ProTracer: 로깅과 오염 전파 간의 교대를 통한 실용적인 기원 추적을 향하여

기원 추적은 고급 지속 위협(APT) 공격 탐지 및 조사에 매우 중요한 접근 방식입니다. 기존 기술은 의존성 폭발 문제로 어려움을 겪거나 비트리비얼한 공간 및 런타임 오버헤드가 있어 실제 활용에 방해가 됩니다. 우리는 시스템 이벤트 로깅과 단위 수준의 오염 전파간의 교대를 통해 작동하는 경량 기원 추적 시스템인 ProTracer를 제안합니다. 이 기술은 매우 경량의 커널 모듈과 동시 및 비순차적 이벤트 처리를 수행하는 정교한 사용자 공간 데몬을 특징으로 하는 즉석 시스템 이벤트 처리 인프라를 기반으로 구축되었습니다. 다양한 현실적인 시스템 작업 부하와 여러 공격 사례에 대한 평가 결과, ProTracer는 매일 13MB의 로그 데이터를 생성하며, 3개월 동안 0.84GB(서버)/2.32GB(클라이언트)를 생성하였고, 중요한 정보를 잃지 않았습니다. 공간 소비는 최신 기술의 < 1.28%에 불과하며, 오프라인 가비지 수집 기술보다 7배 더 작습니다. 런타임 오버헤드는 서버에서 평균 <7%, 일반 애플리케이션에서는 <5%입니다. 생성된 공격 원인 그래프는 기존 기술보다 몇 배 작지만 정보량은 동일합니다.