[논문 리뷰] Cybersecurity Playbook Sharing with STIX 2.1

Vasileios Mavroeidis, Mateusz Zych|arXiv (Cornell University)|2022. 01. 22.

Information and Cyber Security인용 수 6

한 줄 요약

이 논문은 STIX 2.1에 확장을 제안하여 감지 및 대응 플레이북을 표준화된 방식으로 구조적으로 공유할 수 있도록 하며, CACAO 호환 플레이북을 포함한다. 이는 감지 및 대응 플레이북을 표현하기 위한 표준화된 데이터 모델을 정의함으로써 이루어지며, 기존 STIX 확장 메커니즘을 활용하여 상호운용성을 확보함으로써 대응 시간을 단축하고 보안 팀 간 협업을 향상시킨다.

ABSTRACT

Understanding that interoperable security playbooks will become a fundamental component of defenders' arsenal to decrease attack detection and response times, it is time to consider their position in structured sharing efforts. This report documents the process of extending Structured Threat Information eXpression (STIX) version 2.1, using the available extension definition mechanism, to enable sharing security playbooks, including Collaborative Automated Course of Action Operations (CACAO) playbooks.

연구 동기 및 목표

• 사건 탐지 및 대응 시간을 단축하기 위해 상호운용성 있고 기계로 읽을 수 있는 보안 플레이북에 대한 증가하는 수요를 충족시키기 위해.
• 기존 STIX 2.1 인fra를 활용하여 조직 간 플레이북의 구조적 공유를 가능하게 하기 위해.
• STIX 프레임워크 내에서 CACAO 호환 플레이북의 표현을 공식화하기 위해.
• 일致하고 확장 가능한 데이터 모델을 정의함으로써 자동화 및 오케스트레이션을 지원하기 위해.
• 표준화되고 공유 가능한 플레이북 형식을 통해 보안 팀 간 협업을 향상시키기 위해.

제안 방법

• 플레이북을 위한 새로운 객체 유형을 정의하기 위해 STIX 2.1의 내장된 확장 메커니즘을 사용하여 STIX 2.1을 확장한다.
• 감지 및 대응 절차를 표현하기 위해 새로운 STIX 객체 유형인 'Playbook'을 도입한다.
• 지표, 관측 가능 항목, 공격 패턴과 같은 기존 STIX 엔터티와 플레이북 객체 간의 관계를 정의한다.
• CACAO 플레이북 의미 체계를 STIX 2.1 데이터 모델에 매핑하여 기존 자동화 표준과의 일치를 확보한다.
• 기계로 처리 가능하고 인간이 읽을 수 있는 표현을 보장하기 위해 JSON 기반 직렬화를 사용한다.
• 다양한 사용 사례에 대한 확장성을 지원하기 위해 STIX의 사용자 정의 객체 유형 및 속성 기능을 활용한다.

실험 결과

연구 질문

• RQ1 STIX 2.1은 어떻게 확장되어 보안 플레이북의 구조적 표현을 지원할 수 있는가?
• RQ2 CACAO 호환 플레이북의 상호운용적 공유를 가능하게 하기 위해 필요한 데이터 모델은 무엇인가?
• RQ3 기존 STIX 2.1 기능을 어떻게 활용하여 구현 부담을 최소화하고 호환성을 확보할 수 있는가?
• RQ4 감지 및 대응 플레이북을 표준 방식으로 표현하기 위해 필요한 주요 구조적 및 의미적 요소는 무엇인가?
• RQ5 제안된 확장은 자동화, 오케스트레이션 및 조직 간 협업을 어떻게 지원하는가?

주요 결과

• 논문은 보안 플레이북(포함 CACAO 호환 플레이북)을 표현하기 위한 표준화된 STIX 2.1 확장을 성공적으로 정의하였다.
• 제안된 모델은 감지 및 대응 플레이북을 보안 팀 간에 기계로 처리 가능한 상호운용적 방식으로 공유할 수 있도록 한다.
• 확장은 STIX 2.1의 기존 확장 메커니즘을 재사용하여 후행 호환성과 구현 부담을 줄였다.
• 플레이북과 위협 지능 객체 간의 풍부한 관계를 지원함으로써 자동화된 대응 워크플로우를 가능하게 한다.
• 모델는 공식적으로 명세화되었으며 참조 구현을 통해 타당성과 확장 가능성을 검증하였다.
• 표준화되고 구조화된 형식으로 플레이북을 공유하고 소비할 수 있도록 함으로써 조직의 사고 대응 속도를 향상시킨다.