Abstract-Provenance spårning är en mycket viktig strategi för Advanced Persistent Threat (APT) attack upptäckt och utredning. Befintliga tekniker lider antingen av beroende explosionsproblem eller har icke-trivial utrymme och körtid overhead, vilket hindrar deras tillämpning i praktiken. Vi föreslår ProTracer, ett lätt härkomst spårningssystem som växlar mellan system händelse loggning och enhetsnivå förorening förökning. Tekniken är byggd på en on-the-fly system event processing infrastruktur som har en mycket lätt kärnmodul och en sofistikerad användarrymdsdemon som utför samtidig och o-order händelsebehandling. Utvärderingen med olika realistiska systembelastningar och ett antal attackfall visar att ProTracer endast producerar 13MB loggdata per dag, och 0.84GB(Server)/2.32GB(Client) på 3 månader utan att förlora någon viktig information. Utrymmesförbrukningen är endast < 1,28 % av den senaste tekniken, 7 gånger mindre än en off-line sophämtningsteknik. Den run-time overhead genomsnitt <7% för servrar och < 5% för vanliga program. De genererade attack kausala grafer är några gånger mindre än de med befintliga tekniker medan de är lika informativa.
Mamma och Al. REF utformade ett lätt härstamningsspårningssystem ProTracer för att minska beroendeexplosionsproblemet och minska omkostnaderna för utrymme och körtid, vilket underlättar praktisk härkomstbaserad attackutredning.
ProTracer: Towards Practical Provenance Tracing by Alternating Between Logging and Tainting
{'venue': 'NDSS', 'journal': None, 'mag_field_of_study': ['Computer Science']}