[논문 리뷰] Security Assessment Rating Framework for Enterprises using MITRE ATT&CK Matrix.

Hardik Manocha, Akash Srivastava외 3명|arXiv (Cornell University)|2021. 08. 14.

Information and Cyber Security참고 문헌 15인용 수 6

한 줄 요약

이 논문은 보안 평가 등급 프레임워크를 제안하며, 보안 테스트 동안 특정 공격자 기법의 성공 또는 실패를 평가하여 기업의 정량적 보호 점수를 산출하기 위해 MITRE ATT&CK 매트릭스를 활용한다. 이 프레임워크는 통합 보안 점수(예: 사례 연구에서 39%)를 계산하고 전략적 수준의 위험 통찰을 제공하여 기술적 보안 팀과 전략적 리더십 간의 격차를 메운다.

ABSTRACT

Threats targeting cyberspace are becoming more prominent and intelligent day by day. This inherently leads to a dire demand for continuous security validation and testing. Using this paper, we aim to provide a holistic and precise security analysis rating framework for organizations that increases the overall coherency of the outcomes of such testing. This scorecard is based on the security assessment performed following the globally accessible knowledge base of adversary tactics and techniques called the MITRE ATTACK matrix. The scorecard for an evaluation is generated by ingesting the security testing results into our framework, which provides an organizations overall risk assessment rating and the risk related to each of the different tactics from the ATTACK matrix.

연구 동기 및 목표

• 기술적 보안 테스트 결과와 고위 경영진의 위험 이해 간 다리를 놓는 표준화되고 실행 가능한 보안 평가가 부족한 문제를 해결하기 위해.
• 세부적인 보안 테스트 결과를 MITRE ATT&CK 프레임워크 기반으로 단일 해석 가능한 보호 점수로 변환하는 방법을 개발하기 위해.
• 위험 관리, 제3자 평가, 사이버 보험 평가를 지원하는 동적이고 지속적인 보안 검증 메커니즘을 조직에 제공하기 위해.
• 수동 평가를 실시간 데이터 기반 보안 평가로 대체하여 제3자 위험 관리의 운영 부담을 줄이기 위해.

제안 방법

• 특정 MITRE ATT&CK 기법과 전술에 매핑된 보안 테스트 결과를 수신한다.
• 심각도와 성공/실패 상태를 바탕으로 각 테스트된 기법에 대해 유해성 및 영향 점수를 할당한다.
• 성공/실패 및 본질적 위험을 고려한 가중 공식을 사용하여 각 기법의 보호 점수를 계산한다.
• 커버리지 가중 정규화를 사용하여 개별 기법 점수를 총 보호 점수(예: 사례 연구에서 39%)로 집계한다.
• 전술 수준의 영향, 손상 가능성 및 보호 점수 추세를 시각화하여 고위험 영역을 식별한다.
• 웹 플랫폼 및 보안 도구에 배포하기 위해 오픈소스 NPM 패키지로 프레임워크를 통합한다.

실험 결과

연구 질문

• RQ1 보안 테스트 결과를 어떻게 MITRE ATT&CK 프레임워크를 사용하여 기업 전반의 통합 보안 보호 점수로 번역할 수 있는가?
• RQ2 공격자 기법의 유해성, 영향 및 성공/실패를 위험 점수화하기 위해 가장 효과적인 가중치 설정 방식은 무엇인가?
• RQ3 기존의 취약성 보고서와 비교해 볼 때, 제안된 프레임워크는 SOC 팀과 엔터프라이즈 리더십 간의 소통을 어떻게 향상시키는가?
• RQ4 이 프레임워크는 기존의 설문지 및 현장 감사와 같은 전통적인 제3자 위험 평가 방법을 얼마나 대체하거나 보완할 수 있는가?
• RQ5 이 프레임워크는 공급망, 사이버 보험, M&A 인수합병 감사 등에서 동적으로 위험을 평가하고 우선순위를 정하는 데 사용될 수 있는가?

주요 결과

• 사례 연구에서 프레임워크는 총 보호 점수 39%를 산출하여 테스트된 기법에 기반한 조직의 전반적인 보안 포지셔닝을 반영했다.
• 초기 접근(T1190) 및 횡행(T1021.001) 전술은 높은 영향을 미쳐 최종 점수 결정에 핵심적인 역할을 했다.
• 애플리케이션 쉬머링(T1546.011) 및 윈로긴 헬퍼 DLL(T1547.004) 기법은 EDR 제어로 인해 실패했으며, 중간 수준의 영향에도 불구하고 보다 높은 보호 점수 기여를 하였다.
• 보호 점수 대 손상 가능성 그래프는 명확한 추세를 보였다: 유해성과 영향력이 높은 기법이 최종 점수에 가장 큰 영향을 미쳤다.
• 프레임워크는 방어 레이어를 40% 증가시키는 등의 보안 제어의 우선순위를 정하는 데 도움을 주며, 핵심 공격 벡터의 유해성을 크게 감소시킬 수 있다.
• 오픈소스 NPM 패키지는 기존 보안 플랫폼에 통합 가능하여 지속적이고 자동화된 보안 평가를 지원한다.