[論文レビュー] Attack Planning in the Real World

Jorge Lucángeli Obes, Carlos Sarraute+1 more|arXiv (Cornell University)|Jun 18, 2013

Information and Cyber Security参考文献 17被引用数 65

ひとこと要約

この論文は、PDDLに基づく攻撃計画フレームワークを提示しており、古典的プランナと実世界のペネトレーションテストツールを統合することで、ライブネットワークに対して攻撃パスを自動生成・検証する。PDDLでエクスプロイトとネットワーク状態をモデル化し、Metric-FF や SGPlan といったプランナを活用することで、中規模ネットワーク（最大200ホスト）までスケーリング可能であり、完全な攻撃グラフを事前に計算することなく、自動的かつ実行可能な攻撃計画を可能にする。

ABSTRACT

Assessing network security is a complex and difficult task. Attack graphs have been proposed as a tool to help network administrators understand the potential weaknesses of their network. However, a problem has not yet been addressed by previous work on this subject; namely, how to actually execute and validate the attack paths resulting from the analysis of the attack graph. In this paper we present a complete PDDL representation of an attack model, and an implementation that integrates a planner into a penetration testing tool. This allows to automatically generate attack paths for penetration testing scenarios, and to validate these attacks by executing the corresponding actions -including exploits- against the real target network. We present an algorithm for transforming the information present in the penetration testing tool to the planning domain, and show how the scalability issues of attack graphs can be solved using current planners. We include an analysis of the performance of our solution, showing how our model scales to medium-sized networks and the number of actions available in current penetration testing tools.

研究の動機と目的

• 既存の攻撃グラフ研究におけるギャップを埋めるために、実際のターゲットネットワークで攻撃パスの自動実行と検証を可能にすること。
• 従来の攻撃グラフがネットワークサイズに伴い指数関数的に増大し、中規模〜大規模ネットワークでは現実的でないというスケーラビリティの制限を克服すること。
• 古典的計画アルゴリズムと実際のペネトレーションテストフレームワーク（例：Core Impact）を統合し、実行可能な攻撃計画を生成・実行すること。
• 現在のプランナを用いて、完全な攻撃グラフを事前に計算する必要がないまま、計画ベースの攻撃モデリングが現実的なネットワーク規模にスケーリング可能であることを示すこと。
• 攻撃ステップを正確な事前条件と効果を持つ実行可能な計画としてモデル化することで、自動的で繰り返し可能かつ最適化されたペネトレーションテストを可能にすること。

提案手法

• エクスプロイト、ホスト状態、サービスといったペネトレーションテストデータを、攻撃アクションの事前条件、効果、目的を捉える形式的PDDLドメインモデルに変換すること。
• 古典的計画アルゴリズム（Metric-FF および SGPlan）を用いて、完全な攻撃グラフを構築せずに、状態空間を探索し攻撃シーケンスを生成すること。
• プランナを実際のペネトレーションテストフレームワーク（Core Impact）と統合し、生成された計画をライブターゲットネットワークに対して実行して検証すること。
• 制約の分割とヒューリスティック最適化を適用することで、複数の侵害済みホストを含む複雑な目的に対するプランナの性能を向上させること。
• 制御されたテスト環境での攻撃計画のエンドツーエンド実行を通じて、正しさと実行可能性を検証すること。
• ペネトレーションテストツール自体の知識ベース（エクスプロイト、ターゲット状態）を真実の情報源として使用することで、外部スキャナによる誤検出を回避すること。

実験結果

リサーチクエスチョン

• RQ1 古典的計画アルゴリズムは、完全な攻撃グラフを事前に計算せずに、実世界のペネトレーションテストシナリオにおいて実行可能な攻撃パスを効果的に生成・検証できるか？
• RQ2 PDDLに基づく攻撃モデルは、数百台のホストと数十のエクスプロイトを含む中規模ネットワークにどの程度スケーリング可能か？
• RQ3 異なるプランナ（例：Metric-FF と SGPlan）の性能特性は、現実的なペネトレーションテスト計画タスクに適用した際にどう異なるか？
• RQ4 プランナと実際のペネトレーションテストツールを統合することで、自動的で繰り返し可能かつ信頼性の高い攻撃実行が可能になるか？
• RQ5 実際のペネトレーションテストにおいて、ターゲットネットワークの不完全な知識を計画フレームワーク内でどのようにモデル化・処理できるか？

主な発見

• PDDLに基づく攻撃モデルは中規模ネットワークまで効果的にスケーリング可能であり、最大200ホストおよび多数の利用可能なエクスプロイトを処理できる。
• プランナを用いて関連するパスのみを探索することで、完全な攻撃グラフ構築に伴う指数的増大を回避し、スケーラビリティを実現している。
• Metric-FF は、200ホストのネットワーク内で100台のマシンを侵害する複雑な目的を、6秒未満で、1GBをわずかに超えるメモリ使用量で解決した。
• SGPlan は単純な問題では Metric-FF よりも高速であったが、制約の分割戦略のため、複雑な目的ではスケーラビリティに問題を示した。
• プランナと実際のペネトレーションテストツールの統合により、攻撃計画のエンドツーエンド実行と検証が可能となり、自動ペネトレーションテストの実現可能性が裏付けられた。
• TVA や他の先行研究とは異なり、単調性の制限的仮定に依存しないことから、DoS や失敗したエクスプロイトなどの非単調な動作もモデル化可能である。