[論文レビュー] BRON - Linking Attack Tactics, Techniques, and Patterns with Defensive Weaknesses, Vulnerabilities and Affected Platform Configurations.

Erik Hemberg, Jonathan Kelly+5 more|arXiv (Cornell University)|Oct 1, 2020

Network Security and Intrusion Detection参考文献 8被引用数 10

ひとこと要約

本論文は、MITRE ATT&CK、NIST CWE、CVE、CAPECを統合する包括的フレームワークであるBRONを紹介する。これにより、攻撃戦術および技術から根本的な脆弱性および影響を受けるシステム構成に至る、双方向で関係的なトレースが可能になる。主な貢献は、既知の攻撃パターンとその防御的ターゲットとの間のギャップを明らかにするとともに、統合プロセスから浮き彫りになる潜在的な情報も明らかにすることにある。

ABSTRACT

Many public sources of cyber threat and vulnerability information exist to serve the defense of cyber systems. This paper proposes BRON which is a composite of MITRE's ATT&CK MATRIX, NIST's Common Weakness Enumerations (CWE), Common Vulnerabilities and Exposures (CVE), and Common Attack Pattern Enumeration and Classification, CAPEC. BRON preserves all entries and relations while enabling bi-directional, relational path tracing. It exploits attack patterns to trace between the objectives and means of attacks to the vulnerabilities and affected software and hardware configurations they target. We inventory and analyze BRON's sources to gauge any gap between information on attacks and information on attack targets. We also analyze BRON for information that is a by-product of its mission.

研究の動機と目的

• 文書化されたサイバー攻撃パターンと、それらが実際に利用するシステムの弱みとの間の断絶を是正すること。
• 主要な基準から既存のサイバーベネフィットおよび脆弱性データを保持し、相互にリンクする統一的で関係的な知識ベースを構築すること。
• 攻撃技術から防御的弱みおよび影響を受ける構成に至る双方向のトレースを可能にすること。
• 効果的なサイバー防御を妨げる、現在の脅威および脆弱性情報のギャップを特定すること。
• 統合から生じる副産物として、攻撃ターゲット関係に関する新たな知見を明らかにすること。

提案手法

• MITRE ATT&CKの攻撃戦術および技術を、NISTのCWE（共通の弱み）、CVE（脆弱性）、CAPEC（攻撃パターン）と統合し、1つの複合的知識グラフを構築する。
• 元のフレームワークからすべてのエントリおよび関係を保持することで、忠実性と文脈を維持する。
• 攻撃目的から特定の脆弱性へ、および脆弱性から攻撃手法へとトレース可能な双方向の関係的リンクを確立する。
• 標準化された識別子と意味的マッピングを用いて、異なる分類体系に跨る異種データソースを統一する。
• グラフベースの分析を適用し、統合フレームワーク全体における接続性、カバレッジ、情報フローの調査を行う。
• ソースデータのインventorieおよび分析を実施し、攻撃ターゲットマッピングにおける完全性とギャップを評価する。

実験結果

リサーチクエスチョン

• RQ1 文書化されたサイバー攻撃パターンと、それらが実際に標的にする脆弱性またはシステム構成との間に、どのようなギャップが存在するか？
• RQ2 既存の脅威および脆弱性情報ソースは、攻撃からターゲットへの関係をどの程度適切に表現しているか？
• RQ3 ATT&CK、CWE、CVE、CAPECを1つの関係的フレームワークに統合することで、どのような新たな知見や副産物が生じるか？
• RQ4 統合が、攻撃技術から防御的弱みへのトレース性をどの程度向上させるか？
• RQ5 どの攻撃パターンが特定の種類の脆弱性やプラットフォーム構成と最も頻繁に関連付けられているか？

主な発見

• ATT&CK、CWE、CVE、CAPECをBRONに統合した結果、攻撃技術とそれに対応する脆弱性またはシステム構成との間で顕著なマッピングのギャップが明らかになった。
• CAPECの多くの攻撃パターンが、一貫して特定のCWEやCVEにリンクされていないことが判明し、各ソース間での記述の不完全さや一貫性の欠如を示している。
• 多数の脆弱性（CVE）が複数の攻撃パターンに関連付けられており、異なる脅威シナリオにまたがる共通の利用ベクトルがあることを示唆している。
• BRONの双方向トレース機能により、単一のソースだけでは得られない、攻撃戦術と防御的弱みの間のより効果的な相関関係が可能になった。
• 統合プロセス自体が、不一致や欠落したマッピングなど、孤立したデータソースでは見えない、潜在的な関係性やデータの不整合を明らかにした。
• BRONの複合構造により、攻撃チェーンの可視性が向上し、戦術を特定のシステムレベルの弱みにリンクさせることで、より的確な防御強化が可能になった。