[論文レビュー] ADTool: Security Analysis with Attack-Defense Trees (Extended Version)

Barbara Kordy, Piotr Kordy+2 more|arXiv (Cornell University)|May 29, 2013

Information and Cyber Security参考文献 19被引用数 3

ひとこと要約

ADTool は、攻撃者と防御者の行動をセキュリティシナリオでモデル化する形式であるアタック・ディフェンスツリー（ADTree）の構築および定量的分析を可能にする、無料でオープンソースのソフトウェアツールである。属性ベースの計算を用いた自動的でボトムアップの評価をサポートしており、スケーラブルで正確なリスク評価を実現するとともに、直感的なグラフィカルモデリングとモデルの正しさの形式的検証を可能にする。

ABSTRACT

The ADTool is free, open source software assisting graphical modeling and quantitative analysis of security, using attack-defense trees. The main features of the ADTool are easy creation, efficient editing, and automated bottom-up evaluation of security-relevant measures. The tool also supports the usage of attack trees, protection trees and defense trees, which are all particular instances of attack-defense trees.

研究の動機と目的

• アタック・ディフェンスツリーのグラフィカルモデリングと定量的分析の両方をサポートする無料でオープンソースのツールが不足しているという問題に対処すること。
• ADTree モデルにおける文法的正しさを強制するユーザーフrndリエントな環境を提供することにより、モデリングエラーを防止すること。
• 形式的属性ドメインを用いた自動的でボトムアップのセキュリティメトリクス計算を可能にし、リスク評価を支援すること。
• アタックツリー、プロテクションツリー、ディフェンスツリーを、アタック・ディフェンスツリーの特別なケースとして統合すること。
• 拡張可能でモジュラーなソフトウェアアーキテクチャとクロスプラットフォームでの利用可能性を通じて、産業界および学術分野における ADTree メソッドの採用を促進すること。

提案手法

• 攻撃者と防御者の行動を階層的な AND-OR ツリー構造内の相互依存ノードとしてモデル化する拡張された ADTree 形式を用いる。
• ユーザー定義の属性ドメインと演算子を用いて、原子的アクション（非精錬ノード）から始めるボトムアップ評価アルゴリズムを採用し、メトリクス値を計算する。
• Buchheim らの改善を加えた Walker のツリー配置アルゴリズムの強化版を実装し、視覚的に魅力的なツリー表示を実現する。
• コンテキストメニューとキーボードショートカットを用いたモデル作成を支援し、構築中に文法的正しさを保証する。
• Java のリフレクションを活用したプラグインアーキテクチャを採用し、コアアプリケーションの再コンパイルなしに新しい属性ドメインを動的に拡張可能にする。
• 効率的なレイアウトと柔軟な GUI 管理を実現するため、無料のライブラリ（abego TreeLayout、InfoNode Docking Windows）を統合する。

実験結果

リサーチクエスチョン

• RQ1 無料でオープンソースのツールとして、統合された環境でアタック・ディフェンスツリーの作成と定量的分析をどのようにサポートできるか。
• RQ2 ADTool がユーザーフレンドリーなまま、ADTree モデルの文法的正しさをどのように保証できるか。
• RQ3 ADTool が、数千ノードを含む大規模なセキュリティモデルをどれほどスケーリングできるか。
• RQ4 一つの形式的枠組みにアタックツリー、ディフェンスツリー、プロテクションツリーを統合することで、個別にモデル化された場合と比較して、セキュリティ分析がどの程度改善されるか。
• RQ5 ADTree におけるセキュリティメトリクスの形式的根拠に基づく属性ベースの計算フレームワークを用いる実用的利点は何か。

主な発見

• ADTool は、ツリーのサイズに応じて効率的にスケーリングするボトムアップ方式により、ADTree の即時定量的評価を可能にする。
• 10,000 ノードを超えるモデルのサポートを実現しているが、新しいノードを追加する際のレイアウト再計算に最大5秒の遅延が生じる可能性がある。
• Java のリフレクションの使用により、コアアプリケーションの再コンパイルなしに新しい属性ドメインを実行時中に拡張可能である。
• ADTool は、視覚的モデリング、形式的検証、自動的定量的分析を統合した単一のオープンソース環境を提供する点で、既存のツールを上回っている。
• ADTool は、電子投票システムの定量的脅威分析を含む実際の事例研究において、成功裏に適用されている。
• ADTool のモジュラーなアーキテクチャとオープンソース性のおかげで、商用ツール（SecurITree や AttackTree+）の代替として実用的かつ拡張可能である。