[논문 리뷰] ADTool: Security Analysis with Attack-Defense Trees (Extended Version)

Barbara Kordy, Piotr Kordy외 2명|arXiv (Cornell University)|2013. 05. 29.

Information and Cyber Security참고 문헌 19인용 수 3

한 줄 요약

ADTool은 공격-방어 트리(ADTrees)를 구축하고 정량적으로 분석할 수 있는 무료로 개방된 소스 소프트웨어 도구이다. ADTrees는 보안 시나리오에서 공격자와 방어자의 행동을 모델링하는 형식적 방법론이다. 이 도구는 속성 기반 계산을 통해 자동으로 하향식 평가를 지원하며, 확장 가능하고 정확한 위험 평가를 가능하게 하며, 직관적인 그래픽 모델링과 모델 정확성의 형식적 검증을 제공한다.

ABSTRACT

The ADTool is free, open source software assisting graphical modeling and quantitative analysis of security, using attack-defense trees. The main features of the ADTool are easy creation, efficient editing, and automated bottom-up evaluation of security-relevant measures. The tool also supports the usage of attack trees, protection trees and defense trees, which are all particular instances of attack-defense trees.

연구 동기 및 목표

• 공격-방어 트리의 그래픽 모델링과 정량적 분석을 동시에 지원하는 무료로 개방된 소스 도구의 부족을 보완한다.
• 모델링 오류를 방지하기 위해 ADTree 모델의 문법적 정확성을 강제하는 사용자 友好的 환경을 제공한다.
• 형식적 속성 도메인을 사용하여 보안 메트릭을 자동으로 하향식 평가함으로써 위험 평가를 지원한다.
• 공격 트리, 보호 트리, 방어 트리를 공격-방어 트리의 특수한 경우로 통합 지원한다.
• 확장 가능하고 모듈러한 소프트웨어 아키텍처와 크로스플랫폼 가용성을 통해 산업계 및 학계에서 ADTree 방법론의 보급을 촉진한다.

제안 방법

• 공격자와 방어자의 행동을 계층적 AND-OR 트리의 상호의존적인 노드로 모델링하는 확장된 ADTree 형식론을 사용한다.
• 사용자가 정의한 속성 도메인과 연산자로 원자적 동작(정밀화되지 않은 노드)에서부터 하향식 평가 알고리즘을 통해 메트릭 값을 계산한다.
• Buchheim 등이 개선한 Walker의 트리 레이아웃 알고리즘의 향상된 버전을 구현하여 시각적으로 매력적인 트리 렌더링을 구현한다.
• 컨텍스트 메뉴와 키보드 단축키를 통해 모델 생성을 지원하며, 구축 과정에서 문법적 정확성을 보장한다.
• 리플렉션 기반 플러그인 아키텍처를 사용하여 컴파일 재생산 없이도 새로운 속성 도메인을 런타임에 동적으로 확장할 수 있다.
• 효율적인 레이아웃과 영역 유연성을 위한 무료 라이브러리(abego TreeLayout, InfoNode Docking Windows)와 통합한다.

실험 결과

연구 질문

• RQ1 무료로 개방된 소스 도구로서 어떻게 공격-방어 트리의 생성과 정량적 분석을 통합된 환경에서 지원할 수 있는가?
• RQ2 ADTool이 사용자 친화성을 유지하면서도 ADTree 모델의 문법적 정확성을 어떻게 보장할 수 있는가?
• RQ3 ADTool은 수천 개의 노드를 포함하는 대규모 보안 모델을 얼마나 잘 스케일링하는가?
• RQ4 단일 형식론 내에서 공격 트리, 방어 트리, 보호 트리를 통합함으로써 고립된 모델에 비해 보안 분석의 질적 향상은 어느 정도 이루어지는가?
• RQ5 ADTrees의 보안 메트릭을 위한 형식적으로 기반을 둔 속성 기반 계산 프레임워크의 실용적 이점은 무엇인가?

주요 결과

• ADTool은 트리 크기에 따라 효율적으로 확장되는 하향식 평가 방식으로 ADTrees의 즉각적인 정량적 평가를 가능하게 한다.
• 10,000개 이상의 노드를 포함하는 모델을 지원하지만, 새로운 노드를 추가할 경우 레이아웃 재계산으로 인해 최대 5초의 지연이 발생할 수 있다.
• 자바 리플렉션을 활용하여 핵심 응용 프로그램을 재컴파일하지 않고도 런타임에 새로운 속성 도메인을 확장할 수 있다.
• ADTool은 시각적 모델링, 형식적 검증, 자동 정량적 분석을 하나의 오픈소스 환경에서 통합함으로써 기존 도구들을 능가한다.
• 실제 전자 투표 시스템의 정량적 위협 분석 사례 연구에서 성공적으로 적용된 바 있다.
• ADTool의 모듈러 아키텍처와 오픈소스 성격 덕분에 SecurITree 및 AttackTree+와 같은 상용 도구의 실용적이고 확장 가능한 대안이 될 수 있다.