[논문 리뷰] Towards Dynamic Threat Modelling in 5G Core Networks Based on MITRE ATT\&CK

Robert Pell, Sotiris Moschoyiannis외 2명|arXiv (Cornell University)|2021. 08. 25.

Information and Cyber Security참고 문헌 22인용 수 14

한 줄 요약

이 논문은 5G 핵심 네트워크(5GCN)를 위한 동적 위협 모델링 접근법을 제안하며, MITRE ATT&CK 프레임워크에 5G 전용 공격 기법을 확장한다. 이 기법들은 APT 라이프사이클 단계에 매핑되며, 다단계 공격 시나리오에서의 활용을 통해 탄력적이고 소프트웨어 정의된 5GCN 환경에서 사전 위험 평가 및 탐지가 가능하도록 한다.

ABSTRACT

This article discusses how the gap between early 5G network threat assessments and an adversarial Tactics, Techniques, Procedures (TTPs) knowledge base for future use in the MITRE ATT&CK threat modelling framework can be bridged. We identify knowledge gaps in the existing framework for key 5G technology enablers such as SDN, NFV, and 5G specific signalling protocols of the core network. We adopt a pre-emptive approach to identifying adversarial techniques which can be used to launch attacks on the 5G core network (5GCN) and map these to its components. Using relevant 5G threat assessments along with industry reports, we study how the domain specific techniques can be employed by APTs in multi-stage attack scenarios based on historic telecommunication network attacks and motivation of APT groups. We emulate this mapping in a pre-emptive fashion to facilitate a rigorous cyber risk assessment, support intrusion detection, and design defences based on common APT TTPs in a 5GCN.

연구 동기 및 목표

• 정적 위협 모델과 5G 핵심 네트워크(5GCN)의 동적이고 재구성 가능한 특성 간 격차를 해소한다.
• 5GCN 구성 요소와 프로토콜에 특화된 악성 공격 전략, 기법, 절차(TTP)를 식별하고 매핑한다.
• 사전에 5GCN에서 가능한 APT 기법을 식별함으로써, MITRE ATT&CK를 활용한 사전 위협 모델링을 가능하게 한다.
• 벤더에 종속되지 않은 동적 위협 모델링 프레임워크를 통해 침입 탐지 및 보안 제어 선택을 지원한다.
• 5G 전용 TTP로 ATT&CK 지식 기반을 확장하여 향후 5GCN의 사이버 리스크 평가 기반을 마련한다.

제안 방법

• 기존 5G 위협 평가, 산업 보고서 및 역사적 통신 분야 공격 패tern을 분석하여 관련 APT TTP를 식별한다.
• 식별된 TTP를 MITRE ATT&CK 프레임워크에 매핑하며, APT 라이프사이클 단계(초기 접근, 지속성 확보, 권한 상승, 방어 회피, 횡단 이동, 명령 및 제어, 유출)와 일치시킨다.
• MANO, 네트워크 슬라이싱, 신호 전송 프로토콜과 같은 핵심 구성 요소에 중점을 두어 5GCN에서의 다단계 공격 시나리오를 모델링한다.
• 실제 사고 발생 이전에 악성 기법을 사전에 예측하는 방법론을 적용하여, 변화하는 5GCN 구성에 대한 관련성을 확보한다.
• 기능 구성 요소와 공격 단계에 기반한 5GCN 전용 TTP 매트릭스를 구축하여 동적 위험 평가를 가능하게 한다.
• MITRE ATT&CK의 환경에 종속되지 않는 특성을 활용하여 위협 모델링을 정적 시스템 추상화에서 분리함으로써, 탄력적이고 가상화된 5GCN 아키텍처를 지원한다.

실험 결과

연구 질문

• RQ1 어떻게 하면 MITRE ATT&CK 프레임워크를 확장하여 5GCN에서의 5G 전용 공격 기법을 모델링할 수 있는가?
• RQ2 SDN, NFV 및 5G 핵심 신호 전송 프로토콜과 같은 핵심 5GCN 구성 요소에 관련된 APT TTP는 무엇인가?
• RQ3 ATT&CK의 전략 및 기법 프레임워크를 사용하여 5GCN에서의 동적 다단계 공격 시나리오를 어떻게 모델링할 수 있는가?
• RQ4 5GCN의 탄력적이고 재구성 가능한 아키텍처는 기존 위협 모델링 접근법의 효과성에 어떤 영향을 미치는가?
• RQ5 TTP의 사전 식별은 5GCN에서 사이버 리스크 평가 및 침입 탐지에 어떻게 기여하는가?

주요 결과

• 연구는 5G 전용 공격 기법을 식별하고, 특히 MANO 서비스 오용 및 신호 전송 프로토콜 침해에 중점을 두어 MITRE ATT&CK 프레임워크에 매핑하였다.
• 두 가지 다단계 공격 시나리오를 모델링하였다: 하나는 위변조된 자격 증명을 통한 초기 접근 및 애플리케이션 계층 프로토콜을 이용한 데이터 유출을 포함하고, 다른 하나는 MANO 인터페이스 오용을 통한 네트워크 슬라이싱 격리 회피를 포함한다.
• 제안된 접근법은 5GCN 구성 상태에 관계없이 동적 위협 모델링을 가능하게 하여, 탄력적이고 가상화된 환경에서 지속적인 위험 평가를 지원한다.
• 5GCN 위협을 알려진 APT TTP와 연계함으로써, 실제 사고 발생 이전에도 사전 위협 탐지 및 보안 제어 선택을 지원한다.
• 이 연구는 향후 탐지 시스템 향상 및 리스크 평가 지침을 위한 5GCN 전용 TTP 기반 지식 기반을 제공한다.
• 한계점으로는 실제 5G 공격 데이터 부족과 현재 TTP 모델에 통합된 탐지/완화 전략 부재가 있으며, 향후 데이터 기반 확장의 필요성을 시사한다.