[論文レビュー] cyberaCTIve: a STIX-based Tool for Cyber Threat Intelligence in Complex Models

Ricardo M. Czekster, Roberto Metere+1 more|arXiv (Cornell University)|Apr 7, 2022

Advanced Malware Detection Techniques被引用数 6

ひとこと要約

本論文では、スマートグリッドやスマートビルディングなどの複雑なサイバー物理システムにおける構造化されたサイバーリスク脅威インテリジェンス（CTI）のモデリング、可視化、共有を簡素化するSTIXベースのツール、cyberaCTIveを紹介する。タイムライン追跡、バージョニング、STIX準拠のモデリングを備えた使いやすいフロントエンドエディタにより、アナリストがリアルタイムで共同して攻撃ナラティブを構築・洗練できるようになり、状況認識の向上と対応速度の向上が図られる。

ABSTRACT

Cyber threat intelligence (CTI) is practical real-world information that is collected with the purpose of assessing threats in cyber-physical systems (CPS). A practical notation for sharing CTI is STIX. STIX offers facilities to create, visualise and share models; however, even a moderately simple project can be represented in STIX as a quite complex graph, suggesting to spread CTI across multiple simpler sub-projects. Our tool aims to enhance the STIX-based modelling task in contexts when such simplifications are infeasible. Examples can be the microgrid and, more in general, the smart grid.

研究の動機と目的

• スマートグリッドやスマートビルディングなどの大規模なサイバー物理システムにおけるSTIXベースのモデリングの複雑さに対処すること。
• STIXを用いた詳細なCTIモデルの作成および維持における認知的・技術的負担を軽減すること。
• 新たな証拠が得られるたびに段階的に攻撃ナラティブを構築・洗練できるようにすること。
• タイムラインベースの分析を支援し、セキュリティチーム間でのCTIの共有と協働を促進すること。
• 構造的で標準的かつ共有可能なCTIモデルを通じて、状況認識を向上させ、フォレンジック分析を加速すること。

提案手法

• ツールは、SCO（状況的文脈オブジェクト）、SRO（状況的推論オブジェクト）およびその他のCTI構造体のようなSTIXオブジェクトの必須および任意のパラメータをガイドするフロントエンドSTIXモデリングエディタを実装している。
• すべてのアナリストの行動を時系列ログとして保持することで、攻撃進行のタイムライン分析やイベントの順序付けが可能になる。
• モデルおよびオブジェクトのバージョニングをサポートし、古いリビジョンを示す視覚的キーマーク（例：色あせたフォント）を用いて識別可能にする。
• モデルのエクスポートおよびインポート、過去のモデルからのオブジェクトの再利用、共有前の機密情報の削除（レッドアクション）を可能にする。
• 今後の拡張機能として、MITRE ATT&CKフレームワークとの統合、CTI共有のためのTAXIIサーバー対応、入力の検証（例：URL、メールアドレス、場所）をSTIX仕様に準拠して行う機能を想定している。
• STIXタイプ、語彙、JSON構造を動的にマッピングする設計により、進化するSTIX規格と常に互換性を保つ。

実験結果

リサーチクエスチョン

• RQ1 スマートグリッドやスマートビルディングなどの複雑なサイバー物理システムにおけるSTIXベースのサイバーリスク脅威インテリジェンスモデリングをどのように簡素化できるか？
• RQ2 新たなデータの入手に応じて段階的で証拠に基づいたCTIモデリングを支援するメカニズムとは何か？
• RQ3 タイムラインベースの分析は、継続中のサイバー攻撃の検知と理解をどのように向上させるか？
• RQ4 アナリスト間での安全で協働的かつ標準化されたCTI共有を可能にするために不可欠な機能とは何か？
• RQ5 STIX準拠性と表現力は維持しつつ、非専門家にとっての導入障壁をどのように低減できるか？

主な発見

• cyberaCTIveツールは、CTIオブジェクトの作成および管理を支援するガイド付きでインタラクティブなフロントエンドエディタを提供することで、STIXモデリングの複雑さを効果的に軽減した。
• タイムスタンプ付きのイベントログの導入により、効果的なタイムライン分析が可能となり、アナリストが攻撃の順序を再構築し、パターンを検出するのを支援する。
• 古いリビジョンを視覚的に区別するバージョニング機能により、トレーサビリティが向上し、脅威モデルの反復的洗練が可能になった。
• 機密情報の削除とTAXIIサーバーとの統合を備えたセキュアな共有機能により、機密性を保ちながらも協働性が向上した。
• 事前に作成されたSTIXオブジェクトの再利用と、URLや場所などの重要なフィールドに対する入力検証が可能となり、データ品質と準拠性が向上した。
• JSONマッピングを用いたモジュラー設計により、将来のSTIX仕様の更新に対してもコア機能に影響を与えずに容易に適応可能となった。