Abstract-Undersöka karaktären av systemintrång i stora distribuerade system är fortfarande en notoriskt svår utmaning. Samtidigt som övervakningsverktyg (t.ex. brandväggar, IDS) tillhandahåller preliminära varningar genom lättanvända administrativa gränssnitt, kräver attackrekonstruktion fortfarande att administratörer sålla genom gigabyte av systemrevisionsloggar som lagras lokalt på hundratals maskiner. För närvarande, två grundläggande hinder förhindrar synergi mellan system-lager revision och moderna kluster övervakningsverktyg: 1) den rena volymen av revisionsdata som genereras i ett datacenter är oöverkomligt kostsamt att överföra till en central nod, och 2) systemlager revision innebär ett "behövande-i-en-haystack" problem, så att hundratals anställda timmar kan krävas för att diagnostisera ett enda intrång. Detta dokument presenterar Winnower, ett skalbart system för granskningsbaserad klusterövervakning som tar itu med dessa utmaningar. Vår nyckelinsikt är att, för uppgifter som replikeras över noder i en distribuerad ansökan, en modell kan definieras över revision loggar för att kortfattat sammanfatta beteendet hos många noder, vilket eliminerar behovet av att överföra redundant revision poster till en central övervakning nod. Specifikt Winnower tolkar revision poster i härkomst grafer som beskriver åtgärder av enskilda noder, utför sedan grammatiska slutsatser över enskilda grafer med hjälp av en ny anpassning av Deterministic Finite Automata (DFA) Lära sig att producera en beteendemodell av många noder på en gång. Denna härkomstmodell kan effektivt överföras till en central nod och användas för att identifiera avvikande händelser i klustret. Vi har implementerat Winnower för Docker Swarm container kluster och utvärdera vårt system mot verkliga applikationer och attacker. Vi visar att Winnower dramatiskt minskar lagring och nätverk overhead i samband med aggregering systemrevision loggar, med så mycket som 98%, utan att offra den viktiga information som behövs för attack utredning. Winnower utgör därmed ett betydande steg framåt för säkerhetsövervakning i distribuerade system.
Winnower REF tillhandahåller en effektiv mekanism för lagring av härkomstdata i ett distribuerat kluster, och visar förmåga att upptäcka attacker i ett Docker Swarm containerkluster.
Towards Scalable Cluster Auditing through Grammatical Inference over Provenance Graphs
{'venue': 'NDSS', 'journal': None, 'mag_field_of_study': ['Computer Science']}