[論文レビュー] Evaluating the Exploitability of Implicit Interactions in Distributed Systems

Jason Jaskolka|arXiv (Cornell University)|Jun 10, 2020

Distributed systems and fault tolerance参考文献 11被引用数 4

ひとこと要約

本稿では、通信並列クライフ・アレバブラ（C²KA）を用いて、分散システムにおける意図しないまたは予期しないコンponent間相互作用（暗黙的相互作用）の利用可能性を体系的に評価する手法を提案する。エージェントの影響力と反応を分析することで、攻撃シナリオを同定し、形式的な利用可能性測度を導入する。これにより、システム設計段階でサイバーセキュリティ脆弱性を早期に検出・緩和可能となり、実用的妥当性を示すプロトタイプツールを提示する。

ABSTRACT

Implicit interactions refer to those interactions among the components of a system that may be unintended and/or unforeseen by the system designers. As such, they represent cybersecurity vulnerabilities that can be exploited to mount cyber-attacks causing serious and destabilizing system effects. In this paper, we study implicit interactions in distributed systems specified using the algebraic modeling framework known as Communicating Concurrent Kleene Algebra (C$^2$KA). To identify and defend against a range of possible attack scenarios, we develop a new measure of exploitability for implicit interactions to aid in evaluating the threat posed by the existence of such vulnerabilities in system designs for launching cyber-attacks. The presented approach is based on the modeling and analysis of the influence and response of the system agents and their C$^2$KA specifications. We also demonstrate the applicability of the proposed approach using a prototype tool that supports the automated analysis. The rigorous, practical techniques presented here enable cybersecurity vulnerabilities in the designs of distributed systems to be more easily identified, assessed, and then mitigated, offering significant improvements to overall system resilience, dependability, and security.

研究の動機と目的

• 意図しないコンponent連結（暗黙的相互作用）がサイバー攻撃で実際に利用可能かどうかを評価するという、極めて重要なギャップを埋めること。
• 侵害されたシステムエージェントが暗黙的相互作用をどのように活用して他のエージェントの挙動に影響を与えるかを形式的に特定すること。
• このような相互作用の利用可能性を定量化し、システム設計段階でのリスク評価と緩和計画を支援すること。
• システム設計者が開発ライフサイクルの初期段階で高リスクの暗黙的相互作用を同定・緩和することで、能動的にセキュリティと信頼性を強化できるようにすること。
• C²KAに基づくシステム仕様に統合されたプロトタイプツールを通じて、自動分析の実現可能性を示すこと。

提案手法

• 通信並列クライフ・アレバブラ（C²KA）を用いて、システムコンponentとその通信行動を形式的にモデル化し、システム行動と環境を区別する。
• 影響力と反応分析を適用し、侵害されたエージェントが暗黙的相互作用を通じて意図しない挙動を引き起こす仕組みをモデル化する。
• 侵害されたエージェントが暗黙的相互作用を悪用してシステム状態や挙動を変更するようなシーケンスを同定することで、攻撃シナリオを構築する。
• 攻撃シナリオの数と複雑さに基づいて形式的な利用可能性測度を導出し、成功した利用の可能性を反映する。
• C²KAの仕様から攻撃シナリオの自動生成と利用可能性スコアの算出を可能にするプロトタイプツールに分析を統合する。
• C²KAがメッセージ渡しと共有変数通信の両方をモデル化できることを活かし、攻撃表面の決定論的分析を可能にする。

実験結果

リサーチクエスチョン

• RQ1 侵害されたシステムエージェントが、分散システム内の他のエージェントの挙動に影響を与えるために、暗黙的相互作用をどのように利用できるか？
• RQ2 暗黙的相互作用の利用可能性を形式的に測定する方法は何か？ これにより、システムのセキュリティと信頼性に対する脅威レベルを評価できるか？
• RQ3 形式的モデリングを用いて、複雑な分散システムにおいて、現実的で妥当な攻撃シナリオを同定・分析できる範囲はどの程度か？
• RQ4 プロトタイプツールは、実世界のシステム設計における利用可能性の検出と分析をどの程度自動化できるか？
• RQ5 提案手法は、設計変更や制御メカニズムの導入を通じて、暗黙的相互作用の脆弱性を緩和するための設計支援をどの程度可能にするか？

主な発見

• 提案手法は、侵害されたエージェントが暗黙的相互作用を悪用してシステム挙動に影響を与える複数の現実的で妥当な攻撃シナリオを効果的に同定した。これにより、本手法の実用的妥当性が裏付けられた。
• 利用可能性測度により、脅威レベルごとに暗黙的相互作用を順位付けする定量的根拠が得られ、緩和作業の優先順位付けが可能になった。
• プロトタイプツールにより、C²KAの仕様に対する自動分析が可能となり、中程度のサイズと複雑性を有するシステムへの本手法の適用可能性が確認された。
• C²KAの使用により、メッセージ渡しと共有メモリ通信の両方を正確にモデル化でき、包括的な攻撃シナリオの生成を支援した。
• 本手法により、システム設計段階でサイバーセキュリティ脆弱性を早期に検出でき、よりレジリエントで安全な分散システムの開発を支援できるようになった。
• 本稿では攻撃の全般的な影響を評価していないが、今後のシミュレーションベースの影響分析の基盤を築いた。これにより、利用された暗黙的相互作用の実世界への影響を評価できるようになる。