[논문 리뷰] Quantitative Questions on Attack-Defense Trees

Barbara Kordy, Sjouke Mauw외 1명|arXiv (Cornell University)|2012. 10. 30.

Information and Cyber Security참고 문헌 24인용 수 8

한 줄 요약

이 논문은 공격-방어 트리에서 직관적인 보안 질문과 형식적 정량 분석을 연결하기 위해, 모호한 실세계 질문을 명확한 속성 도메인으로 변환하는 체계적인 방법을 정의한다. 정량적 질문을 한 명의 플레이어에 초점, 양 플레이어 간 상호의존 결과, 제3자 영향의 세 가지 유형으로 분류하고, 해당 유형에 맞는 형식적 모델을 구성하기 위한 템플릿을 제공함으로써, 하향식 알고리즘을 통한 정확하고 자동화된 평가가 가능해지며, 기존 공격 트리로의 응용도 가능하다.

ABSTRACT

Attack-defense trees are a novel methodology for graphical security modeling and assessment. The methodology includes visual, intuitive tree models whose analysis is supported by a rigorous mathematical formalism. Both, the intuitive and the formal components of the approach can be used for quantitative analysis of attack-defense scenarios. In practice, we use intuitive questions to ask about aspects of scenarios we are interested in. Formally, a computational procedure, defined with the help of attribute domains and a bottom-up algorithm, is applied to derive the corresponding numerical values. This paper bridges the gap between the intuitive and the formal way of quantitatively assessing attack-defense scenarios. We discuss how to properly specify a question, so that it can be answered unambiguously. Given a well specified question, we then show how to derive an appropriate attribute domain which constitutes the corresponding formal model. Since any attack tree is in particular an attack-defense tree, our analysis is also an advancement of the attack tree methodology.

연구 동기 및 목표

• 실제 공격-방어 시나리오에서 사용되는 직관적 보안 질문의 모호함을 해결하기 위해.
• 직관적 질문을 계산 가능한 속성 도메인으로 매핑하는 엄밀하고 형식적인 프레임워크를 구축하기 위해.
• 플레이어 중심, 상호 플레이어 결과, 제3자 관련의 세 가지 다른 정량적 질문 유형을 분류하고 체계적으로 모델링하기 위해.
• 기존 공격 트리로의 방법론 확장을 위해, 공격 트리가 공격-방어 트리의 부분집합임을 고려하여.
• 프로토타입 도구(ADTool)를 통해 보안 시나리오의 자동화되고 신뢰할 수 있는 평가를 지원하기 위해.

제안 방법

• 직관적 질문을 세 가지 유형으로 분류: (1) 한 명의 플레이어에 초점, (2) 양 플레이어의 답변이 상호의존, (3) 외부 제3자 포함.
• 모달리티(예: 최대, 최소, 합)와 실행 방식(예: 순차적, 병렬)을 위한 연산을 포함하는 대수적 구조(D, ◦, •)를 사용해 형식적 속성 도메인 정의.
• 정의된 속성 도메인 기반으로 공격-방어 트리 표현식에서 수치적 값을 계산하기 위해 재귀적이고 하향식 알고리즘 사용.
• 질문 유형, 모달리티, 실행 방식에 기반한 속성 도메인 템플릿 구축을 통해 일관된 형식화 지원.
• 방어자 전용 연산자를 제거함으로써 기존 공격 트리에 대한 형식화 적응, 호환성 유지.
• ADTool이라는 프로토타입 도구에 프레임워크를 구현하여, 그래픽적 ADTree와 형식적 ADTerm 간 실시간 동기화 및 속성 평가 기능 지원.

실험 결과

연구 질문

• RQ1 어떻게 직관적이고 비형식적인 보안 질문을 공격-방어 트리 분석에서 모호하지 않게 형식적으로 명시할 수 있는가?
• RQ2 공격-방어 트리 내 정량적 질문의 구조적 및 의미적 유형은 무엇이며, 어떻게 체계적으로 모델링할 수 있는가?
• RQ3 어떻게 하향식 평가를 위한 자동화된 평가를 지원할 수 있는 속성 도메인을 구성할 수 있는가?
• RQ4 공격 트리가 공격-방어 트리의 부분집합임을 고려할 때, 제안된 형식화 방법론이 얼마나 널리 적용 가능한가?
• RQ5 소프트웨어 도구는 실세계 보안 평가에서 직관적 모델링과 형식적 정량 평가의 통합을 어떻게 지원할 수 있는가?

주요 결과

• 논문은 정량적 질문을 세 가지 명확히 구분되는 유형으로 분류하여, 정확성과 모호함이 없는 정의를 위해 각각 다른 형식적 모델링 접근이 필요하다는 것을 성공적으로 입증하였다.
• 에너지 소비 모델링의 경우, 속성 도메인 Aergmax = (R, max, +, max, +, +, +)는 주어진 시나리오에서 최대 에너지 비용 40kWh를 정확히 계산한다.
• 해당 방법은 공격 트리의 속성 도메인을 (Dα, ∨pα, ∧pα)로 축소함으로써 형식적 평가를 가능하게 하며, 이는 이전의 형식화와 일치하고 사용성도 확장한다.
• ADTool 프로토타입은 그래픽적 ADTree와 형식적 ADTerm 간 실시간 동기화를 지원하여 상호작용적이고 자동화된 속성 평가를 가능하게 한다.
• 적절한 연산(예: 최악의 경우는 max, 누적 비용은 sum)을 선택함으로써 복잡한 트레이드오프(예: 에너지 사용과 시간)의 일관된 모델링이 가능하다.
• 질문 예: '서버를 보호하기 위한 최소 비용은 얼마인가?' 또는 '시나리오에서 최대 에너지 소비는 얼마인가?'와 같은 질문들은 명확하고 알고리즘적으로 해답 가능하다.