[論文レビュー] Heuristic Approach Towards Countermeasure Selection using Attack Graphs

Orly Stan, Ron Bitton+7 more|arXiv (Cornell University)|Jun 26, 2019

Information and Cyber Security参考文献 18被引用数 4

ひとこと要約

本稿では、ネットワークトポロジー、脆弱性の前提条件、横向き移動、攻撃者目標をモデル化する拡張されたアタックグラフを用いて、最適な対策選定のためのヒューリスティックA*-ベースの手法を提案する。繰り返しアタックグラフを再生成することを避けることで、予算制約内で残存リスクを最小化するコスト効果の高い対策計画を効率的に同定する。CVSSのみを用いる手法に比べ、実用性と正確性において優れている。

ABSTRACT

Selecting the optimal set of countermeasures is a challenging task that involves various considerations and tradeoffs such as prioritizing the risks to mitigate and costs. The vast majority of studies for selecting a countermeasure deployment are based on a limited risk assessment procedure that utilizes the common vulnerability scoring system (CVSS). Such a risk assessment procedure does not necessarily consider the prerequisites and exploitability of a specific asset, cannot distinguish insider from outsider threat actor, and does not express the consequences of exploiting a vulnerability as well as the attacker's lateral movements. Other studies applied a more extensive risk assessment procedure that relies on manual work and repeated assessment. These solutions however, do not consider the network topology and do not specify the optimal position for deploying the countermeasures, and therefore are less practical. In this paper we suggest a heuristic search approach for selecting the optimal countermeasure deployment under a given budget limitation. The proposed method expresses the risk of the system using an extended attack graph modeling, which considers the prerequisites and consequences of exploiting a vulnerability, examines the attacker's potential lateral movements, and express the physical network topology as well as vulnerabilities in network protocols. In addition, unlike previous studies which utilizes attack graph for countermeasure planning, the proposed methods does not require re-generating the attack graph at each stage of the procedure, which is computationally heavy, and therefore it provides a more accurate and practical countermeasure deployment planning process.

研究の動機と目的

• CVSSに基づく対策選定の限界を解消する。これは、ネットワークトポロジー、攻撃者の横向き移動、脅威行動者タイプを無視している。
• 従来のアタックグラフベースの計画手法で、各ステップでアタックグラフを再生成することによる計算上の非効率性を克服する。
• 予算制約下で最適な配置位置とコスト効果を備えた、自動的かつスケーラブルな対策推薦手法を開発する。
• ネットワークトポロジー、脆弱性の依存関係、攻撃者行動を統合的に統合し、より正確な対策計画のためのリスク評価を実現する。
• セキュリティチームが攻撃パスを早期に効果的に遮断できる、実用的で繰り返し可能なフレームワークを提供する。

提案手法

• ネットワークトポロジー、脆弱性の前提条件、結果、攻撃者の潜在的横向き移動をモデル化する拡張アタックグラフを構築する。
• 対策選定問題を、ノードがシステム状態に、エッジが対策の展開に対応するグラフの経路探索問題として表現する。
• 与えられた予算下で残存リスクを最小化する近似的最適な計画を発見するために、A*ヒューリスティックサーチアルゴリズムを適用する。
• 各対策の購入費、運用費、訓練費、人的リソースコストを組み合わせたコストモデルを用い、影響度（例：CVSSスコア）に基づいて重み付けする。
• 正当なサービスを遮断する対策を除外するためのポリシー制約を統合し、実用的妥当性を確保する。
• 各ステップでのアタックグラフ再計算を回避し、初期グラフを再利用することで、計算オーバーヘッドを顕著に削減する。

実験結果

リサーチクエスチョン

• RQ1 CVSSスコアを超えてネットワークトポロジーと攻撃者行動を統合することで、対策選定はどのように改善できるか？
• RQ2 A*のようなヒューリスティックサーチアプローチは、各ステップでのアタックグラフ再生成なしに、近似的最適な対策計画を効率的に提供できるか？
• RQ3 内部ホストの強化に比べ、DMZホストへの対策を講じることで、全体のシステムリスクはどの程度低減されるか、特に内部脆弱性が深刻であっても？
• RQ4 攻撃者の横向き移動と前提条件の条件を組み込むことで、最適な対策選定にどのような影響が生じるか？
• RQ5 同じ攻撃パスに対して、複数の対策提案を生成することで、システムのレジリエンスを強化できるか？

主な発見

• 提案手法は、CVSSベースの選定に比べ、特に攻撃パスの初期段階（例：DMZの侵害）を遮断する点で、はるかに効果的な対策計画を生成する。内部脆弱性が深刻であっても、その効果が顕著である。
• 繰り返しアタックグラフを再生成しないことで、計算コストの大幅な削減が達成されるとともに、リスク評価の高精度を維持する。
• 本手法は、個々のCVSSスコアが低いにもかかわらず、DMZホストの保護が内部資産への攻撃パス全体を遮断できることを明確に特定し、予算制約下で優先度の高いターゲットとして位置づけることに成功した。
• 本システムは、特定のネットワーク位置（例：DMZ内のホスト）に対策を展開することを推奨する。これは、脆弱性のランク付けのみを行う手法に比べ、実用的な向上を示す。
• 予算が許容する場合、計画は冗長性を持つ。同じ攻撃パスに対して複数の対策を提案するため、システムのレジリエンスが向上する。
• 本手法は、CVEに該当しない脆弱性（例：暗号化されていないTelnet）に対しても、専門家が評価可能な深刻度（例：CVSS 10）を割り当てることで、標準スコアリングシステムを超えた柔軟性を示した。