[论文解读] ADTool: Security Analysis with Attack-Defense Trees (Extended Version)

Barbara Kordy, Piotr Kordy+2 more|arXiv (Cornell University)|May 29, 2013

Information and Cyber Security参考文献 19被引用 3

一句话总结

ADTool 是一款免费、开源的软件工具，用于构建和定量分析攻击-防御树（ADTrees），这是一种形式化方法，用于建模安全场景中的攻击者与防御者行为。它支持基于属性的计算，实现自动化的自底向上安全度量评估，从而实现可扩展、精确的风险评估，同时具备直观的图形化建模和模型正确性的形式化验证。

ABSTRACT

The ADTool is free, open source software assisting graphical modeling and quantitative analysis of security, using attack-defense trees. The main features of the ADTool are easy creation, efficient editing, and automated bottom-up evaluation of security-relevant measures. The tool also supports the usage of attack trees, protection trees and defense trees, which are all particular instances of attack-defense trees.

研究动机与目标

• 解决缺乏免费、开源工具同时支持攻击-防御树的图形化建模与定量分析的问题。
• 提供一个用户友好的环境，通过强制执行 ADTree 模型的语法正确性，防止建模错误。
• 通过使用形式化属性域的自动化、自底向上计算方法，实现安全度量的自动计算，以支持风险评估。
• 支持将攻击树、防护树和防御树作为攻击-防御树的特例进行集成。
• 通过可扩展、模块化的软件架构和跨平台可用性，促进工业界与学术界对 ADTree 方法论的采纳。

提出的方法

• 采用扩展的 ADTree 形式化方法，将攻击者与防御者的行为建模为分层与或树结构中相互依赖的节点。
• 采用自底向上的评估算法，基于用户定义的属性域和运算符，从原子操作（非精炼节点）计算度量值。
• 实现 Walker 树布局算法的增强版本，并结合 Buchheim 等人的改进方法，实现视觉上更优的树形渲染。
• 通过上下文菜单和键盘快捷键支持模型创建，确保在构建过程中保持语法正确性。
• 使用 Java 及基于反射的插件架构，实现无需重新编译即可动态扩展新的属性域。
• 集成免费库（abego TreeLayout、InfoNode Docking Windows），以实现高效的布局计算和灵活的 GUI 管理。

实验结果

研究问题

• RQ1 如何通过免费开源工具在统一环境中同时支持攻击-防御树的创建与定量分析？
• RQ2 哪些设计原则使 ADTool 在保持用户友好性的同时，确保 ADTree 模型的语法正确性？
• RQ3 ADTool 在处理包含数千个节点的大规模安全模型时，其可扩展性如何？
• RQ4 将攻击树、防御树与防护树统一于单一形式化框架中，相较于孤立模型，如何提升安全分析效果？
• RQ5 在 ADTree 中使用形式化基础的、基于属性的计算框架进行安全度量，其实际优势是什么？

主要发现

• ADTool 支持 ADTree 的即时定量评估，计算采用自底向上方式进行，且随树规模增大而高效扩展。
• 该工具支持包含超过一万个节点的模型，但添加新节点时，布局重新计算可能导致最多五秒的延迟。
• 通过使用 Java 反射机制，可在不重新编译核心应用的前提下，实现新属性域的运行时扩展。
• ADTool 通过在单一开源环境中集成可视化建模、形式化验证与自动化定量分析，优于现有工具。
• 该工具已在实际案例研究中成功应用，用于对电子投票系统进行定量威胁分析。
• ADTool 的模块化架构与开源特性，使其成为商业工具（如 SecurITree 和 AttackTree+）的可行且可扩展的替代方案。