没有结束，对攻击进行分类处理后，需要确定攻击的级别和优先级。
由于现在的方法采用了AHP算法来考虑攻击的级别，因此可以对不同的攻击进行排序。因此，可以对所有攻击进行分类、排序，并根据最可能发生的情况进行评估。T1数据集在攻击检测阶段的实验结果如下所示。
可以看到其假阳性率和假阴性率均小于基础方法。
T1数据集中两个方案的平均检测率值如下所示：
从表中可以看出，现在的方案在最终检测率上也是优于基础方法的。所以我们现在可以肯定地说，整个过程中我们提出的新方案有较好的检测效果。
参考
1.Panahnejad M, Mirabi M. APT-Dt-KC: advanced persistent threat detection based on kill-chain model[J]. The Journal of Supercomputing, 2022: 1-34.
2.https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html
4.Setiawan B, Djanali S, Ahmad T, et al. Assessing centroid-based classification models for intrusion detection system using composite indicators[J]. Procedia Computer Science, 2019, 161: 665-676.
5.Gu J, Wang L, Wang H, et al. A novel approach to intrusion detection using SVM ensemble with feature augmentation[J]. Computers & Security, 2019, 86: 53-62.