[논문 리뷰] POMDPs Make Better Hackers: Accounting for Uncertainty in Penetration Testing

Carlos Sarraute, Olivier Buffet외 1명|arXiv (Cornell University)|2013. 07. 31.

Software Testing and Debugging Techniques참고 문헌 10인용 수 28

한 줄 요약

이 논문은 네트워크 구성의 불확실성을 모델링하고 스캐닝 및 공격 실행 행동을 지능적으로 통합함으로써 런타임 비용을 크게 줄이며 높은 공격 품질을 유지하는 POMDP 기반 접근법을 제안한다. 네트워크를 하위 네트워크로 분해하고 개별 머신에서 POMDP를 풀어 규범적인 공격 계획 수립을 달성하며, 전역 POMDP 해법 대비 평균 1.96%의 품질 손실로 스케일러블하고 거의 최적의 성능을 달성한다.

ABSTRACT

Penetration Testing is a methodology for assessing network security, by generating and executing possible hacking attacks. Doing so automatically allows for regular and systematic testing. A key question is how to generate the attacks. This is naturally formulated as planning under uncertainty, i.e., under incomplete knowledge about the network configuration. Previous work uses classical planning, and requires costly pre-processes reducing this uncertainty by extensive application of scanning methods. By contrast, we herein model the attack planning problem in terms of partially observable Markov decision processes (POMDP). This allows to reason about the knowledge available, and to intelligently employ scanning actions as part of the attack. As one would expect, this accurate solution does not scale. We devise a method that relies on POMDPs to find good attacks on individual machines, which are then composed into an attack on the network as a whole. This decomposition exploits network structure to the extent possible, making targeted approximations (only) where needed. Evaluating this method on a suitably adapted industrial test suite, we demonstrate its effectiveness in both runtime and solution quality.

연구 동기 및 목표

• 기존의 계획 수립 기법이 비용이 많이 들고 잔여 불확실성을 처리하지 못하는 데 기인한 한계를 해결하기 위해.
• 침투 테스팅을 POMDP로 모델링하여 불완전한 지식 상에서의 추론과 불확실성 하에서의 동적 의사결정을 가능하게 하기 위해.
• 전역 POMDP 모델의 지수적 증가를 피하면서도 해법 품질을 유지하는 확장 가능한 분해 방법을 개발하기 위해.
• 실제 산업용 테스트 세트에서 본 방법을 평가하여 기존 방법에 비해 향상된 효율성과 실용적 타당성을 입증하기 위해.

제안 방법

• 공격 계획 문제는 상태가 불확실한 네트워크 구성을 나타내며, 스캐닝 및 공격 실행 행동이 비용과 보상을 수반하는 POMDP로 모델링된다.
• 스캐닝은 불확실성을 줄임으로써 믿음 상태를 업데이트하고, 공격 실행은 시스템 상태를 변경하며 서비스 고장 등의 부작용을 일으킬 수 있다.
• 네트워크는 이중 연결 성분과 하위 네트워크로 분해되며, 개별 머신에 대한 공격는 별개의 POMDP로 풀고 계층적으로 조합된다.
• 보수적인 근사 전략은 전체 정책이 가치를 과대평가하지 않도록 보장하여 해법의 안전성을 유지한다.
• 4AL 알고리즘은 필요할 때만 타겟팅된 근사를 적용하여 네트워크 구조를 활용해 계산 비용의 급격한 증가를 제한한다.
• 해법은 알려진 구성에서 초기 믿음 상태를 설정하고, 마지막 침투 테스트 이후 경과한 시간을 고려하여 공격 성공률을 확률적으로 모델링한다.

실험 결과

연구 질문

• RQ1 POMDP는 침투 테스팅을 불확실성 하에서 계획 문제로 효과적으로 모델링할 수 있는가? 특히 공격 간의 종속성과 네트워크 아키텍처 간의 관계를 포괄할 수 있는가?
• RQ2 전역 POMDP 모델의 지수적 증가를 피하면서도 실제 네트워크 규모에 대해 확장 가능한 POMDP 기반 공격 계획 수립은 어떻게 달성할 수 있는가?
• RQ3 대규모 POMDP를 더 작은 모듈식 구성 요소로 분해할 경우, 해법 품질과 런타임 간의 트레이드오프는 어떻게 되는가?
• RQ4 제안된 분해 방법의 품질은 전역 POMDP 해법에 비해 공격 효과성과 효율성 측면에서 어떻게 비교되는가?

주요 결과

• 전역 POMDP 해법 대비 4AL 방법의 평균 품질 손실은 단지 1.96%이며, 테스트된 구성에서 최대 손실은 14.1%이다.
• 100台의 머신과 100개의 공격 수단이 있는 네트워크에서도 런타임이 37초 이내로 유지되어 강력한 확장성을 입증한다.
• 사전 스캔 프로세스에 대한 의존도를 줄임으로써 기존의 고전적 계획 수립 방법에 비해 뚜렷한 성능 향상을 달성하면서도 높은 공격 품질을 유지한다.
• 네트워크 크기가 증가함에 따라 품질 손실이 증가하며, 한 대의 머신에서는 -1.14%에서 여섯 대의 머신에서는 4.37%로 증가하여 관리 가능한 트레이드오프임을 시사한다.
• 기존 방법보다 스캔과 공격을 지능적으로 번갈아 수행함으로써 효율성이 높아지며, 포괄적인 스캔의 비효율성을 피한다.
• 실제 산업 적용 가능성은 네트워크 아키텍처, 공격 종속성, 마지막 침투 테스트 이후 경과 시간에 기반한 믿음 업데이트를 현실적으로 모델링함으로써 높아 보인다.