[논문 리뷰] Is my attack tree correct? Extended version

Maxime Audinot, Sophie Pinchinat외 1명|arXiv (Cornell University)|2017. 06. 26.

Information and Cyber Security참고 문헌 16인용 수 3

한 줄 요약

이 논문은 공격 트리의 정확성을 시스템의 전이 모델에 대해 검증하기 위한 형식적이고 상태 기반의 프레임워크를 제안한다. 시스템 상태에 대한 사전 조건과 사후 조건를 통해 노드 레이블을 정의함으로써, 정확성 성질인 Meet, Under-Match, Over-Match, Match를 설정하고, 이들의 계산 복잡도를 분석함으로써 공격 트리의 일관성과 품질을 보장하는 보안 분석을 가능하게 한다.

ABSTRACT

Attack trees are a popular way to represent and evaluate potential security threats on systems or infrastructures. The goal of this work is to provide a framework allowing to express and check whether an attack tree is consistent with the analyzed system. We model real systems using transition systems and introduce attack trees with formally specified node labels. We formulate the correctness properties of an attack tree with respect to a system and study the complexity of the corresponding decision problems. The proposed framework can be used in practice to assist security experts in manual creation of attack trees and enhance development of tools for automated generation of attack trees.

연구 동기 및 목표

• 수동으로 생성된 공격 트리에 대한 형식적 검증의 부족을 해결하여, 시스템 지식의 불완전성 또는 노드 레이블의 모호성으로 인한 일관성 결여나 정확성 부족을 방지한다.
• 자동화 또는 반자동화된 공격 트리 생성 도구를 위한 형식적 기반을 제공하여, 모델링된 시스템에 대해 정확한 트리가 생성되도록 보장한다.
• 기존의 텍스트 기반, 동작 중심의 공격 트리 모델의 한계를 극복하기 위해, 시스템 전이 시스템에 기반한 상태 기반 접근법을 도입한다.
• 정확성 성질(Meet, Under-Match, Over-Match, Match)을 정의하고 분석하여, 특정 시스템 내에서 공격 트리가 주어진 목표를 얼마나 정밀하게 정밀화하는지 평가한다.
• 이 정확성 성질을 검증하는 데 필요한 계산 복잡도를 규명하여, 보안 도구 내에서의 실용적 구현을 안내한다.

제안 방법

• 실제 시스템을 유한한 전이 시스템으로 모델링하며, 상태는 시스템 구성 상태를 나타내고 전이(transition)는 상태 변화를 나타낸다.
• 사전 조건(초기 상태 집합)과 사후 조건(목표 상태 집합)으로 구성된 형식적 레이블을 사용하여 공격 트리의 노드를 정의함으로써 의미적 정밀도를 확보한다.
• 네 가지 정확성 성질을 도입한다: Meet(정밀화가 목표를 커버함), Under-Match(정밀화가 정확함), Over-Match(정밀화가 너무 광범위함), Match(완벽한 정밀화).
• 전이 시스템 상의 경로 기반 추론을 통해 공격 트리 연산자(AND, OR, 순차적)의 의미를 형식화하며, AND 정밀화는 경로 조합의 복잡성으로 인해 가장 복잡하다.
• 모델 체킹 기법을 사용하여 공격 트리 정밀화가 정의된 정확성 성질을 시스템 모델에 대해 만족하는지 검증한다.
• 각 정확성 성질에 대한 결정 문제의 계산 복잡도를 분석하여, 특히 AND 연산자에서 기인하는 복잡도의 주요 원인이 되는 것을 규명한다.

실험 결과

연구 질문

• RQ1 어떻게 공격 트리의 노드를 형식적으로 정의하여 자연어 레이블의 모호성 없이 의미적 정밀도를 확보할 수 있는가?
• RQ2 어떤 형식적 정확성 성질이 공격 트리가 주어진 시스템 내에서 위협 목표를 정확히 표현하는지 검증하기 위해 필수적이고 충분한가?
• RQ3 이 정확성 성질을 검증하는 데 필요한 계산 복잡도는 무엇이며, 특히 다양한 공격 트리 연산자에 따라 어떻게 달라지는가?
• RQ4 상태 기반 접근법은 공격 트리를 형식적 검증 및 모델 체킹 기법과 어떻게 통합할 수 있는가?
• RQ5 이 프레임워크는 시스템 모델에 대해 보장된 정확성을 갖춘 자동 또는 반자동 공격 트리 생성을 어느 정도 지원할 수 있는가?

주요 결과

• Meet 성질은 정확한 공격 트리의 최소 조건이며, 목표의 정밀화가 시스템에 대해 최소한 의미적으로 타당함을 보장한다.
• 정확성 성질 검증의 복잡도는 AND(결합) 정밀화에서 가장 높으며, 이는 전이 시스템 내에서 경로 조합의 조합적 분석이 필요하기 때문이다.
• 비결합(OR) 및 순차적 정밀화는 경로 연결만을 포함하므로, 결합 정밀화보다 계산적으로 더 단순하게 검증할 수 있다.
• 사전 조건이 명시적으로 제공되지 않은 경우, 목표 상태 집합의 선조를 계산하여 시스템 모델에서 초기 상태를 자동으로 유도할 수 있다.
• 원자 목표에 시간 논리(LTL 등)를 도입하여 불변성 또는 역사 의존 성질을 표현하면 검증 복잡도가 증가할 수 있으며, 수식의 표현력에 따라 PSPACE-완전 수준까지 증가할 수 있다.
• 이 프레임워크는 ATSyRA 도구에 통합되어 의미적으로 정확한 공격 트리 생성을 지원하고 있으며, 실용적 검증이 진행 중이다.