Точное, недорогое и не требующее инструментирования ведение аудита безопасности для Windows

Аудит логов является важным подходом к расследованию кибератак. Однако традиционный аудит логов либо недостаточно точен, либо требует дорогостоящего и сложного двоичного инструментирования. В этой работе мы предлагаем технику ведения аудита для Windows, которая сочетает точность и низкую стоимость. Более важно то, что она не требует инструментирования приложений, что критично для коммерческого программного обеспечения с защитой интеллектуальной собственности. Техника основана на Event Tracing for Windows (ETW). Путем анализа ETW-логов и критических частей исполняемых файлов приложений можно построить модель для разборки ETW-логов на единицы, представляющие независимые подсечения выполнения в процессе. Выведение причинно-следственных связей на уровне таких единиц обеспечивает значительно более высокую точность, что позволяет проводить точное расследование атак и эффективно сокращать объем логов.