QuasarNix: 逆襲耐性を持つLiving-off-the-Landリバースシェル検出

Dmitrijs Trizna · Luca Demetrio · Battista Biggio · Fabio Roli

概要

Linuxの既存ツール悪用（Living-off-the-Land, LOTL） リバースシェルは、正規のバイナリ（bash、python、ncなど）を悪用して隠密な送信接続を確立するため、シグネチャベースの検出は新たな亜種や回避試行に対して信頼性が低くなります。QuasarNixは、この分野における2つの未解決のギャップに対処します。

1. 公開されたMLベースのSIEM検出器がない — LOTLリバースシェル検出のための、プロダクション対応でオープンライセンスの最初のMLモデルをリリースします。
2. 敵対的脆弱性 — 回避攻撃と毒入れ攻撃の下でモデルを評価し、試験されたすべての攻撃に耐える敵対的訓練済みチェックポイントを提供します。

本フレームワークは、34のリバースシェルテンプレートから100万コマンドの訓練コーパスを合成し、FPR = 10⁻⁶ の動作点で14のモデルアーキテクチャを評価します。これは実際のSIEMアラート疲労制約を反映しています。

主な結果

ベースラインヒューリスティックとQuasarNixアーキテクチャ全体での、保持テストセットにおける性能。TPRは、FPR = 10⁻⁶ における10回の独立した訓練実行の平均±標準偏差として報告されます。太字は最良の結果を示し、アスタリスク（*）は論文で議論されたモデルを強調します。

ベースライン

QuasarNix — テーブルモデル（One-Hotエンコーディング）

QuasarNix — シーケンスモデル（トークン埋め込み）

要点: GBDTは FPR = 10⁻⁶ で60%のTPR を達成 — シグネチャ（3.37%）の18倍 — しかも汎用ハードウェア上で14秒の訓練で実現。

敵対的ロバスト性

シェルエスケープ摂動

以下の表は、攻撃者のツールキットに含まれるLinuxシェルエスケープ手法を一覧にしたものです。3列目は、その手法が auditd カーネルテレメトリ正規化を生き残るかどうかを示します。太字の4つのエントリのみが、異なる EXECVE レコードを生成し、真の攻撃対象領域を構成します。

カーネルレベルの正規化を生き残るのは 15手法中わずか4 であり、これらが敵対的攻撃空間として使用されます。

回避と敵対的訓練

3つの攻撃ファミリーが評価されました — 良性コンテンツ注入、シェルエスケープ摂動、およびそのハイブリッドです。

• 良性コンテンツ注入はすべてのニューラルモデルを壊滅させますが、GBDTは特徴重要度の重み付けにより≥93%の精度を維持します。
• シェルエスケープ摂動は、防御なしの場合、最大摂動予算でGBDTとCNNの精度を0%に低下させます。
• 敵対的訓練は、評価されたすべてのアーキテクチャにおいて、3つの攻撃タイプすべてを無効にします。

毒入れロバスト性

推論時の回避に加えて、訓練時の攻撃も評価します。

ラベル反転汚染（訓練ラベルの0～20%を反転）：モデルは徐々に性能が低下します。GBDTはアンサンブル投票により固有の耐性を示し、高い汚染率でも機能し続けます。

バックドア攻撃（毒比率0.01～1%、トリガートークン2～10）：短いトリガー（2～4トークン）は、良性トラフィックでの出現頻度が高いため、信頼性の高いバックドアの埋め込みに失敗します。最適なバックドア埋め込みには、0.03%以上の毒比率で6～10トークンのトリガーが必要です。

要点: 毒入れ攻撃が成功するには、統計的に検出可能な大規模なデータ注入が必要です。GBDTのアンサンブルメカニズムは、敵対的訓練コストなしで固有のロバスト性を提供します。

産業界での検証

本研究の公開後、GoogleはCAMLIS 2025（arXiv:2512.08802）において、概念的に一致するプロダクションシステムを発表しました。これは、数万のシステムに展開され、1日あたり最大2500億イベントを処理する2段階のYARA + MLパイプラインです。このシステムは、本稿で提案されたハイブリッドML-for-SIEM検出パラダイムと能動学習フィードバックループを独立に検証し、産業規模での実現可能性を示しています。

データセットと学習済みモデル

from datasets import load_dataset
ds = load_dataset("dtrizna/QuasarNix")

リポジトリ構成

src/
  augmentation.py       ルールベースおよび生成的なデータ合成
  evasion.py            ホワイトボックス／ブラックボックス敵対的攻撃
  models.py             モデル定義（CNN, LSTM, Transformer, XGBoost, …）
  preprocessors.py      トークナイザーと特徴量ビルダー
  scoring.py            固定FPRでの評価指標

experiments/
  ablation_*.py         アブレーション研究（トークナイザー、語彙サイズ、埋め込み）
  adversarial_*.py      攻撃および敵対的訓練パイプライン
  train_release_models.py  エンドツーエンド訓練スクリプト
  logs_*/               TensorBoard実行、CSVメトリクス、モデルチェックポイント

data/
  signatures/           進化的探索によって生成されたSigmaルール
  nix_shell/            生の良性コマンドコーパス
  powershell/           クロスプラットフォームコマンドサンプル

img/                    出版品質のプロット

環境セットアップ

uv venv                    # .venvを作成（特定のインタプリタを指定するには --python 3.11 を追加）
source .venv/bin/activate
uv sync                    # pyproject.tomlから依存関係をインストール

引用

@article{trizna2025quasarnix,
  author    = {Trizna, Dmitrijs and Demetrio, Luca and Biggio, Battista and Roli, Fabio},
  title     = {Robust Large-Scale Detection of Living-Off-the-Land Reverse Shells via Data Synthesis},
  journal   = {ACM Transactions on Privacy and Security},
  year      = {2025},
  doi       = {10.1145/3807450},
  url       = {https://dl.acm.org/doi/10.1145/3807450}
}