[論文レビュー] Pandora: A Cyber Range Environment for the Safe Testing and Deployment of Autonomous Cyber Attack Tools

Hetong Jiang, Taejun Choi+1 more|arXiv (Cornell University)|Sep 24, 2020

Information and Cyber Security参考文献 30被引用数 4

ひとこと要約

Pandoraは、本番環境インフラと意図的に不適合な仕組みを採用することで、実際のエンタープライズシステムから隔離された安全なサイバー範囲環境を設計したものであり、自律的サイバー攻撃ツールの安全なテストと展開を可能にする。このシステムはバイナリ変換による自動化されたツール検証と、悪意あるコードとの互換性テストを通じて安全性を実証し、意図しない拡散に対する耐性を示している。

ABSTRACT

Cybersecurity tools are increasingly automated with artificial intelligent (AI) capabilities to match the exponential scale of attacks, compensate for the relatively slower rate of training new cybersecurity talents, and improve of the accuracy and performance of both tools and users. However, the safe and appropriate usage of autonomous cyber attack tools - especially at the development stages for these tools - is still largely an unaddressed gap. Our survey of current literature and tools showed that most of the existing cyber range designs are mostly using manual tools and have not considered augmenting automated tools or the potential security issues caused by the tools. In other words, there is still room for a novel cyber range design which allow security researchers to safely deploy autonomous tools and perform automated tool testing if needed. In this paper, we introduce Pandora, a safe testing environment which allows security researchers and cyber range users to perform experiments on automated cyber attack tools that may have strong potential of usage and at the same time, a strong potential for risks. Unlike existing testbeds and cyber ranges which have direct compatibility with enterprise computer systems and the potential for risk propagation across the enterprise network, our test system is intentionally designed to be incompatible with enterprise real-world computing systems to reduce the risk of attack propagation into actual infrastructure. Our design also provides a tool to convert in-development automated cyber attack tools into to executable test binaries for validation and usage realistic enterprise system environments if required. Our experiments tested automated attack tools on our proposed system to validate the usability of our proposed environment. Our experiments also proved the safety of our environment by compatibility testing using simple malicious code.

研究の動機と目的

• 自律的サイバー攻撃ツールの開発段階における安全なテスト環境の不足を解消すること。
• 本番システムからテスト環境を分離することで、攻撃の拡散リスクを低減すること。
• 開発中の攻撃ツールを実行可能バイナリに変換し、リアルなシミュレーションを可能にするフレームワークを提供すること。
• 研究者が制御された安全な環境で自動化ツールを検証しつつ、エンタープライズシステムに類似した環境との互換性を維持すること。

提案手法

• 本番環境のエンタープライズシステムと意図的に不適合なサイバー範囲環境を設計し、意図しないネットワーク拡散を防止すること。
• 開発中の自律的攻撃ツールを、Pandora環境にデプロイ可能な実行可能バイナリに変換するためのツールチェーンを実装すること。
• サンドボックス型仮想化とネットワーク分離を用いて、すべての攻撃シミュレーションがテスト環境内に限定されることを保証すること。
• 既知の悪意あるコードとの互換性テストを実施し、システムが脅威を安全に封印・分析できる能力を検証すること。
• AI駆動のツールを統合し、制御された環境でリアルな自動サイバー攻撃のシミュレーションを可能にすること。
• 実験を通じて、制御された条件下での使いやすさと安全性を実証すること。

実験結果

リサーチクエスチョン

• RQ1 自律的サイバー攻撃ツールを、実世界のインフラに影響を与えることなく開発段階で安全にテストするにはどうすればよいか？
• RQ2 自動攻撃ツールを本番ネットワークから隔離しつつも、リアルなシミュレーションの忠実度を維持するためのアーキテクチャ設計パターンは何か？
• RQ3 サイバー範囲環境は、テスト境界を越えて拡散させることなく、悪意あるコードを効果的に封印・分析できるか？
• RQ4 開発中の攻撃ツールを、安全なシミュレーション環境で使用可能な実行可能バイナリに変換するためのメカニズムは何か？
• RQ5 安全性、使いやすさ、エンタープライズシステムに類似した環境との互換性の観点から、既存のサイバー範囲と比較して本提案システムはどのように差別化されるか？

主な発見

• Pandoraは、すべての攻撃シミュレーションをテスト環境内に完全に隔離し、外部または実世界のシステムへの拡散を防止した。
• テスト中に既知の悪意あるコードとの互換性が確認され、システムが脅威を安全に封印・分析できる能力を裏付けた。
• 開発中の攻撃ツールを実行可能バイナリに変換するためのツールチェーンは、実験的検証において効果的で機能することが実証された。
• 実験により、強固なセキュリティ境界を維持しながらも、自動サイバー攻撃のリアルなシミュレーションをサポートしていることが確認された。
• 本設計は、自律的サイバー攻撃ツールの開発・テスト段階における意図しない結果のリスクを効果的に低減している。
• Pandoraは、AI駆動のツールに対し強固な隔離と安全性メカニズムを備えていない既存のサイバー範囲とは異なり、実用的で安全な代替手段を提供している。