[論文レビュー] Cyberattack Action-Intent-Framework for Mapping Intrusion Observables

Stephen Moskal, Shanchieh Jay Yang|arXiv (Cornell University)|Feb 18, 2020

Information and Cyber Security参考文献 2被引用数 8

ひとこと要約

本稿では、侵入検知システム（IDS）の観測可能な事象を攻撃者による行動と意図にマッピングする二段階モデルであるアクション・イントェントフレームワーク（AIF）を提案する。マクロAISは上位の攻撃目標（例：特権昇格、データの持ち出し）を、マイクロAISは観測可能な技術レベルの行動をそれぞれ扱い、低レベルのIDSアラートと高レベルのサイバー脅威フレームワーク（例：MITRE ATT&CK）の間のギャップを埋める。

ABSTRACT

The techniques and tactics used by cyber adversaries are becoming more sophisticated, ironically, as defense getting stronger and the cost of a breach continuing to rise. Understanding the thought processes and behaviors of adversaries is extremely challenging as high profile or even amateur attackers have no incentive to share the trades associated with their illegal activities. One opportunity to observe the actions the adversaries perform is through the use of Intrusion Detection Systems (IDS) which generate alerts in the event that suspicious behavior was detected. The alerts raised by these systems typically describe the suspicious actions via the form of attack 'signature', which do not necessarily reveal the true intent of the attacker performing the action. Meanwhile, several high level frameworks exist to describe the sequence or chain of action types an adversary might perform. These frameworks, however, do not connect the action types to observables of standard intrusion detection systems, nor describing the plausible intents of the adversarial actions. To address these gaps, this work proposes the Action-Intent Framework (AIF) to complement existing Cyber Attack Kill Chains and Attack Taxonomies. The AIF defines a set of Action-Intent States (AIS) at two levels of description: the Macro-AIS describes 'what' the attacker is trying to achieve and the Micro-AIS describes "how" the intended goal is achieved. A full description of both the Macro is provided along with a set of guiding principals of how the AIS is derived and added to the framework.

研究の動機と目的

• 既存のサイバー脅威フレームワークにおいて、IDSアラートと攻撃者の意図との間のマッピングが不足している問題に対処すること。
• 低レベルの侵入検知観測事象と高レベルの攻撃戦術との間の意味的ギャップを埋めること。
• 観測可能な行動（IDSシグネチャを介して）を攻撃者の目標と行動に結びつける構造的かつ拡張可能なフレームワークを提供すること。
• 攻撃者の意図に基づいた検知と対応を可能にすることで、個別のシグネチャに依存するのではなく、予防的サイバー防衛を支援すること。

提案手法

• 二段階のアクション・イントェントステート（AIS）モデルを提案：マクロAISは上位の攻撃目的を、マイクロAISは観測可能な技術レベルの行動をそれぞれ扱う。
• Suricata や Snort からのIDSシグネチャをマイクロAISにマッピングすることで、抽象的な攻撃行動を現実の観測事象に根拠づける。
• 敵対的行動パターンと既知の攻撃キルチェーンに基づく体系的な手法によってAIS状態を導出する。
• マクロAISをMITRE ATT&CK戦術と一致させるが、調査段階やゼロデイ段階のカバー範囲を拡張する。
• 攻撃行動の分類を用いて12のコアなマクロAISカテゴリを定義し、調査、特権昇格、データ破壊などを含む。
• AISの導出と拡張のための指針を確立し、多様なネットワーク環境において一貫性と拡張性を確保する。

実験結果

リサーチクエスチョン

• RQ1 IDSアラートを攻撃者の意図に意味的にマッピングする方法は何か？ これにより脅威検知がどのように向上するか？
• RQ2 攻撃行動を特徴付ける主な上位レベルの目的（マクロAIS）と観測可能な行動（マイクロAIS）は何か？
• RQ3 AIFは、低レベルのIDSシグネチャと高レベルの脅威フレームワーク（例：MITRE ATT&CK）の間のギャップをどのように埋めているか？
• RQ4 AIFは、観測可能なネットワーク行動から攻撃者の意図をモデル化することで、予防的防御を支援できるか？
• RQ5 AIFは、攻撃者の戦術の多様性に対応しつつ、異なるネットワーク構成間で一貫性を保つことができるか？

主な発見

• AIFは、MITRE ATT&CKの295の技術を12のマクロAISおよび対応するマイクロAIS状態に成功してマッピングし、意図認識分析を可能にした。
• フレームワークにより、IDSアラートを特権昇格やデータの持ち出しといった攻撃者の目標にマッピングでき、検知の文脈が向上した。
• マイクロAISは特定のOS、サービス、ネットワーク構成に依存しないため、環境を問わず一般化性が向上した。
• 観測可能な行動の背後にある意図を特定することで、キルチェーンの初期段階での検知が可能になり、早期干渉が可能になった。
• AIFは構造的かつ拡張可能なモデルを提供し、脅威インテリジェンスの相関と自動応答システムの性能を向上させた。
• この手法により、AIS状態の一貫性ある導出と拡張が可能となり、既存のセキュリティ監視パイプラインへの統合を支援した。