[논문 리뷰] Enterprise Cyber Resiliency Against Lateral Movement: A Graph Theoretic Approach

Pin‐Yu Chen, Sutanay Choudhury외 3명|arXiv (Cornell University)|2019. 05. 03.

Complex Network Analysis Techniques참고 문헌 24인용 수 4

한 줄 요약

이 논문은 네트워크를 삼분면 사용자-호스트-응용프로그램 그래프로 모델링하여 기업 정보보안 내성 강화를 위한 그래프 이론적 프레임워크를 제안한다. 공동 세분화, 엣지 강화, 노드 강화 전략을 적용함으로써, 전체 엣지의 1.5% 미만을 강화함으로써 공격자 도달 가능성은 10% 미만으로 감소시키며, NetMelt와 같은 동질적 그래프 방법보다 우수한 성능을 보인다. 이는 유사한 결과를 얻기 위해 5% 이상의 엣지 강화가 필요한 반면, 본 방법은 훨씬 적은 강화로도 우수한 성능을 달성한다.

ABSTRACT

Lateral movement attacks are a serious threat to enterprise security. In these attacks, an attacker compromises a trusted user account to get a foothold into the enterprise network and uses it to attack other trusted users, increasingly gaining higher and higher privileges. Such lateral attacks are very hard to model because of the unwitting role that users play in the attack and even harder to detect and prevent because of their low and slow nature. In this paper, a theoretical framework is presented for modeling lateral movement attacks and for proposing a methodology for designing resilient cyber systems against such attacks. The enterprise is modeled as a tripartite graph capturing the interaction between users, machines, and applications, and a set of procedures is proposed to harden the network by increasing the cost of lateral movement. Strong theoretical guarantees on system resilience are established and experimentally validated for large enterprise networks.

연구 동기 및 목표

• 기업 네트워크에서 신뢰할 수 있는 사용자 계정을 악용하고 권한을 승격시키는 저속·저조도의 횡행 공격을 탐지하고 억제하는 과제를 해결한다.
• 사용자, 호스트, 응용프로그램의 삼분면 네트워크로 구성된 그래프에서 횡행을 그래프 워크로 공식화하는 통합 이론적 프레임워크를 개발하여, 동질적 모델보다 더 풍부한 시스템 역학을 반영한다.
• 세분화, 엣지 강화, 노드 강화 전략을 체계적으로 제안함으로써 횡행 비용을 증가시키고, 시스템 내성에 대해 강력한 이론적 보장을 제공한다.
• 시스템 이질성(사용자-호스트-응용프로그램 아키텍처)을 활용하는 것이 동질적 네트워크 모델보다 횡행을 더 효율적으로 차단함을 입증한다.
• 실제 횡행 트레이스를 기반으로 한 실험적 검증을 통해, 기존 방법보다 더 적은 강화 엣지로도 도달 가능성 억제에 뚜렷한 향상을 보였다.

제안 방법

• 사용자, 호스트(기기), 응용프로그램의 세 종류의 노드 집합을 포함하는 삼분면 그래프로 기업 네트워크를 모델링하여, 액세스 제어 및 통신 흐름을 반영한다.
• 횡행을 이 삼분면 구조에서의 그래프 워크로 정의하며, 공격자 도달 가능성은 손상된 시작 지점에서 도달 가능한 노드 수로 정량화한다.
• 세 가지 강화 전략을 제안한다: (1) 액세스 설정 변경을 통한 세분화, (2) 통신 흐름에 대한 방화벽 규칙을 통한 엣지 강화, (3) 시스템 패치를 통한 노드 강화.
• 공격자 도달 가능성에 기여도가 높은 엣지를 우선순위로 정렬하는 점수 기반 엣지 강화 알고리즘(알고리즘 3)을 사용하며, 이는 호스트-응용프로그램 인cidency 행렬에서 유도된 행렬 J를 기반으로 계산된다.
• 스펙트럼 그래프 이론을 활용한 이론적 분석을 통해 성능 보장을 확립하며, 사용자-호스트 하위그래프에 대해 정리 2와 추론 1, 호스트-응용프로그램 하위그래프에 대해 정리 5와 추론 2를 제시한다.
• 실제 데이터셋(2001개의 횡행 경로 포함)을 사용하여 제안된 방법과 동질적 그래프 기반 엣지 제거 방법인 NetMelt를 비교 분석한다.

실험 결과

연구 질문

• RQ1 기업 네트워크에서 횡행을 삼분면 사용자-호스트-응용프로그램 네트워크에서의 그래프 워크로 공식화함으로써 공격자 도달 가능성의 전반적 범위를 정확히 포괄할 수 있는가?
• RQ2 세분화, 엣지 강화, 노드 강화 전략에 대해 도달 가능성 감소에 대한 이론적 성능 보장은 무엇이며, 다양한 네트워크 하위그래프에서 어떻게 작용하는가?
• RQ3 사용자, 호스트, 응용프로그램의 역할이 상이한 시스템 이질성(예: 별도의 역할)을 통합할 경우, 동질적 네트워크 모델 대비 횡행 억제 효율성이 얼마나 향상되는가?
• RQ4 제안된 엣지 강화 방법은 NetMelt와 같은 기존 방법과 비교해 도달 가능성 억제 및 필요로 하는 강화 엣지 비율 측면에서 어떻게 다른가?
• RQ5 실제 횡행 트레이스 데이터셋을 활용하여 제안된 강화 전략의 실용적 효과성을 검증할 수 있는가?

주요 결과

• 제안된 삼분면 그래프 모델은 공격자 도달 가능성의 정확한 정량화를 가능하게 하며, 공격 표면을 확장하거나 제약하는 핵심 노드와 엣지를 식별한다.
• 제안된 점수 기반 엣지 강화 방법을 사용해 전체 엣지의 1.5% 미만을 강화함으로써, 공격자 도달 가능성은 약 10%로 감소하며, 최소한의 간섭으로도 강력한 억제 효과를 달성한다.
• 반면 NetMelt 알고리즘(동질적 호스트-호스트 그래프를 대상으로 설계됨)은 유사한 도달 가능성 감소를 위해 5% 이상의 엣지를 강화해야 하며, 이는 시스템 이질성을 활용함으로써 얻는 이점임을 입증한다.
• 모든 강화 전략에 대해 스펙트럼 분석을 기반으로 한 인접행렬 및 영향 행렬의 분석을 통해 도달 가능성 범위 및 내성 지표에 대한 이론적 보장을 확립하였다.
• 실제 횡행 트레이스를 대상으로 한 벤치마크 평가 결과, 제안된 방법은 NetMelt보다 효율성과 효과성 면에서 뛰어나며, 특히 고정밀도의 이질적 네트워크 환경에서 두각을 나타낸다.
• 결과적으로 세분화 및 강화 전략의 통합이 시스템 전반의 도달 가능성 감소에 크게 기여하며, 가장 효과적인 구성에서는 최소한의 운영 오버헤드로 거의 최적의 내성 수준을 달성한다.