TeRed: Normal Behavior-Based Efficient Provenance Graph Reduction for Large-Scale Attack Forensics

doi:10.1109/TIFS.2025.3601381

TeRed: Normal Behavior-Based Efficient Provenance Graph Reduction for Large-Scale Attack Forensics

2025-01-01

0

PRE

AI

DOI：10.1109/TIFS.2025.3601381

原文链接

原文求助

摘要

En 中文

系统入侵，特别是高级持续性威胁（APTs），对企业和组织构成重大威胁。基于来源关系的图攻击检测与调查方法对于防御这些入侵至关重要。为检测各类攻击，安全系统收集全面的操作系统事件数据，导致产生大规模的来源关系图，增加了存储成本并使分析和查询复杂化。因此，高效优化这些来源关系图已成为核心问题。然而，现有的数据缩减方法常错误删除关键安全信息，显著影响攻击检测与调查。本文介绍了TeRed，一种基于正常行为模式的来源关系图缩减新方法。我们的方法采用单元测试学习系统的正常行为模式，并将其用于精简来源关系图。在五个数据集上的实验表明，我们的方法在缩减来源关系图的同时保留了所有与攻击相关的信息。重要的是，它不会影响攻击检测与调查，展现出相较于其他数据缩减技术的显著优势。

Keyword:

Data reduction

provenance graph

template mining

intrusion detection

attack investigation

TeRed: Normal Behavior-Based Efficient Provenance Graph Reduction for Large-Scale Attack Forensics

摘要

期刊

机构

引用论文