[論文レビュー] Bayesian Attack Model for Dynamic Risk Assessment

François-Xavier Aguessy, Olivier Bettan+3 more|arXiv (Cornell University)|Jun 29, 2016

Information and Cyber Security参考文献 17被引用数 5

ひとこと要約

本稿では、サイクルを線形化プロセスで明示的に扱うことで、動的リスク評価を可能にする、トポロジカルアタックグラフのベイジアンネットワーク拡張版であるベイジアンアタックモデル（BAM）を提案する。センサーアラートを統合し、確率的推論でアタック経路をモデル化することで、70台のホストおよび2,000以上の脆弱性を含むトポロジにまでスケーラブルであることが実証された。入力が正確な場合、誤検出や見逃しのない高精度な、損傷済みおよび健全な資産の区別が可能である。

ABSTRACT

Because of the threat of advanced multi-step attacks, it is often difficult for security operators to completely cover all vulnerabilities when deploying remediations. Deploying sensors to monitor attacks exploiting residual vulnerabilities is not sufficient and new tools are needed to assess the risk associated to the security events produced by these sensors. Although attack graphs were proposed to represent known multi-step attacks occurring in an information system, they are not directly suited for dynamic risk assessment. In this paper, we present the Bayesian Attack Model (BAM), a Bayesian network-based extension to topological attack graphs, capable of handling topological cycles, making it fit for any information system. Evaluation is performed on realistic topologies to study the sensitivity of its probabilistic parameters.

研究の動機と目的

• 従来のアタックグラフが継続的攻撃をモデル化できず、サイクルを扱えないことによる、動的リスク評価の限界を解消すること。
• すべてのアタック経路を保持しつつサイクルを排除するベイジアンネットワークベースのモデルを開発し、現実の複雑な情報システムにおける正確な確率的推論を可能にすること。
• 従来のベイジアンアタックグラフモデルが小規模なシステム（少数のホストおよび脆弱性）に限定されるのに対し、スケーラビリティとパフォーマンスを向上させること。
• リアルタイムのセンサーアラートをモデルに統合し、損傷確率を動的に更新することで、迅速なリスク対応を可能にすること。
• モデルの確率的パラメータへの感受性と、現実的な攻撃シナリオ下での頑健性を検証すること。

提案手法

• BAMモデルは、サイクルを解消する線形化技術を用いて、トポロジカルアタックグラフをベイジアンネットワークに変換することで構築される。この手法により、すべての可能なアタック経路を保持しつつ、推論に必要な無サイクル性を確保する。
• モデルには、トポロジカル資産（ホスト）、アタックステップ（エクスプロイト）、センサーオブザーバーがノードとして含まれ、条件付き確率テーブルが、攻撃および検出状態に基づく損傷の可能性を定義する。
• Lauritzen-Spiegelhalterアルゴリズムによる効率的推論を保証するため、ベイジアンネットワークにポリツリー構造を強制する。これはサイクル解消後でも有効である。
• センサーノードはリアルタイムのアラートに基づいて動的に更新され、これにより損傷確率の再計算を促す確率的推論がトリガーされる。
• 不確実性の種別を明示的に分離し、自動的なパrameter計算をサポートすることで、モデルの頑健性を高め、パrameterの摂動に対する感受性を低減する。
• 本手法は、実際の企業トポロジおよび大規模シミュレーテッドネットワークの両方で検証され、推論速度および損傷確率推定の正確性を指標にパフォーマンスが測定された。

実験結果

リサーチクエスチョン

• RQ1 トポロジカルアタックグラフ内のサイクル構造を、アタック経路の表現力を損なわずに、体系的に解消する方法は何か？
• RQ2 センサーアウトプットに誤検出や見逃しがない場合、ベイジアンアタックモデルは動的リスク評価においてどの程度の正確性を維持するか？
• RQ3 大規模な企業ネットワーク（数100の脆弱性を含む）に適用した場合、モデルの推論パフォーマンスおよびノード数のスケーリング特性はいかがなっているか？
• RQ4 エクスプロイト成功確率や検出信頼性などの確率的パrameterの変動に対して、モデルの出力確率はどの程度感受性を示すか？
• RQ5 センサーデータが正確な場合、確率閾値（例：0.5）を用いて、損傷済みおよび健全な資産を効果的に区別できるか？

主な発見

• ベイジアンアタックモデルは、モデル構築段階での線形化により、アタックグラフ内のサイクルを効果的に処理し、すべての可能なアタック経路を保持しつつ、ベイジアン推論に必要な無サイクル性を確保した。
• センサーアウトプットに誤検出や見逃しがない場合、推論プロセスによって誤ったアラームが発生せず、損傷済みおよび健全なホストを完全に区別する。
• 本モデルは高いスケーラビリティを示し、70台のホストおよび2,000以上の脆弱性を含むシミュレーテッドトポロジにおいても効率的な推論が可能である。これは、現在の最先端技術（通常10台未満のホストおよび15脆弱性未満）よりも顕著に大きい。
• 損傷済みおよび健全なホストの確率推定における最大誤差は明確に分離されており、リスク評価における高い信頼性と明確な意思決定境界を示している。
• ベイジアンネットワークのポリツリー構造により、サイクル解消による大幅な拡張に対しても効率的推論が維持され、パフォーマンスが保たれている。
• 本モデルは、表現力とスケーラビリティの両面で先行研究を上回り、トポロジカルモデルのコンパクトさとベイジアンネットワークの動的推論能力を統合している。