[論文レビュー] Automated Attack Planning

Carlos Sarraute|arXiv (Cornell University)|Jul 30, 2013

Network Security and Intrusion Detection参考文献 57被引用数 11

ひとこと要約

本論文は、PDDLおよびPOMDPモデルを用いて、不確実性を考慮した最適な攻撃パスを生成する、画期的な自動攻撃計画フレームワークを提示する。4ALと呼ばれる階層的分解手法を導入することで、スケーラブルかつ知能的なスキャンとエクスロイテーション行動の混合が可能となり、仮定のもとで証明可能な最適性を達成する工業的規模のパフォーマンスを実現する。

ABSTRACT

Penetration Testing is a methodology for assessing network security, by generating and executing possible attacks. Doing so automatically allows for regular and systematic testing. A key question then is how to automatically generate the attacks. A natural way to address this issue is as an attack planning problem. In this thesis, we are concerned with the specific context of regular automated pentesting, and use the term "attack planning" in that sense. The following three research directions are investigated. First, we introduce a conceptual model of computer network attacks, based on an analysis of the penetration testing practices. We study how this attack model can be represented in the PDDL language. Then we describe an implementation that integrates a classical planner with a penetration testing tool. This allows us to automatically generate attack paths for real world pentesting scenarios, and to validate these attacks by executing them. Secondly, we present efficient probabilistic planning algorithms, specifically designed for this problem, that achieve industrial-scale runtime performance (able to solve scenarios with several hundred hosts and exploits). These algorithms take into account the probability of success of the actions and their expected cost (for example in terms of execution time, or network traffic generated). Finally, we take a different direction: instead of trying to improve the efficiency of the solutions developed, we focus on improving the model of the attacker. We model the attack planning problem in terms of partially observable Markov decision processes (POMDP). This grounds penetration testing in a well-researched formalism. POMDPs allow the modelling of information gathering as an integral part of the problem, thus providing for the first time a means to intelligently mix scanning actions with actual exploits.

研究の動機と目的

• 攻撃生成を計画問題としてモデル化することで、人的労働を削減し、アクセス性を向上させることを目的とした、ペネトレーションテストの自動化の課題に対処する。
• 現実のペネトレーションテストの実務を反映する、エクスプロイット成功確率とネットワークトポロジーを含む、ネットワーク攻撃の形式的モデルを構築する。
• エクスプロイット成功の不確実性と実行コストを考慮した、スケーラブルな確率的計画手法を開発し、工業的規模の攻撃計画を可能にする。
• 部分的に観測可能なマルコフ意思決定過程（POMDP）を用いて攻撃計画問題をモデル化し、情報収集（スキャン）とエクスプロイテーションを自然に統合する。
• POMDPに基づく攻撃計画を大規模ネットワークにスケーリングしつつ、解の品質を保持するための階層的分解手法（4AL）を設計する。

提案手法

• 攻撃シナリオをPDDL言語で表現し、古典的プランナを用いて攻撃シーケンスを生成する。
• 古典的プランナを実際のペネトレーションテストツールと統合し、ライブネットワーク上で生成された攻撃パスを実行して検証する。
• 行動成功確率を確率としてモデル化し、期待コスト（時間、トラフィックなど）を最小化するカスタム確率的プランナを開発し、特定の仮定のもとで最適性の証明を提示する。
• 実際の展開前に、大規模で任意のネットワークシナリオで攻撃計画をテスト・検証できるシミュレーションプラットフォームを設計する。
• 4ALフレームワークを提案する。4段階の階層的分解である：(1) ネットワークを双連結成分に分解し、(2) 成分ごとの攻撃を計画し、(3) ファイアウォール制約を考慮したサブネットワーク攻撃を計画し、(4) 個別マシン攻撃をPOMDPとして解く。
• 最下位レベルでは市販のPOMDPソルバを用い、結果をキャッシュして再計算を回避し、階層を上向きに解を合成する。

実験結果

リサーチクエスチョン

• RQ1 形式的計画技法を用いて、どのように自動ペネトレーションテストを体系的かつ一貫して生成できるか？
• RQ2 エクスプロイット成功の不確実性とネットワーク状態の不確実性を考慮することで、確率的計画モデルは攻撃計画にどの程度向上をもたらすか？
• RQ3 POMDPに基づくモデリングは、攻撃計画におけるスキャンとエクスプロイテーション行動の知的でコスト効率の良い統合を可能にするか？
• RQ4 POMDPに基づく攻撃計画を、解の品質を損なわず大規模ネットワークにスケーリングできるか？
• RQ5 POMDPに基づく攻撃計画において、階層的分解を用いる際の、解の品質と計算効率のトレードオフは何か？

主な発見

• 提案されたPOMDPベースのモデルにより、スキャンとエクスプロイテーションを統合した初めての形式的フレームワークが実現され、不確実性下での知的で最適な行動順序付けが可能になった。
• 4ALの階層的分解アプローチにより、工業的規模のパフォーマンスが達成され、数100台のホストとエクスプロイットを含むシナリオを効率的に解けるようになった。
• 実験的結果から、階層的POMDPアプローチはグローバルPOMDP解に比べて解の品質にわずかな損失しか与えず、スケーラビリティを兼ね備えていることが示唆された。
• 確率的プランナは、行動成功確率が既知で、コストが固定であるという仮定のもとで最適解を生成し、その最適性を形式的証明で裏付けた。
• 古典的プランナと実際のペネトレーションテストツールの統合により、ライブネットワーク上で攻撃計画を実行してエンドツーエンドの検証が可能になった。
• シミュレーションプラットフォームは、実世界での実行前に大規模で任意のネットワーク構成で攻撃計画をテスト可能にし、安全性と信頼性を向上させた。