Nyligen, avancerade cyberattacker, som består av en sekvens av steg som involverar många sårbarheter och värdar, äventyrar säkerheten för många väl skyddade företag. Detta har lett till lösningar som allmänt övervakar systemaktiviteter i varje värd (stora data) som en serie av händelser, och söka efter anomalier (onormala beteenden) för att triagera riskfyllda händelser. Eftersom kampen mot dessa attacker är ett tidskritiskt uppdrag för att förhindra ytterligare skador, står dessa lösningar inför utmaningar när det gäller att införliva expertkunskap för att i god tid upptäcka anomalier över de storskaliga härkomstuppgifterna. För att ta itu med dessa utmaningar föreslår vi ett nytt ström-baserat frågesystem som tar som ingång, en realtid händelse feed aggregerad från flera värdar i ett företag, och ger en anomali frågemotor som frågar händelsen feed för att identifiera onormala beteenden baserat på angivna avvikelser. För att underlätta uppgiften att uttrycka anomalier baserat på expertkunskap, tillhandahåller vårt system ett domänspecifikt frågespråk, SAQL, som tillåter analytiker att uttrycka modeller för (1) regelbaserade anomalier, (2) tidsserier anomalier, (3) invariant-baserade anomalier, och (4) outlier-baserade anomalier. Vi distribuerade vårt system i NEC Labs America bestående av 150 värdar och utvärderade det med hjälp av 1,1 TB av verkliga systemövervakningsdata (innehållande 3,3 miljarder händelser). Våra utvärderingar av en bred uppsättning anfallsbeteenden och micro-benchmarks visar att vårt system har en låg detektionslatens (<2s) och en hög systemgenomströmning (110 000 händelser/s; stöd 4000 värdar), och är mer effektiv i minnesanvändning än de befintliga strömbaserade komplexa händelsebehandlingssystem.
Dessutom kan vår AIQL användas för att undersöka de realtidsanomalier som upptäcks på strömmen av systemövervakningsdata, vilket kompletterar ström-baserade anomali detektionssystem REF för bättre försvar.
SAQL: A Stream-based Query System for Real-Time Abnormal System Behavior Detection
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}