[논문 리뷰] Pandora: A Cyber Range Environment for the Safe Testing and Deployment of Autonomous Cyber Attack Tools

Hetong Jiang, Taejun Choi외 1명|arXiv (Cornell University)|2020. 09. 24.

Information and Cyber Security참고 문헌 30인용 수 4

한 줄 요약

Pandora는 실제 기업 시스템에서의 의도적 불일치를 통해 자동화된 사이버 공격 도구를 안전하게 테스트하고 배포할 수 있도록 고안된 보안성 있는 사이버 레인지 환경입니다. 이 시스템은 바이너리 변환을 통한 자동화된 도구 검증과 악성 코드와의 호환성 테스트를 통해 안전성을 입증함으로써 의도하지 않은 확산에 대한 내성적 저항력을 입증합니다.

ABSTRACT

Cybersecurity tools are increasingly automated with artificial intelligent (AI) capabilities to match the exponential scale of attacks, compensate for the relatively slower rate of training new cybersecurity talents, and improve of the accuracy and performance of both tools and users. However, the safe and appropriate usage of autonomous cyber attack tools - especially at the development stages for these tools - is still largely an unaddressed gap. Our survey of current literature and tools showed that most of the existing cyber range designs are mostly using manual tools and have not considered augmenting automated tools or the potential security issues caused by the tools. In other words, there is still room for a novel cyber range design which allow security researchers to safely deploy autonomous tools and perform automated tool testing if needed. In this paper, we introduce Pandora, a safe testing environment which allows security researchers and cyber range users to perform experiments on automated cyber attack tools that may have strong potential of usage and at the same time, a strong potential for risks. Unlike existing testbeds and cyber ranges which have direct compatibility with enterprise computer systems and the potential for risk propagation across the enterprise network, our test system is intentionally designed to be incompatible with enterprise real-world computing systems to reduce the risk of attack propagation into actual infrastructure. Our design also provides a tool to convert in-development automated cyber attack tools into to executable test binaries for validation and usage realistic enterprise system environments if required. Our experiments tested automated attack tools on our proposed system to validate the usability of our proposed environment. Our experiments also proved the safety of our environment by compatibility testing using simple malicious code.

연구 동기 및 목표

• 개발 단계에서 자동화된 사이버 공격 도구를 위한 안전한 테스트 환경가 부족한 문제를 해결하기 위해.
• 테스트 환경을 생산 시스템에서 분리하여 실제 기업 네트워크로의 공격 확산 위험을 줄이기 위해.
• 개발 중인 공격 도구를 실행 가능한 테스트 바이너리로 변환할 수 있도록 지원하는 프레임워크를 제공하기 위해.
• 연구자들이 제어된 안전한 환경에서 자동화된 도구를 검증하면서도 기업 시스템과 유사한 호환성을 유지할 수 있도록 하기 위해.

제안 방법

• 실제 기업 시스템과의 의도적 불일치를 통해 자동화된 공격 도구의 의도치 않은 네트워크 확산을 방지하는 사이버 레인지 환경 설계.
• 개발 중인 자동화된 공격 도구를 Pandora 환경에 배포할 수 있는 실행 가능한 테스트 바이너리로 변환하는 도구체인 구현.
• 모든 공격 시뮬레이션을 테스트 환경 내부에 고립시키기 위해 사전 가상화 및 네트워크 격리 기법을 적용.
• 악성 코드의 알려진 예제와의 호환성 테스트를 통해 시스템이 위협을 안전하게 고립 및 분석할 수 있는 능력을 검증.
• AI 기반 도구의 통합을 통해 제어된 환경에서 자동화된 사이버 공격을 현실적으로 시뮬레이션할 수 있도록 지원.
• 통제된 조건에서의 실험을 통해 사용성과 안전성 모두를 입증하는 시스템 검증.

실험 결과

연구 질문

• RQ1 실제 세계의 인프라에 위험을 줄 수 있는 상황에서 자동화된 사이버 공격 도구를 개발 단계에서 어떻게 안전하게 테스트할 수 있는가?
• RQ2 생산 네트워크에서 자동화된 공격 도구를 분리하면서도 현실적인 시뮬레이션 정밀도를 유지할 수 있는 아키텍처 설계 패턴은 무엇인가?
• RQ3 테스트 경계를 초월해 확산되지 않도록 보장하면서도 악성 코드를 효과적으로 고립 및 분석할 수 있는 사이버 레인지 환경는 가능한가?
• RQ4 개발 중인 공격 도구를 보안 시뮬레이션 환경에서 사용 가능한 실행 가능한 바이너리로 변환하기 위해 필요한 메커니즘은 무엇인가?
• RQ5 기존 사이버 레인지와 비교했을 때, 안전성, 사용성, 기업 시스템과의 호환성 측면에서 제안된 시스템은 어떤가?

주요 결과

• Pandora는 모든 공격 시뮬레이션을 테스트 환경 내부에 고립시켜 외부 또는 실제 세계 시스템으로의 확산을 완전히 방지함을 확인했다.
• 테스트 중 악성 코드의 알려진 예제와의 호환성 테스트를 통해 시스템이 위협을 안전하게 고립 및 분석할 수 있음을 확인했다.
• 개발 중인 공격 도구를 실행 가능한 테스트 바이너리로 변환하는 도구체인이 실험적 검증을 통해 효과적이고 기능적으로 입증되었다.
• 실험 결과, 환경는 강력한 보안 경계를 유지하면서도 자동화된 사이버 공격의 현실적인 시뮬레이션을 지원함을 확인했다.
• 이 설계를 통해 자동화된 사이버 공격 도구의 개발 및 테스트 과정에서 의도하지 않은 결과의 위험을 효과적으로 줄일 수 있었다.
• Pandora는 AI 기반 도구를 위한 강력한 고립 및 안전 메커니즘이 부족한 기존 사이버 레인지에 비해 실현 가능하고 안전한 대안을 제공한다.