日志再融合攻击

破坏日志完整性

一种针对基于日志融合的攻击调查系统的对抗性攻击方法，利用应用日志和审计日志的不一致性破坏证据链，并嫁祸无辜用户。

Changhua, Chen · Wan, Hai · Zhao, Xibin

Scientia Sinica Informationis 2024

参数信息

平均开销

3.62 %

假依赖引入率

0.78 %

技术优势

能检测日志不一致

ProvGuard将程序调用控制流与应用消息数据流建模结合，对审计日志和应用日志的记录进行交叉验证，确保执行轨迹的合法性。

可恢复正确攻击故事

当检测到攻击造成的日志损伤时，系统会发出警报并修正执行路径，从而获得准确的攻击根源和影响范围。

应用场景

• 攻击调查：帮助调查人员发现并修复日志完整性攻击，确保攻击故事的正确重建。
• 日志分析：通过交叉验证审计日志与应用日志，提升对多源日志融合分析的可靠性。
• 安全防御：提供检测和纠正日志攻击的防御机制，保护系统免受取证误导。