[论文解读] Attack Planning in the Real World

Jorge Lucángeli Obes, Carlos Sarraute+1 more|arXiv (Cornell University)|Jun 18, 2013

Information and Cyber Security参考文献 17被引用 65

一句话总结

本文提出了一种基于PDDL的攻击规划框架，将经典规划器与真实世界的渗透测试工具集成，以自动生成并验证针对实际网络的攻击路径。通过在PDDL中建模利用方法和网络状态，并利用Metric-FF与SGPlan等规划器，该方法可扩展至中等规模网络（最多200台主机），实现无需预先计算完整攻击图的自动化、可执行攻击规划。

ABSTRACT

Assessing network security is a complex and difficult task. Attack graphs have been proposed as a tool to help network administrators understand the potential weaknesses of their network. However, a problem has not yet been addressed by previous work on this subject; namely, how to actually execute and validate the attack paths resulting from the analysis of the attack graph. In this paper we present a complete PDDL representation of an attack model, and an implementation that integrates a planner into a penetration testing tool. This allows to automatically generate attack paths for penetration testing scenarios, and to validate these attacks by executing the corresponding actions -including exploits- against the real target network. We present an algorithm for transforming the information present in the penetration testing tool to the planning domain, and show how the scalability issues of attack graphs can be solved using current planners. We include an analysis of the performance of our solution, showing how our model scales to medium-sized networks and the number of actions available in current penetration testing tools.

研究动机与目标

• 为现有攻击图研究中的空白提供解决方案，实现在真实目标网络中自动执行和验证攻击路径。
• 克服传统攻击图的可扩展性限制，后者随网络规模呈指数级增长，对中大型网络不可行。
• 将经典规划算法与真实渗透测试框架（如Core Impact）集成，以生成并执行可操作的攻击计划。
• 证明基于规划的攻击建模可利用当前规划器扩展至实际规模的网络，避免预先计算整个攻击图。
• 通过将攻击步骤建模为具有精确前提条件和效果的可执行计划，实现自动化、可重复且优化的渗透测试。

提出的方法

• 将渗透测试数据（利用方法、主机状态、服务）转换为正式的PDDL领域模型，以捕获攻击动作的前提条件、效果和目标。
• 使用经典规划算法（Metric-FF与SGPlan）搜索状态空间，生成攻击序列，而无需构建完整的攻击图。
• 将规划器与真实渗透测试框架（Core Impact）集成，以在真实目标网络上执行生成的计划并进行验证。
• 应用约束划分与启发式优化，以提升复杂目标（涉及多个被 compromise 主机）下的规划器性能。
• 通过在受控测试环境中端到端执行攻击计划，对方法进行验证，以确保其正确性与可行性。
• 利用渗透测试工具自身的知识库（利用方法、目标状态）作为事实依据，避免外部扫描器带来的误报。

实验结果

研究问题

• RQ1 经典规划算法是否能在不预先计算完整攻击图的情况下，有效生成并验证真实渗透测试场景中的可执行攻击路径？
• RQ2 基于PDDL的攻击模型在包含数百台主机和数十个利用方法的中等规模网络中可扩展到何种程度？
• RQ3 在真实渗透测试规划任务中，不同规划器（如Metric-FF与SGPlan）的性能特征如何？
• RQ4 将规划器与真实渗透测试工具集成，是否能实现自动化、可重复且可靠的攻击执行？
• RQ5 在实际渗透测试中，如何在规划框架内建模并处理目标网络的不完整知识？

主要发现

• 基于PDDL的攻击模型成功扩展至中等规模网络，可处理最多200台主机及大量可用利用方法。
• 通过使用规划器仅探索相关路径，该方法避免了完整攻击图构建的指数级膨胀，实现了可扩展性。
• Metric-FF在使用略超过1 GB内存的情况下，于6秒内解决了复杂目标（在200台主机的网络中 compromise 100台机器）。
• SGPlan在简单问题上比Metric-FF更快，但因其约束划分策略，在复杂目标上表现出可扩展性问题。
• 将规划器与真实渗透测试工具集成，实现了攻击计划的端到端执行与验证，证明了自动化渗透测试的可行性。
• 该模型通过不依赖单调性等严格假设，支持非单调行为（如DoS、利用失败），与先前工作（如TVA）不同。