[論文レビュー] Enterprise Cyber Resiliency Against Lateral Movement: A Graph Theoretic Approach

Pin‐Yu Chen, Sutanay Choudhury+3 more|arXiv (Cornell University)|May 3, 2019

Complex Network Analysis Techniques参考文献 24被引用数 4

ひとこと要約

本稿では、ネットワークを三部図的ユーザ-ホスト-アプリケーショングラフとしてモデル化することにより、横方向移動攻撃に対するエントレープライズサイバー耐性を向上させるグラフ理論的フレームワークを提案する。ジョイントセグメンテーション、エッジ硬化、ノード硬化戦略を適用することで、エッジの1.5%未満を硬化させるだけで攻撃者到達可能性を10%未満に低下させ、NetMeltのような均一グラフ手法よりも優れた性能を示す。NetMeltは同等の結果を得るためには5%以上のエッジ硬化を必要とする。

ABSTRACT

Lateral movement attacks are a serious threat to enterprise security. In these attacks, an attacker compromises a trusted user account to get a foothold into the enterprise network and uses it to attack other trusted users, increasingly gaining higher and higher privileges. Such lateral attacks are very hard to model because of the unwitting role that users play in the attack and even harder to detect and prevent because of their low and slow nature. In this paper, a theoretical framework is presented for modeling lateral movement attacks and for proposing a methodology for designing resilient cyber systems against such attacks. The enterprise is modeled as a tripartite graph capturing the interaction between users, machines, and applications, and a set of procedures is proposed to harden the network by increasing the cost of lateral movement. Strong theoretical guarantees on system resilience are established and experimentally validated for large enterprise networks.

研究の動機と目的

• 信頼されたユーザアカウントを悪用し、エントレープライズネットワーク全体に権限を昇格させる低速・継続的横方向移動攻撃の検出および緩和の課題に対処すること。
• ユーザ、ホスト、アプリケーションの三つのノード集合を含む三部図的ネットワークとして、横方向移動をグラフウォークとして一元的に理論的にモデル化し、均一モデルよりも豊かなシステムダイナミクスを捉えること。
• セグメンテーション、エッジ硬化、ノード硬化といった体系的な硬化戦略を提案し、横方向移動のコストを上昇させるとともに、システム耐性に対する強い理論的保証を提供すること。
• システムの非均質性（ユーザ-ホスト-アプリケーション構造）を活用することで、均一ネットワークモデルに比べて、最小限の干渉で横方向移動を効果的に封じ込められることを示すこと。
• 実世界の横方向移動トレースを用いてフレームワークを実証的に検証し、既存手法と比較して硬化エッジの割合が少ないにもかかわらず、到達可能性の抑制に顕著な改善を示すこと。

提案手法

• エントレープライズネットワークを三部図的グラフとしてモデル化し、ユーザ、ホスト（マシン）、アプリケーションの三つのノード集合を定義し、アクセス制御および通信フローを捉える。
• 横方向移動をこの三部図的構造上のグラフウォークとして定義し、攻撃者到達可能性を、侵害された初期ノードから到達可能なノード数として定量化する。
• 三つの硬化戦略を提案する：(1) アクセス設定変更によるセグメンテーション、(2) 通信フローに対するファイアウォールルールによるエッジ硬化、(3) システムパッチ適用によるノード硬化。
• 攻撃者到達可能性への寄与度に基づいてエッジを優先順位付けするスコアベースのエッジ硬化アルゴリズム（アルゴリズム3）を用いる。このスコアは、ホスト-アプリケーション隣接行列から導出される行列Jを用いて計算される。
• スペクトルグラフ理論を用いた理論的分析により、パフォーマンス保証を確立する。これには、ユーザ-ホスト部分グラフにおける定理2および補題1、ホスト-アプリケーション部分グラフにおける定理5および補題2が含まれる。
• 実データセット（2001の横方向移動パスを含むホスト-アプリケーション二部グラフ上）を用い、提案手法と均一グラフベースのエッジ削除手法NetMeltを比較する。

実験結果

リサーチクエスチョン

• RQ1 どのようにして、エントレープライズネットワークにおける横方向移動を、ユーザ-ホスト-アプリケーションの三部図的ネットワーク上でのグラフウォークとして形式的にモデル化し、攻撃者到達可能性の全範囲を捉えることができるか？
• RQ2 セグメンテーション、エッジ硬化、ノード硬化といった硬化戦略が、異なるネットワーク部分グラフにおいて、攻撃者到達可能性をどの程度低減できるか、理論的パフォーマンス保証は何か？
• RQ3 ユーザ、ホスト、アプリケーションの役割が明確に異なるようなシステムの非均質性（例：別個の役割）を組み込むことで、均一ネットワークモデルに比べて、横方向移動封じ込めの効率はどの程度向上するか？
• RQ4 提案されたエッジ硬化手法は、NetMeltのような既存手法と比較して、到達可能性の封じ込め効果と硬化エッジの割合の両面で、どの程度優れているか？
• RQ5 実際の横方向移動トレースから得られる実世界のデータセットを用いて、提案された硬化戦略の実効性を実証的に検証できるか？

主な発見

• 提案された三部図的グラフモデルにより、攻撃者到達可能性の正確な定量化が可能となり、攻撃表面を拡大または制限する重要なノードおよびエッジが特定できる。
• 提案されたスコアベースのエッジ硬化手法を用いて、エッジの1.5%未満を硬化させるだけで、攻撃者到達可能性は約10%にまで低下し、最小限の干渉で強力な封じ込めが達成される。
• 一方、均一ホスト-ホストグラフを想定したNetMeltアルゴリズムは、同等の到達可能性低下を達成するためには5%以上のエッジ硬化を必要とし、システムの非均質性を活用する利点が明確に示される。
• すべての硬化戦略について、スペクトル解析に基づくネットワークの隣接行列および影響行列を用いて、到達可能性の上限と耐性メトリクスを含む理論的保証が確立されている。
• 実横方向移動トレースを用いたベンチマーク評価により、提案手法がNetMeltよりも効率的かつ効果的であることが確認され、特に高精度で非均質なネットワーク環境下で顕著な優位性を示す。
• 結果として、セグメンテーションと硬化戦略の統合的適用が、システム全体の到達可能性を顕著に低減することが検証され、最も効果的な設定では最小限の運用負荷で近似的に最適な耐性が達成される。