[논문 리뷰] Exact Inference Techniques for the Analysis of Bayesian Attack Graphs

Luis Muñoz-González, Daniele Sgandurra외 2명|arXiv (Cornell University)|2015. 10. 08.

Software Reliability and Analysis Research인용 수 1

한 줄 요약

이 논문은 베이지안 공격 그래프(BAG)에서 효율적인 정확한 추론 기법—특히 잇는 나무(Junction Tree, JT) 및 신뢰 전파(Belief Propagation, BP) 알고리즘—을 제안하여 네트워크에서 확장 가능한 정적 및 동적 위험 평가를 가능하게 한다. JT가 변수 제거(Variable Elimination, VE)보다 시간과 메모리 사용에서 뛰어나, 수백 개의 노드를 가진 대규모 기업 네트워크에 대한 BAG 분석이 가능함을 보여준다.

ABSTRACT

Attack graphs are a powerful tool for security risk assessment by analysing network vulnerabilities and the paths attackers can use to compromise network resources. The uncertainty about the attacker's behaviour makes Bayesian networks suitable to model attack graphs to perform static and dynamic analysis. Previous approaches have focused on the formalization of attack graphs into a Bayesian model rather than proposing mechanisms for their analysis. In this paper we propose to use efficient algorithms to make exact inference in Bayesian attack graphs, enabling the static and dynamic network risk assessments. To support the validity of our approach we have performed an extensive experimental evaluation on synthetic Bayesian attack graphs with different topologies, showing the computational advantages in terms of time and memory use of the proposed techniques when compared to existing approaches.

연구 동기 및 목표

• 기존의 베이지안 공격 그래프(BAG) 모델에서 효율적인 추론 알고리즘이 부족하여 실제 네트워크 규모에 비해 확장성이 떨어지는 문제를 해결하기 위해.
• 증거 하에 노드가 손상될 확률의 정확한 주변 확률을 계산하여 정적 및 동적 위험 평가를 가능하게 하기 위해.
• 이전 모델의 한계—예를 들어 공격자 능력에 대한 사전 분포가 악영향을 미치는 것—을 극복하기 위해.
• 합성 공격 그래프에서 시간 및 메모리 사용 측면에서 추론 기법의 계산 성능을 평가하기 위해.
• 대규모 BAG에 정확한 추론을 적용할 수 있는 가능성을 입증하기 위해.

제안 방법

• 공격자 능력에 대한 사전 분포를 도입하지 않아 모델의 해석 가능성과 확장성을 향상시킨 개선된 베이지안 공격 그래프(BAG) 모델을 제안한다.
• 일般적인 공격 그래프에서 정확한 추론을 위해 잇는 나무(JT) 알고리즘을 활용하며, 그래프 클러스터링을 통해 계산 복잡도를 감소시킨다.
• 공격 트리와 같은 트리 구조의 부분그래프에서 정확한 추론을 위해 신뢰 전파(BP) 알고리즘을 적용한다.
• 침입 탐지 시스템(IDS)의 불확실성을 반영하기 위해 조건부 확률 표에 오차 확률(pe)을 사용하여 가짜 경고 및 누락 경고를 모델링한다.
• 조정 가능한 이용 가능 확률을 가진 독립적인 부모 노드를 추가하여 제로데이 취약성과 내부자 위협을 모델에 통합한다.
• 다양한 구조를 가진 합성 공격 그래프를 사용하여 추론 성능을 평가하며, 통제된 조건에서 JT와 VE 알고리즘을 비교한다.

실험 결과

연구 질문

• RQ1 효율적인 정확한 추론 알고리즘이 베이지안 공격 그래프에 적용되어 확장 가능한 정적 및 동적 위험 평가를 지원할 수 있는가?
• RQ2 대규모 BAG에서 JT와 VE의 계산 시간 및 메모리 요구량은 어떻게 비교되는가?
• RQ3 네트워크 클러스터링은 JT 알고리즘을 사용한 동적 분석의 처리 가능성을 얼마나 향상시키는가?
• RQ4 IDS 경고의 불확실성은 BAG의 조건부 확률 표에 어떻게 공식적으로 모델링할 수 있는가?
• RQ5 기존의 추론 기법—예를 들어 변수 제거(Variable Elimination)와 같은 기법—은 실제 네트워크 환경에서 어떤 실용적 한계를 가진다?

주요 결과

• 잇는 나무(JT) 알고리즘은 수백 개의 노드를 가진 베이지안 공격 그래프에서 정확한 추론을 가능하게 하여 대규모 기업 네트워크에 적용 가능하다.
• 실험 평가에서 JT는 시간과 메모리 사용 모두에서 변수 제거(VE)보다 뛰어나며, 뚜렷한 감소가 관찰되었다.
• 네트워크 클러스터링은 노드 수에 비례하여 동적 분석의 스케일링을 선형적으로 가능하게 하여, 지속적인 공격 상황에서의 반응성을 크게 향상시켰다.
• 제안된 BAG 모델은 공격자 능력에 대한 사전 분포가 악영향을 미치는 것을 방지하여 모델의 강건성과 해석 가능성을 향상시켰다.
• 오차 확률 매개변수(pe)를 통해 IDS의 불확실성을 반영함으로써 현실성은 높였지만 계산 효율성은 유지하였다.
• 실험적 평가를 통해 JT는 실시간 동적 분석에 계산적으로 가능함을 확인하였고, VE는 작은 그래프를 초과하면 비현실적이었다.