VinciDecoder：基于NMT的云安全事件取证报告生成工具

# VinciDecoder：基于NMT的云安全事件取证报告生成工具 ## 1. 引言 在云安全领域，理解攻击步骤和生成详细的取证报告对于安全分析至关重要。VinciDecoder作为一种创新工具，利用神经机器翻译（NMT）技术，能够将云管理级别的溯源图中的可疑路径转化为易于理解的取证报告，大大提高了安全分析的效率。 ## 2. 预备知识 ### 2.1 溯源图 数据溯源是一种强大的技术，用于以图的形式捕获数据对象（如虚拟资源或操作系统文件）和事件（如管理操作或系统调用）之间的依赖关系。在云环境中，云管理级别的溯源图通常包含两种类型的节点：实体（用椭圆形表示）和活动（用矩形表示）。实体代表虚拟资源，活动代表云管理操作。每个节点存储多个属性，如操作/资源的类型和触发操作的用户。边表示操作与其受影响资源之间的依赖关系。 ### 2.2 神经机器翻译 神经机器翻译（NMT）构建了一个条件概率模型P(Y |X)，旨在最大化给定源句子X时目标句子Y的可能性。NMT通常由编码器和解码器组成，它们通常使用循环神经网络（RNN），如长短期记忆网络（LSTM）。在训练初始化时，LSTM单元被赋予随机权重，编码器将源句子X编码为固定长度的向量H，解码器根据该向量生成目标句子。NMT通过计算生成句子与参考句子Y的偏差，并基于其他句子对优化分配的权重来改进模型。 ### 2.3 假设 - 假设现有工具提供的溯源分析结果的准确性，例如捕获攻击步骤或恶意行为的可疑路径。 - 假设基于溯源的根本原因分析解决方案在识别捕获攻击步骤的可疑路径方面的正确性和完整性。 - 假设溯源构建工具未被破坏。 - 假设存在足够数量的训练数据（即配对的取证报告和可疑路径）用于训练模型。 ## 3. VinciDecoder概述 VinciDecoder主要包括两个阶段：学习阶段和自动报告生成阶段。 ### 3.1 学习阶段 - 收集配对的可疑路径和报告进行训练。 - 将可疑路径转换为中间语言的原始句子，该语言将节点的属性表示为复合词，并去除特定实例信息。 - 应用NMT训练翻译模型，以描述获得的句子与其取证报告之间的对应关系。 ### 3.2 自动报告生成阶段 - 应用训练好的翻译模型，根据与新检测到的事件相关的溯源图的可疑路径生成取证报告。 - 可选地，使用基于规则的机制生成报告。 ## 4. 模块详细介绍 ### 4.1 路径到中间语言翻译（PILT） NMT通常应用于文本句子，将其应用于溯源图具有挑战性。PILT模块通过查询数据库顺序扫描节点，提取其属性，并将它们记录为句子的一个复合词，将每个可疑路径转换为原始句子。具体步骤如下： 1. 从操作节点提取类型和用户属性，并将它们附加到创建的原始句子中。 2. 计算两个连续操作节点存储的时间戳属性之间的经过时间，并将计算值加上适当的后缀（如“-millisecond”、“-hours”等）附加到句子中。 3. 记录资源的类型和标识符。 ### 4.2 归一化 为了让NMT专注于原始句子中的通用单词，而不是特定于应用程序的单词（这可能导致错误翻译），VinciDecoder需要在将数据集输入NMT之前去除特定实例信息。具体操作是将所有特定实例值（如“-milliseconds”之前的数字）替换为占位符（即\0），并根据指定规则将应用程序或软件平台的名称替换为“platform”。 ### 4.3 翻译模型训练 该模块利用NMT构建翻译模型，以描述现有取证报告与其关联的可疑路径之间的对应关系。具体步骤如下： 1. 将报告的单词和获得的原始句子的单词（即节点的属性）投影到高维数值向量空间中，使得具有相似上下文的单词/节点具有更接近的向量表示。 2. 基于导出的向量构建翻译模型，将每个提供的取证报告最佳映射到其配对的原始句子。 ### 4.4 自动报告生成 #### 4.4.1 基于学习的报告生成 在学习阶段构建翻译模型后，VinciDecoder可以根据检测到的可疑路径生成取证报告。具体步骤如下： 1. 将可疑路径转换为中间语言的原始句子，并按照Sect. 3.2和Sect. 3.3中提到的相同技术去除特定实例信息。 2. 将翻译模型应用于每个归一化的原始句子，自动生成相应的取证报告。 3. 为了提高生成报告的质量，允许分析师通过使用原始句子识别特定实例信息并将其添加到报告中进行后期编辑。 #### 4.4.2 基于规则的报告生成 为了确保在缺乏足够数量的报告进行训练时方法的适用性，VinciDecoder还配备了基于规则的机制。具体步骤如下： 1. 顺序扫描每个路径上的节点，提取每个节点存储的以下属性：资源/操作的类型和ID、触发操作的用户以及两个连续操作节点中存储的时间戳值之间的经过时间。 2. 创建一个有序列表，其中每个项目代表一个节点的属性。 3. 根据分析师指定的规则生成句子，并顺序链接项目，使得提取的用户、