[논문 리뷰] An Automated, End-to-End Framework for Modeling Attacks From Vulnerability Descriptions

Hodaya Binyamini, Ron Bitton외 4명|arXiv (Cornell University)|2020. 08. 10.

Information and Cyber Security참고 문헌 45인용 수 9

한 줄 요약

이 논문은 자연어 처리(NLP) 및 기계학습(ML) 모델의 파이프라인을 통해 비구조화된 취약성 기술서에서 공격 엔티티를 추출하고 누락된 취약성 정보를 보완하며, MulVAL 호환 상호작용 규칙을 생성하는 종단간 자동화 프레임워크를 제시한다. 이 프레임워크는 엔티티 추출 및 규칙 생성에서 높은 정확도를 달성하여 수동 간섭 없이도 확장 가능하고 최신 상태의 공격 그래프 모델링을 가능하게 한다.

ABSTRACT

Attack graphs are one of the main techniques used to automate the risk assessment process. In order to derive a relevant attack graph, up-to-date information on known attack techniques should be represented as interaction rules. Designing and creating new interaction rules is not a trivial task and currently performed manually by security experts. However, since the number of new security vulnerabilities and attack techniques continuously and rapidly grows, there is a need to frequently update the rule set of attack graph tools with new attack techniques to ensure that the set of interaction rules is always up-to-date. We present a novel, end-to-end, automated framework for modeling new attack techniques from textual description of a security vulnerability. Given a description of a security vulnerability, the proposed framework first extracts the relevant attack entities required to model the attack, completes missing information on the vulnerability, and derives a new interaction rule that models the attack; this new rule is integrated within MulVAL attack graph tool. The proposed framework implements a novel pipeline that includes a dedicated cybersecurity linguistic model trained on the the NVD repository, a recurrent neural network model used for attack entity extraction, a logistic regression model used for completing the missing information, and a novel machine learning-based approach for automatically modeling the attacks as MulVAL's interaction rule. We evaluated the performance of each of the individual algorithms, as well as the complete framework and demonstrated its effectiveness.

연구 동기 및 목표

• MulVAL과 같은 공격 그래프 도구에서 상호작용 규칙을 수동으로 유지 관리하는 데 발생하는 확장성 문제를 해결한다.
• 비구조화된 CVE 기술서에서 공격 관련 엔티티(예: 사전 조건, 결과)를 자동으로 추출한다.
• 기계학습을 활용해 취약성 기술서에 누락된 정보를 보완한다.
• 문서 기반 취약성 보고서에서 정확하고 실행 가능한 MulVAL 상호작용 규칙을 생성한다.
• 새로운 취약성이 지속적으로 도입되도록 동적으로 공격 그래프 규칙 세트를 업데이트함으로써 지속적이고 자동화된 위험 평가를 가능하게 한다.

제안 방법

• 보안 용어 이해를 향상시키기 위해 NVD 취약성 레포지토리 기반의 도메인 특화 사이버보안 언어 모델을 훈련시킨다.
• 11개의 사전 정의된 공격 관련 엔티티 유형을 취약성 기술서에서 추출하기 위해 양방향 LSTM(RNN) 모델을 사용한다.
• 맥락적 특징을 기반으로 공격 벡터, 영향도 등 누락된 공격 정보를 추론하고 보완하기 위해 로지스틱 회귀 모델을 적용한다.
• 추출된 엔티티를 공식적인 MulVAL 상호작용 규칙으로 매핑하는 새로운 기계학습 기반 접근법을 개발하며, 적절한 변수 바인딩과 술어 구조를 포함한다.
• 종단간 공격 표면 모델링을 위해 전체 파이프라인을 MulVAL 공격 그래프 생성 프레임워크에 통합한다.
• 수동으로 레이블링된 데이터에 대한 의존도를 줄이고 다양한 취약성 간 일반화 능력을 향상시키기 위해 비지도 학습 및 전이 학습 기법을 활용한다.

실험 결과

연구 질문

• RQ1 완전히 자동화된 파이프라인이 높은 정확도로 비구조화된 취약성 기술서에서 의미 있는 공격 엔티티를 추출할 수 있는가?
• RQ2 기계학습을 활용해 취약성 기술서의 누락된 정보를 어느 정도 정확하게 추론할 수 있는가?
• RQ3 추출된 엔티티를 MulVAL 공격 그래프 프레임워크와 호환되는 공식적이고 실행 가능한 상호작용 규칙으로 신뢰성 있게 매핑할 수 있는가?
• RQ4 제안된 프레임워크의 성능은 정밀도, 재현율 및 규칙 정확도 측면에서 기존 규칙 생성 방법과 비교해 어떻게 다른가?
• RQ5 이 프레임워크는 새로운 취약성을 지속적으로 처리할 수 있는가? 이를 통해 최신 상태의 공격 표면 모델링이 보장되는가?

주요 결과

• 제안된 프레임워크는 일반적인 NLP 도구와 일반 영문 코퍼스 기반 사전 훈련 모델보다 공격 엔티티 추출에서 높은 정밀도와 재현율을 달성하여 우수한 성능을 보였다.
• 누락된 정보 보완을 위한 로지스틱 회귀 모델은 부분적 또는 모호한 취약성 기술서 처리에서 기존 기준 방법에 비해 뚜렷한 성능 향상을 보였다.
• 종단간 파이프라인이 원시 CVE 기술서에서 유효하고 실행 가능한 MulVAL 상호작용 규칙을 성공적으로 생성하여 자동 공격 그래프 구축을 가능하게 하였다.
• 보안 분야에 특화된 언어 모델은 일반 텍스트 기반 사전 훈련 모델보다 엔티티 인식 정확도를 크게 향상시켰다.
• 평가 결과, 이 프레임워크는 확장 가능하고 자동화된 방식으로 구현 가능하며, 보안 전문가의 수동 규칙 생성 의존도를 크게 감소시켰다.
• 저자들은 생성된 규칙에 신뢰도 스코어를 도입할 필요성을 제기하며, 향후 연구로 규칙 신뢰도를 정량화하고 위험 평가 의사결정 지원에 기여할 수 있도록 할 것을 제안한다.