[논문 리뷰] Automated Attack Planning

Carlos Sarraute|arXiv (Cornell University)|2013. 07. 30.

Network Security and Intrusion Detection참고 문헌 57인용 수 11

한 줄 요약

이 논문은 PDDL 및 POMDP 모델을 사용하여 최적의 불확실성 인식 공격 경로를 생성하는 새로운 자동 공격 계획 프레임워크를 제안한다. 4AL은 스캐닝 및 침입 작동을 스케일링 가능한 지능적인 방식으로 혼합할 수 있도록 하는 계층적 분해 방법을 도입하여 가정 조건 하에 증명 가능한 최적성과 함께 산업 규모 성능을 달성한다.

ABSTRACT

Penetration Testing is a methodology for assessing network security, by generating and executing possible attacks. Doing so automatically allows for regular and systematic testing. A key question then is how to automatically generate the attacks. A natural way to address this issue is as an attack planning problem. In this thesis, we are concerned with the specific context of regular automated pentesting, and use the term "attack planning" in that sense. The following three research directions are investigated. First, we introduce a conceptual model of computer network attacks, based on an analysis of the penetration testing practices. We study how this attack model can be represented in the PDDL language. Then we describe an implementation that integrates a classical planner with a penetration testing tool. This allows us to automatically generate attack paths for real world pentesting scenarios, and to validate these attacks by executing them. Secondly, we present efficient probabilistic planning algorithms, specifically designed for this problem, that achieve industrial-scale runtime performance (able to solve scenarios with several hundred hosts and exploits). These algorithms take into account the probability of success of the actions and their expected cost (for example in terms of execution time, or network traffic generated). Finally, we take a different direction: instead of trying to improve the efficiency of the solutions developed, we focus on improving the model of the attacker. We model the attack planning problem in terms of partially observable Markov decision processes (POMDP). This grounds penetration testing in a well-researched formalism. POMDPs allow the modelling of information gathering as an integral part of the problem, thus providing for the first time a means to intelligently mix scanning actions with actual exploits.

연구 동기 및 목표

• 공격 생성을 계획 문제로 모델링하여 인간 노동을 줄이고 접근성을 높임으로써 보안 테스팅의 자동화 과제를 해결한다.
• 실제 보안 테스팅 관행을 반영하는 공식 모델을 개발하여, 침입 성공 확률과 네트워크 토폴로지 등을 포함한다.
• 침입 성공 및 실행 비용에 대한 불확실성을 고려한 확장 가능한 확률적 계획 접근법을 개발하여 산업 규모의 공격 계획을 가능하게 한다.
• 부분 관찰 가능한 마르코프 결정 과정(POMDPs)을 사용하여 공격 계획 문제를 모델링함으로써 정보 수집(스캐닝)과 침입 작동을 자연스럽게 통합한다.
• 대규모 네트워크에 대해 솔루션 품질을 유지하면서 POMDP 기반 공격 계획을 스케일링할 수 있도록 계층적 분해 방법(4AL)을 설계한다.

제안 방법

• 공격 시나리오를 PDDL 언어로 표현하여 고전적 플래너를 활용해 공격 시퀀스를 생성한다.
• 고전적 플래너를 실제 보안 테스팅 도구와 통합하여 생성된 공격 경로를 실존 네트워크에서 실행하여 검증한다.
• 행동 성공률을 확률로 모델링하고 예상 비용(예: 시간, 트래픽)을 최소화하는 맞춤형 확률적 플래너를 개발하며, 특정 가정 하에 최적성에 대한 증명을 제공한다.
• 실제 배포 이전에 대규모 및 임의의 네트워크 시나리오에서 공격 계획을 테스트하고 검증할 수 있는 시뮬레이션 플랫폼을 설계한다.
• 4AL 프레임워크를 제안한다. 이는 네 단계의 계층적 분해로 구성된다: (1) 네트워크를 이중 연결 성분으로 분해하고, (2) 성분별 공격 계획을 수립하며, (3) 방화벽 제약 조건을 고려한 서브네트워크 공격 계획을 수립하고, (4) 단일 머신 공격을 POMDP로 해결한다.
• 최하위 수준에서는 상용 POMDP 솔버를 사용하고 결과를 캐시하여 재계산을 방지하며, 계층을 따라 위로 솔루션을 조합한다.

실험 결과

연구 질문

• RQ1 어떻게 공식적 계획 기법을 사용하여 자동 보안 테스팅을 체계적으로 생성할 수 있는가?
• RQ2 침입 성공 및 네트워크 상태에 대한 불확실성을 고려함으로써 확률적 계획 모델이 공격 계획에 얼마나 향상시킬 수 있는가?
• RQ3 POMDP 기반 모델링이 공격 계획에서 스캐닝 및 침입 작동을 지능적이고 비용 효율적으로 통합하는 데 어떻게 기여할 수 있는가?
• RQ4 POMDP 기반 공격 계획을 솔루션 품질을 훼손하지 않고 대규모 네트워크에 어떻게 스케일링할 수 있는가?
• RQ5 POMDP 기반 공격 계획에서 계층적 분해를 사용할 경우 솔루션 품질과 계산 효율성 사이의 상충 관계는 어떻게 되는가?

주요 결과

• 제안된 POMDP 기반 모델은 스캐닝과 침입 작동을 단일이고 통합된 계획 프레임워크로 처음으로 공식화하여, 불확실성 하에서 지능적인 동작 순서를 가능하게 한다.
• 4AL 계층적 분해 접근법은 산업 규모 성능을 달성하여 수백 대의 호스트와 침입 도구를 효율적으로 해결한다.
• 실험 결과에 따르면 계층적 POMDP 접근법은 전역 POMDP 솔루션 대비 솔루션 품질 손실이 매우 작지만 확장 가능성을 확보한다.
• 확률적 플래너는 행동 성공 확률과 고정된 비용이 알려진 가정 하에 최적의 솔루션을 생성하며, 이 최적성에 대한 공식적 증명이 존재한다.
• 고전적 플래너와 실제 보안 테스팅 도구의 통합을 통해 실존 네트워크에서 공격 계획을 실행하여 종단 간 검증이 가능해졌다.
• 시뮬레이션 플랫폼은 실제 실행 이전에 대규모 및 임의의 네트워크 구성에서 공격 계획을 테스트할 수 있게 하여 안전성과 신뢰성을 향상시켰다.