[논문 리뷰] Penetration Testing == POMDP Solving?

Carlos Sarraute, Olivier Buffet외 1명|arXiv (Cornell University)|2013. 06. 19.

Network Security and Intrusion Detection참고 문헌 12인용 수 30

한 줄 요약

이 논문은 네트워크 구성의 불확실성과 스캐닝 및 공격 행동을 지능적으로 번갈아 수행할 수 있도록, 부분 관측 가능한 마르코프 결정 과정(POMDP)으로 침투 테스팅을 모델링한다. POMDP가 불확실성 하에서 정보 수집과 공격 순서를 자연스럽게 모델링함으로써, 부분 관측성에 동적으로 대응하고 비용 효율적이고 적응적인 공격 전략을 가능하게 하여, 기존의 계획 기법보다 우수한 성능을 보인다.

ABSTRACT

Penetration Testing is a methodology for assessing network security, by generating and executing possible attacks. Doing so automatically allows for regular and systematic testing without a prohibitive amount of human labor. A key question then is how to generate the attacks. This is naturally formulated as a planning problem. Previous work (Lucangeli et al. 2010) used classical planning and hence ignores all the incomplete knowledge that characterizes hacking. More recent work (Sarraute et al. 2011) makes strong independence assumptions for the sake of scaling, and lacks a clear formal concept of what the attack planning problem actually is. Herein, we model that problem in terms of partially observable Markov decision processes (POMDP). This grounds penetration testing in a well-researched formalism, highlighting important aspects of this problem's nature. POMDPs allow to model information gathering as an integral part of the problem, thus providing for the first time a means to intelligently mix scanning actions with actual exploits.

연구 동기 및 목표

• 기존의 계획 기법이 완전한 지식을 전제로 하고 불확실성을 忽시한다는 점을 해결하기 위해.
• 부분 관측 가능성과 포트 스캐닝과 같은 정보 수집 행동을 포함시켜 공격 계획 문제를 더 정확하게 모델링하기 위해.
• 실제 네트워크 보안 평가의 동적이고 불확실한 특성을 포괄하는 공식적 프레임워크를 제공하기 위해.
• 기대 정보 수확량과 공격 성공 확률에 기반한 스캐닝 및 공격 행동의 지능적인 순서를 가능하게 하기 위해.
• 실제 네트워크 환경에서 확장 가능하고 적응 가능한 침투 테스팅을 위해 POMDP를 사용하는 것의 타당성과 이점을 탐색하기 위해.

제안 방법

• 논문은 침투 테스팅을 POMDP로 모델링하며, 상태는 네트워크 구성(예: OS, 개방된 포트)을 나타내고, 행동은 스캐닝 및 공격을 포함한다.
• 행동는 결정론적이지만, 초기 상태는 부분 관측 가능하며, 구성 변경 후 기계 구성에 대한 불확실성을 반영한다.
• 각 행동 이후 베이지안 추론을 사용해 믿음 상태를 갱신하여 네트워크에 대한 지식의 변화를 반영한다.
• POMDP 솔버를 통해 보상(예: 시스템 침해)의 기대 누적량을 최대화하고 비용(시간, 트래픽)을 최소화하는 정책을 계산한다.
• 기존의 계획 기법이 정적 순서로 공격를 사전에 결정하는 데 반해, 이 방법은 실시간 믿음 갱신에 기반해 동적으로 공격 순서를 조정할 수 있다.
• 이 방법은 기계 수, 공격 수, 마지막 스캔 이후 경과 시간을 늘릴 수 있는 합성 문제 생성기에서 평가된다.

실험 결과

연구 질문

• RQ1 POMDP는 부분 관측 가능성과 정보 수집을 포괄함으로써 기존의 계획 기법보다 침투 테스팅을 더 자연스럽고 정확하게 모델링할 수 있는가?
• RQ2 단일 계획 프레임워크 내에서 스캐닝과 공격 행동을 통합함으로써, 사전 스캔 기반의 기존 계획 기법에 비해 공격 전략은 어떻게 향상되는가?
• RQ3 특히 쌍별 기계 전이에 대해 POMDP 기반의 공격 계획은 실제 네트워크 구성에서 얼마나 확장 가능한가?
• RQ4 믿음 갱신과 불확실성 하에서의 동적 공격 순서 조정은 침투 테스팅의 품질과 비용 효율성에 어떻게 영향을 미치는가?
• RQ5 침투 테스팅 문제의 구조적 특성(예: 정적 상태, 단조성, 한 번의 행동당 하나의 동작)은 POMDP 해법의 효율성을 향상시키는 데 활용될 수 있는가?

주요 결과

• POMDP 기반의 계획은 스캔 결과에 따라 믿음에 기반한 동적 공격 순서 조정이 가능하며, 기존의 계획 기법이 고정된 사전 계산된 순서에 의존하는 것과는 달리 유연하다.
• 이 모델은 스캐닝과 공격를 상호 의존적인 행동으로 자연스럽게 통합하여, 고위험 공격 이전에 비용 효율적인 정보 수집을 가능하게 한다.
• POMDP 솔버는 쌍별 기계 전이(2대 기반 네트워크)에 대해 합리적으로 확장 가능하므로, 고차원 계획의 원자 단위로 사용하기에 적합하다.
• 기존의 연구에 비해, 믿음 기반 정책 적응을 통해 공격 간 의존성(예: 공통된 실패 원인)을 처리함으로써 성능이 향상된다.
• 이 모델은 구성에 대한 지식 부족과 정보 수확량과 공격 비용 간의 트레이드오프와 같은 실질적인 침투 테스팅의 핵심 요소를 포괄한다.
• 전체 네트워크 확장은 아직 제한되어 있지만, 이 방법은 쌍별 POMDP 솔루션을 빌딩 블록으로 사용해 확장 가능하고 적응 가능한 침투 테스팅 도구를 구축하는 데 원칙적인 기반을 제공한다.