[論文レビュー] Towards Dynamic Threat Modelling in 5G Core Networks Based on MITRE ATT\&CK

Robert Pell, Sotiris Moschoyiannis+2 more|arXiv (Cornell University)|Aug 25, 2021

Information and Cyber Security参考文献 22被引用数 14

ひとこと要約

本稿では、MITRE ATT&CKフレームワークに5G特有の攻撃手法を拡張することで、5Gコアネットワーク（5GCN）向けの動的脅威モデリング手法を提案する。これらの手法をAPTライフサイクルの段階にマッピングし、マルチステージ攻撃シナリオにおける応用を示し、弾力的でソフトウェア定義型の5GCN環境における予防的リスク評価および検出を可能にする。

ABSTRACT

This article discusses how the gap between early 5G network threat assessments and an adversarial Tactics, Techniques, Procedures (TTPs) knowledge base for future use in the MITRE ATT&CK threat modelling framework can be bridged. We identify knowledge gaps in the existing framework for key 5G technology enablers such as SDN, NFV, and 5G specific signalling protocols of the core network. We adopt a pre-emptive approach to identifying adversarial techniques which can be used to launch attacks on the 5G core network (5GCN) and map these to its components. Using relevant 5G threat assessments along with industry reports, we study how the domain specific techniques can be employed by APTs in multi-stage attack scenarios based on historic telecommunication network attacks and motivation of APT groups. We emulate this mapping in a pre-emptive fashion to facilitate a rigorous cyber risk assessment, support intrusion detection, and design defences based on common APT TTPs in a 5GCN.

研究の動機と目的

• 静的脅威モデルと5Gコアネットワーク（5GCN）の動的かつ再構成可能な性質の間のギャップを埋める。
• 5GCNのコンポonentおよびプロトコルに特化した敵対的戦術・手法・手順（TTP）を特定およびマッピングする。
• 事前に5GCNにおける潜在的なAPT手法を特定することで、MITRE ATT&CKを用いた予防的脅威モデリングを可能にする。
• ベンダーアーキテクチャに依存しない動的脅威モデリングフレームワークを通じて、侵入検知およびセキュリティ制御の選定を支援する。
• 5G特有のTTPをATT&CKの知識ベースに拡張することで、将来的な5GCNのサイバーリスク評価の基盤を提供する。

提案手法

• 関連するAPT TTPを特定するため、既存の5G脅威評価、業界レポート、および過去の通信分野における攻撃パターンを分析する。
• 特定されたTTPをMITRE ATT&CKフレームワークにマッピングし、APTライフサイクル段階（初期アクセス、残留、特権昇格、防御回避、横向き移動、コマンド・アンド・コントロール、情報漏洩）に整合させる。
• MANO、ネットワークスライシング、シグナリングプロトコルなどの主要コンポーネントに焦点を当て、5GCNにおけるマルチステージ攻撃シナリオをモデル化する。
• 実際のインシデントが発生する前に対応する攻撃手法を事前に予測する前向きな手法を採用し、進化する5GCN構成に適合する。
• インfraストラクチャコンポーネントおよび攻撃段階に手法をマッピングする5GCN特化型TTPマトリクスを構築し、動的リスク評価を可能にする。
• MITRE ATT&CKの環境に依存しない性質を活用し、静的システム抽象化から脅威モデリングを分離することで、弾力的かつ仮想化された5GCNアーキテクチャを支援する。

実験結果

リサーチクエスチョン

• RQ1 MITRE ATT&CKフレームワークは、5GCNにおける5G特有の敵対的手法をどのように拡張してモデル化できるか？
• RQ2 SDN、NFV、5Gコアシグナリングプロトコルなどの主要5GCNコンポーネントに特化したAPT TTPは何か？
• RQ3 ATT&CKの戦術および手法フレームワークを用いて、5GCNにおける動的でマルチステージ攻撃シナリオをどのようにモデル化できるか？
• RQ4 5GCNの弾力的かつ再構成可能なアーキテクチャは、従来の脅威モデリング手法の有効性にどのような影響を与えるか？
• RQ5 TTPの事前特定は、5GCNにおけるサイバーリスク評価および侵入検知をどのように改善できるか？

主な発見

• 本研究では、特にMANOサービスの乱用とシグナリングプロトコルの悪用に注目し、5G特有の敵対的手法をMITRE ATT&CKフレームワークに特定およびマッピングした。
• 2つのマルチステージ攻撃シナリオをモデル化した：1つ目は、改ざんされた資格情報による初期アクセスとアプリケーション層プロトコルを用いたデータ漏洩、2つ目は、MANOインタフェースの乱用によるネットワークスライシングの隔離を回避する攻撃。
• 提案手法により、5GCNの構成状態に依存しない動的脅威モデリングが可能となり、弾力的かつ仮想化された環境における継続的リスク評価を支援する。
• フレームワークは、実際のインシデントが発生する前でも、既知のAPT TTPと5GCNの脅威を整合させることで、予防的脅威検出およびセキュリティ制御の選定を可能にする。
• 本研究は、5GCN特有のTTPの基盤となる知識ベースを提供し、将来的な検出システムの強化およびリスク評価の指針を提供する。
• 制限事項として、実際の5G攻撃データの欠如および現在のTTPモデルにおける統合的検知・対策戦略の不在が挙げられ、今後のデータ駆動型拡張の必要性が示唆される。