[논문 리뷰] Heuristic Approach Towards Countermeasure Selection using Attack Graphs

Orly Stan, Ron Bitton외 7명|arXiv (Cornell University)|2019. 06. 26.

Information and Cyber Security참고 문헌 18인용 수 4

한 줄 요약

이 논문은 네트워크 구조, 취약성의 전제 조건, 횡행 이동, 공격자 목표를 모델링하는 확장된 공격 그래프를 사용하여 최적의 대응 조치 선택을 위한 휴리스틱 A*-기반 접근법을 제안한다. 반복적인 공격 그래프 재생성 방지를 통해 예산 제약 조건 내 잔여 위험를 최소화하는 비용 효율적인 대응 조치 계획을 효율적으로 식별하며, 실용성과 정확도 면에서 CVSS 기반 방법보다 뛰어나다.

ABSTRACT

Selecting the optimal set of countermeasures is a challenging task that involves various considerations and tradeoffs such as prioritizing the risks to mitigate and costs. The vast majority of studies for selecting a countermeasure deployment are based on a limited risk assessment procedure that utilizes the common vulnerability scoring system (CVSS). Such a risk assessment procedure does not necessarily consider the prerequisites and exploitability of a specific asset, cannot distinguish insider from outsider threat actor, and does not express the consequences of exploiting a vulnerability as well as the attacker's lateral movements. Other studies applied a more extensive risk assessment procedure that relies on manual work and repeated assessment. These solutions however, do not consider the network topology and do not specify the optimal position for deploying the countermeasures, and therefore are less practical. In this paper we suggest a heuristic search approach for selecting the optimal countermeasure deployment under a given budget limitation. The proposed method expresses the risk of the system using an extended attack graph modeling, which considers the prerequisites and consequences of exploiting a vulnerability, examines the attacker's potential lateral movements, and express the physical network topology as well as vulnerabilities in network protocols. In addition, unlike previous studies which utilizes attack graph for countermeasure planning, the proposed methods does not require re-generating the attack graph at each stage of the procedure, which is computationally heavy, and therefore it provides a more accurate and practical countermeasure deployment planning process.

연구 동기 및 목표

• CVSS 기반 대응 조치 선택의 한계를 해결하기 위해 네트워크 구조, 공격자의 횡행 이동, 공격자 유형을 고려하지 않는 문제를 해결한다.
• 기존의 공격 그래프 기반 계획 수립에서 매 단계마다 공격 그래फ를 재생성하는 데 기인한 계산 비효율성을 해결한다.
• 예산 제약 조건 하에 최적의 배치 위치와 비용 효율성을 확보한 자동화되고 확장 가능한 방법을 개발한다.
• 네트워크 구조, 취약성 간 의존성, 공격자 행동을 통합된 위험 평가에 통합하여 더 정확한 대응 조치 계획을 수립한다.
• 보안 팀이 공격 경로를 조기에 효과적으로 차단할 수 있도록 우선순위를 정하고 대응 조치를 배치할 수 있는 실용적이고 반복 가능한 프레임워크를 제공한다.

제안 방법

• 네트워크 구조, 취약성의 전제 조건, 결과, 공격자의 잠재적 횡행 이동을 모델링하는 확장된 공격 그래프를 구축한다.
• 대응 조치 선택 문제를 경로 탐색 문제로 표현하며, 노드는 시스템 상태에 대응하고 간선은 대응 조치 배치를 나타낸다.
• 주어진 예산 하에서 잔여 위험를 최소화하는 근사 최적의 계획을 찾기 위해 A* 휴리스틱 탐색 알고리즘을 적용한다.
• 각 대응 조치의 구매, 운영, 교육, 인력 비용을 조합한 비용 모델을 사용하며, 영향도(예: CVSS 점수)에 따라 가중치를 적용한다.
• 정책 제약 조건을 통합하여 정상적인 서비스를 차단하는 대응 조치를 배제함으로써 실용적 실행 가능성을 확보한다.
• 초기 그래프를 재사용함으로써 매 단계마다 공격 그래프를 재계산하지 않아 계산 오버헤드를 크게 감소시킨다.

실험 결과

연구 질문

• RQ1 CVSS 점수를 초월하여 네트워크 구조와 공격자 행동을 통합함으로써 대응 조치 선택은 어떻게 향상될 수 있는가?
• RQ2 A*와 같은 휴리스틱 탐색 접근법은 매 단계마다 공격 그래프를 재생성하지 않고도 근사 최적의 대응 조치 계획을 효율적으로 제공할 수 있는가?
• RQ3 내부 호스트 강화에 비해 DMZ 호스트에 대응 조치를 배치하는 것이, 내부 취약성이 더 심각한 경우에도 전체 시스템 위험을 얼마나 줄이는가?
• RQ4 공격자의 횡행 이동과 전제 조건을 통합함으로써 최적의 대응 조치 선택에 어떤 영향을 미치는가?
• RQ5 동일한 공격 경로에 대해 중복되거나 다수의 대응 조치 제안을 생성함으로써 시스템의 내구성을 향상시킬 수 있는가?

주요 결과

• 제안된 방법은 내부 취약성이 더 심각한 경우에도 초기 단계(예: DMZ 침해)에서 공격 경로를 차단함으로써 CVSS 기반 선택보다 훨씬 효과적인 대응 조치 계획을 생성한다.
• 반복적인 공격 그래프 재생성을 방지함으로써 계산 비용을 크게 절감하면서도 위험 평가의 정확도를 유지한다.
• 이 방법은 CVSS 점수가 낮더라도 DMZ 호스트를 보호하는 것이 내부 자산에 대한 전체 공격 경로를 차단할 수 있음을 확인하여, 예산 제약 조건 하에서 더 높은 우선순위 대상임을 입증한다.
• 시스템은 특정 네트워크 위치(예: DMZ 내 호스트)에 대응 조치를 배치할 것을 권장하며, 이는 단지 취약성 순위를 매기는 것보다 실용적인 개선이다.
• 예산 여유가 있을 경우 계획은 중복된 대응 조치를 제안하여 동일한 공격 경로에 대해 여러 조치를 배치함으로써 시스템의 내구성을 향상시킨다.
• 이 방법은 표준 점수 체계를 초월하여 전문가가 평가 가능한 심각도(예: CVSS 10)를 할당함으로써 비-CVE 취약성(예: 암호화되지 않은 Telnet)을 효과적으로 처리함으로써 유연성을 입증한다.