[論文レビュー] Is my attack tree correct? Extended version

Maxime Audinot, Sophie Pinchinat+1 more|arXiv (Cornell University)|Jun 26, 2017

Information and Cyber Security参考文献 16被引用数 3

ひとこと要約

本稿では、システムの遷移モデルに対して攻撃ツリーの正しさを検証する形式的で状態ベースの枠組みを提案する。ノードラベルをシステム状態上の事前条件と事後条件によって定義することで、正しさの性質（Meet、Under-Match、Over-Match、Match）を確立し、それらの計算量的複雑性を分析する。これにより、セキュリティ分析における攻撃ツリーの一貫性および品質の検証が可能になる。

ABSTRACT

Attack trees are a popular way to represent and evaluate potential security threats on systems or infrastructures. The goal of this work is to provide a framework allowing to express and check whether an attack tree is consistent with the analyzed system. We model real systems using transition systems and introduce attack trees with formally specified node labels. We formulate the correctness properties of an attack tree with respect to a system and study the complexity of the corresponding decision problems. The proposed framework can be used in practice to assist security experts in manual creation of attack trees and enhance development of tools for automated generation of attack trees.

研究の動機と目的

• 手作業で作成された攻撃ツリーに対する形式的検証の欠如に起因する、不完全なシステム知識や曖昧なノードラベルによる整合性の欠如や不正確さを解消する。
• 自動的・準自動的な攻撃ツリー生成ツールの形式的基盤を提供し、モデル化されたシステムに関して生成されたツリーが正しく保証されることを確実にする。
• テキストベースでアクション指向の攻撃ツリー・モデルに起因する制限を克服するため、システム遷移系に基づく状態ベースのアプローチを導入する。
• 特定のシステムにおける与えられた目的をどれほど正確に精緻化しているかを評価するため、正しさの性質（Meet、Under-Match、Over-Match、Match）を定義・分析する。
• これらの正しさの性質を検証するための計算量的複雑性を特定し、セキュリティツールにおける実装に向けたガイダンスを提供する。

提案手法

• 実システムを有限な遷移系としてモデル化し、状態はシステムの構成を表し、遷移は状態の変化を表す。
• ノードラベルを、初期状態集合（事前条件）と目的状態集合（事後条件）の組み合わせとして形式的に定義することで、明確な意味論的解釈を可能にする。
• 4つの正しさの性質（Meet：精緻化が目的をカバーする、Under-Match：精緻化が正確である、Over-Match：精緻化が広すぎる、Match：完全な精緻化）を導入する。
• 遷移系上のパスに基づく推論を用いて、攻撃ツリー演算子（AND、OR、逐次）の意味論を形式化し、AND精緻化がパスの組み合わせの複雑性により最も複雑であることを示す。
• モデル検査技術を用いて、攻撃ツリーの精緻化が定義された正しさの性質をシステムモデルに関して満たしているかどうかを検証する。
• 各正しさの性質の検証の決定問題の計算量的複雑性を分析し、特に結合的（AND）精緻化が複雑性の主な要因であることを同定する。

実験結果

リサーチクエスチョン

• RQ1 自然言語ラベルによる曖昧さを回避し、意味論的正確性を保証するため、攻撃ツリーのノードをどのように形式的に定義できるか？
• RQ2 与えられたシステムにおける脅威目的を正確に表現しているかどうかを検証するための、必要なかつ十分な形式的正しさの性質は何か？
• RQ3 これらの正しさの性質を検証する際の計算量的複雑性は何か、特に異なる攻撃ツリー演算子に対してどのように変化するか？
• RQ4 状態ベースのアプローチは、攻撃ツリーを形式的検証やモデル検査技術とどのように統合できるか？
• RQ5 このフレームワークは、システムモデルに関して正しく保証された攻撃ツリーの自動的または準自動的生成をどの程度サポートできるか？

主な発見

• Meet 性質は、攻撃ツリーが正しくなければならない最小限の要件であり、目的の精緻化がシステムに関して少なくとも意味論的に有効であることを保証する。
• 正しさの性質の検証の複雑性は、遷移系におけるパスの組み合わせの解析を要するため、AND（結合的）精緻化で最も高くなる。
• 排他的（OR）および逐次精緻化は、並列的分解ではなくパスの連結を伴うため、結合的精緻化よりも計算的に単純に検証可能である。
• 提供されていない場合でも、ターゲット状態集合の先行状態を計算することで、システムモデルから初期状態（事前条件）を自動的に導出可能である。
• 不変条件や履歴依存性を表現するため、原子的ゴールに時相論理（例：LTL）を拡張すると、検証の複雑性が上昇し、式の表現力に応じてPSPACE完全に達する可能性がある。
• このフレームワークは、意味的に正しい攻撃ツリーの生成を支援するATSyRAツールに統合されており、実用的検証が進行中である。