[論文レビュー] Cybersecurity Playbook Sharing with STIX 2.1

Vasileios Mavroeidis, Mateusz Zych|arXiv (Cornell University)|Jan 22, 2022

Information and Cyber Security被引用数 6

ひとこと要約

本論文は、STIX 2.1 に拡張を加えることで、検出および対応用のサイバーセキュリティプレイブック（CACAO準拠プレイブックを含む）の構造的共有を可能にする。これにより、検出および対応プレイブックを表す標準化されたデータモデルを定義する。このアプローチは、STIX の既存の拡張メカニズムを活用することで相互運用性を確保し、応答時間を短縮するとともに、セキュリティチーム間の協働を強化する。

ABSTRACT

Understanding that interoperable security playbooks will become a fundamental component of defenders' arsenal to decrease attack detection and response times, it is time to consider their position in structured sharing efforts. This report documents the process of extending Structured Threat Information eXpression (STIX) version 2.1, using the available extension definition mechanism, to enable sharing security playbooks, including Collaborative Automated Course of Action Operations (CACAO) playbooks.

研究の動機と目的

• インcidnetの検出および応答時間を短縮するため、相互運用可能で機械可読なセキュリティプレイブックの需要が高まっていることを踏まえ、そのニーズに対応すること。
• 既存の STIX 2.1 インfraストラクチャを活用して、組織間でのプレイブックの構造的共有を可能にすること。
• STIX フレームワーク内での CACAO準拠プレイブックの表現を形式化すること。
• 一貫性があり拡張可能なデータモデルを定義することで、自動化およびオ케ストレーションを支援すること。
• 標準化された、共有可能なプレイブック形式を通じて、サイバーセキュリティチーム間の協働を強化すること。

提案手法

• STIX 2.1 のネイティブな拡張メカニズムを用いて、プレイブック用の新しいオブジェクトタイプを定義する。
• 検出および対応手順を表すために、新しい STIX オブジェクトタイプ「Playbook」を導入する。
• インジケータ、観測可能物、攻撃パターンなどの既存の STIX エンティティとの間の関係を定義する。
• CACAO プレイブックの意味論を STIX 2.1 データモデルにマッピングすることで、既存の自動化基準と整合性を保つ。
• JSON ベースのシリアル化を用いることで、機械処理可能かつ人間が読みやすい表現を確保する。
• カスタムオブジェクトタイプおよびプロパティの機能を活用して、多様なユースケースにわたる拡張性を実現する。

実験結果

リサーチクエスチョン

• RQ1 STIX 2.1 はどのように拡張され、セキュリティプレイブックの構造的表現を可能にするか？
• RQ2 CACAO準拠プレイブックの相互運用可能な共有を可能にするために必要なデータモデルは何か？
• RQ3 既存の STIX 2.1 機能をどのように活用すれば、オーバーヘッドを最小限に抑え、互換性を確保できるか？
• RQ4 検出および対応プレイブックを標準化された方法で表現するために必要な主な構造的および意味的要素は何か？
• RQ5 提案された拡張は、自動化、オーケストレーション、および組織間協働をどのように支援するか？

主な発見

• 本論文は、セキュリティプレイブック（CACAO準拠プレイブックを含む）を表す標準化された STIX 2.1 拡張を成功裏に定義した。
• 提案されたモデルにより、検出および対応プレイブックの機械処理可能で相互運用可能な共有が、セキュリティチーム間で可能になった。
• 拡張は、STIX 2.1 の既存の拡張メカニズムを再利用しており、後方互換性を確保するとともに、実装のオーバーヘッドを低減した。
• プレイブックと脅威インテリジェンスオブジェクトとの間の包括的な関係をサポートすることで、自動応答ワークフローの実現が可能になった。
• モデルは形式的に規定されており、リファレンス実装を通じて妥当性と拡張性が検証された。
• 標準化された構造的フォーマットにより、組織間でのプレイブックの共有と利用が可能となり、インシデント応答が迅速化された。