[論文レビュー] DAG-Based Attack and Defense Modeling: Don't Miss the Forest for the Attack Trees

Barbara Kordy, Ludovic Piètre-Cambacédès+1 more|arXiv (Cornell University)|Mar 29, 2013

Information and Cyber Security参考文献 170被引用数 5

ひとこと要約

本論文は、30以上の手法を分析する包括的なサーベイを提示し、攻撃と防御モデリング手法としての有向非巡回グラフ（DAG）の応用を検討する。これらは、脅威木とベイジアンネットワークの拡張である。形式的体系の分類を行い、その形式的特性と使いやすさを比較し、統合化と仕様化が主なトレンドであると特定。攻撃パターンから自動的にモデルを生成することで、セキュリティリスク評価におけるスケーラビリティと実用的導入を向上させることを提唱する。

ABSTRACT

This paper presents the current state of the art on attack and defense modeling approaches that are based on directed acyclic graphs (DAGs). DAGs allow for a hierarchical decomposition of complex scenarios into simple, easily understandable and quantifiable actions. Methods based on threat trees and Bayesian networks are two well-known approaches to security modeling. However there exist more than 30 DAG-based methodologies, each having different features and goals. The objective of this survey is to present a complete overview of graphical attack and defense modeling techniques based on DAGs. This consists of summarizing the existing methodologies, comparing their features and proposing a taxonomy of the described formalisms. This article also supports the selection of an adequate modeling technique depending on user requirements.

研究の動機と目的

• DAGに基づく攻撃および防御モデリング手法の包括的概要を提供すること。形式的特性と使いやすさを含む。
• 既存の形式的体系を比較し、特徴、目的、応用分野における主な差異を特定すること。
• 構造的および意味的特性に基づき、DAGに基づくセキュリティモデリング手法を分類する分類法を提唱すること。
• ユーザーの要件と使用事例の文脈に基づき、適切なモデリング手法の選定を支援すること。
• 攻撃パターンからの自動的モデル生成といった研究ギャップを特定し、学術的・産業的セキュリティコミュニティの連携を促進すること。

提案手法

• 本サーベイは、脅威木とベイジアンネットワークから派生した30以上のDAGベースの形式的体系を分析し、攻撃および防御シナリオの階層的分解に焦点を当てる。
• 手法を二つの主なトレンドに分類する：統合（形式的意味を持つ汎用モデル）と仕様（特定分野向けのターゲットアプリケーション用のドメイン特化モデル）。
• 調査対象のモデルにおいて、形式的基盤、定量的分析能力、動的・時刻付き・順序付きアクションのサポートを評価する。
• モジュラリティ、スケーラビリティ、および複数コンponent（デジタル、物理、社会的）の脅威シナリオをカバーする能力といった特徴を比較フレームワークで評価する。
• 再利用可能性と標準化可能性を評価するため、SHIELDSプロジェクトのSVRSなど、既存のツールやリポジトリのレビューを含む。
• 実用的使いやすさと理論的整合性を重視し、グラフィカルモデルを標準監査およびリスク評価ツールに統合することを提唱する。

実験結果

リサーチクエスチョン

• RQ1 DAGに基づく攻撃および防御モデリング形式的体系は、構造、意味論、応用範囲においてどのように異なるか？
• RQ2 DAGに基づくセキュリティモデリングの進化における主なトレンド、特に統合対比仕様化とは何か？
• RQ3 既存の攻撃および防御モデルは、再利用可能なパターンを用いて、どの程度自動的に標準化または合成可能か？
• RQ4 スケーラビリティ、形式的解析、産業的導入の観点から、現在のDAGベースのモデルの限界は何か？
• RQ5 グラフィカルセキュリティモデリング分野における理論的研究と産業的実践のギャップをどのように埋め合わせられるか？

主な発見

• 30を超える異なるDAGベースの手法が存在し、脅威木の拡張とベイジアンネットワークが、形式的体系の二大分類を占めている。
• 統合のトレンドにより、攻撃・防御木やベイジアンアタックグラフといった、形式的意味論と多パラメータ定量分析をサポートするwell-foundedなモデルが生まれた。
• 仕様化のトレンドにより、インシデントDAGやセキュリティアクティビティグラフといったドメイン特化モデルが生まれ、多くの場合、実務的ニーズに駆動され、再利用性に制限がある。
• 理論的スケーラビリティは保証されているが、複数の入力エッジの存在により、DAGベースの解析の複雑性は指数関数的に増大する可能性がある。しかし、サイクルのない構造のおかげで、実用的なパフォーマンスは依然として妥当である。
• 攻撃パターンの再利用とテンプレートからの自動的モデル生成は、産業応用における手作業の負担を著しく軽減し、モデルの正確性を向上させる可能性を有する。
• 学術的研究と産業的実践の間には依然として深刻なギャップが存在し、標準リスク評価ツールへの統合と、両者の連携を強化することで、顕著な改善が可能である。