[論文レビュー] Simulated Penetration Testing and Mitigation Analysis.

Michael Backes, Jörg Hoffmann+3 more|arXiv (Cornell University)|May 15, 2017

Information and Cyber Security参考文献 43被引用数 14

ひとこと要約

本論文は、ネットワークスキャン、脆弱性データベース、手動設定入力を統合した構成可能なネットワークモデルを用いて攻撃をモデル化することで、大規模ネットワークにおける対策戦略の体系的で「仮説的分析」を可能にするシミュレーテッド侵入テストフレームワークを提案する。自動攻撃探索と最適化を用いて、攻撃者成功確率の最大値を最小化する最適な対策組み合わせを同定し、経験的・直感的な手法に代わる理論的裏付けのあるセキュリティ対策手法を提供する。

ABSTRACT

Penetration testing is a well-established practical concept for the identification of potentially exploitable security weaknesses and an important component of a security audit. Providing a holistic security assessment for networks consisting of several hundreds hosts is hardly feasible though without some sort of mechanization. Mitigation, prioritizing counter- measures subject to a given budget, currently lacks a solid theoretical understanding and is hence more art than science. In this work, we propose the first approach for conduct- ing comprehensive what-if analyses in order to reason about mitigation in a conceptually well-founded manner. To evaluate and compare mitigation strategies, we use simulated penetration testing, i.e., automated attack-finding, based on a network model to which a subset of a given set of mitigation actions, e.g., changes to the network topology, system updates, configuration changes etc. is applied. We determine optimal combinations that minimize the maximal attacker success (similar to a Stackelberg game), and thus provide a well-founded basis for a holistic mitigation strategy. We show that these what-if analysis models can largely be derived from network scan, public vulnerability databases and manual inspection with various degrees of automation and detail, and we simulate mitigation analysis on networks of different size and vulnerability.

研究の動機と目的

• 現在のネットワーク対策計画が体系的分析よりも直感的であるという理論的根拠の欠如に応えること。
• 数百台のホストを含む大規模で複雑なネットワークにおいて、包括的な「仮説的分析」を可能にすること。
• 攻撃者成功確率の最大値を最小化する最適な対策組み合わせを機械的・体系的に同定する手法を開発すること。
• ネットワークスキャンデータ、公開脆弱性データベース、および手動点検を統合し、現実的な攻撃モデリングを可能にする統合シミュレーションフレームワークを構築すること。
• 予算およびリソース制約下での対策優先順位付けを支援する意思決定支援システムを提供すること。

提案手法

• ネットワークを、ネットワークスキャン、脆弱性データベース、および手動設定入力から導出された構成可能な攻撃グラフとしてモデル化する。
• モデル化されたネットワークを対象に、体系的にエクスプロイトパスを探索することで、自動侵入テストをシミュレートする。
• トポロジーの変更、システムの更新、設定の硬化といった対策行動を、ネットワークモデルに対する制御された変更として適用する。
• 最適化プロセスにより、攻撃者成功確率の最大値を最小化する対策行動の最適なサブセットを同定し、これをスタッケルバーグゲームとしてモデル化する。
• 自動化レベルと詳細度の異なるシナリオをサポートする。スキャンベースのモデルから、高度に詳細化された手動設定モデルまで対応可能。
• フレームワークは、異なる規模と脆弱性プロファイルを持つネットワークを対象に、スケーラビリティと有効性を評価する。

実験結果

リサーチクエスチョン

• RQ1 手動テストを伴わずに、大規模ネットワークにおける対策戦略を体系的に評価・比較する方法は何か？
• RQ2 攻撃者成功確率の最悪ケースを最小化する最適な対策行動の組み合わせは何か？
• RQ3 自動シミュレーションは、大規模環境における伝統的な侵入テストをどの程度代替または補完できるか？
• RQ4 スキャンベースと手動で強化されたモデルの間で、モデルの忠実度（フィデリティ）の違いが、対策分析の正確性と有用性に与える影響は何か？
• RQ5 スタッケルバーグ均衡のようなゲーム理論的手法を、ネットワーク対策における攻撃者・防御者相互作用のモデリングに効果的に適用できるか？

主な発見

• 提案されたシミュレーションフレームワークは、規模や複雑さが異なるネットワークにおいて、スケーラブルかつ繰り返し可能な対策戦略分析を可能にする。
• 攻撃者成功確率の最大値を顕著に低減する最適な対策組み合わせが同定され、体系的アプローチの価値が示された。
• ネットワークスキャン、脆弱性データベース、および手動点検の統合により、自動化レベルに応じた柔軟で段階的な詳細モデリングが可能になった。
• 予算制約下での対策選定に、優先順位付けされたデータドリブンな根拠を提供する点で、実用的な意思決定支援が可能になった。
• 自動エクスプロイトパス探索による攻撃行動モデリングにより、対策シナリオの強固な「仮説的分析」が可能になった。
• シミュレーション結果から、中程度のモデル詳細度でも、実行可能で効果的な対策提案が得られることを示した。