[论文解读] Building Computer Network Attacks

Ariel Futoransky, Luciano Notarfrancesco+2 more|arXiv (Cornell University)|Jun 9, 2010

Information and Cyber Security参考文献 7被引用 14

一句话总结

本文提出了一种形式化、概率化的攻击模型，用于构建和模拟计算机网络攻击，整合了资产、目标、攻击者和行动，并量化了成本（成功率、隐蔽性、时间、噪声、零日状态）。该模型通过混合经典/HTN规划方法对攻击规划进行建模，显著减少了组合爆炸问题，引入了新颖的量化器和成本感知规划，从而实现了自动化渗透测试和漏洞模拟。

ABSTRACT

In this work we start walking the path to a new perspective for viewing cyberwarfare scenarios, by introducing conceptual tools (a formal model) to evaluate the costs of an attack, to describe the theater of operations, targets, missions, actions, plans and assets involved in cyberwarfare attacks. We also describe two applications of this model: autonomous planning leading to automated penetration tests, and attack simulations, allowing a system administrator to evaluate the vulnerabilities of his network.

研究动机与目标

• 开发一种形式化、可扩展的框架，用于建模网络战场景，包括攻击成本、资产、目标和攻击者行为。
• 通过混合经典/HTN规划方法实现网络攻击的自动化规划，以减少组合复杂度。
• 通过精确且可配置的攻击模拟，支持系统管理员模拟攻击并评估网络漏洞。
• 在传统攻击树和图的基础上，引入攻击建模的新维度，特别是噪声、隐蔽性和零日状态。
• 通过形式化攻击者行为和规划逻辑，为下一代自动化渗透测试工具提供基础。

提出的方法

• 使用四个核心组件建模攻击：概率化资产（如操作系统、服务标识、连通性）、量化目标（Any、All、AllPossible）、具备能力的攻击者，以及原子操作。
• 采用混合规划方法，结合经典规划与HTN（层次任务网络）技术，以实现对真实规模网络的可扩展性。
• 应用戴克斯特拉算法计算攻击图中的最小成本路径，成本定义为元组形式：(成功率, 噪声, 时间, 不可追踪性, 零日状态)。
• 引入基于假设的成本评估机制：通过在源主机中使用假设的攻击者构建子计划，以估算获胜成本。
• 在Squeak Smalltalk环境中实现功能原型，以验证模型的规划与模拟能力。
• 通过基于虚拟机或轻量级仿真环境，支持大规模攻击（如蠕虫传播）的仿真，以在准确性和性能之间取得平衡。

实验结果

研究问题

• RQ1 如何在成功率之外，对网络攻击的成本进行建模，包括隐蔽性、噪声和时间？
• RQ2 如何在保持表达力的同时，减少攻击图构建中的组合爆炸问题？
• RQ3 如何使用具备动态能力与不断演化的知识的攻击者来建模攻击者行为？
• RQ4 如何利用自动化规划生成适合渗透测试的、多步骤的逼真攻击序列？
• RQ5 系统管理员如何通过模拟多样化的攻击者画像来评估并加固网络防御？

主要发现

• 该模型通过使用量化器（Any、All、AllPossible）成功降低了攻击图的复杂度，即使在非优化的Squeak实现中也能实现可扩展的规划。
• 将噪声作为第一类成本维度进行整合，使隐蔽性和抗检测能力得以建模，这是以往攻击树或图模型所缺乏的特性。
• 该框架通过生成既具成本效益又具备隐蔽性的攻击计划，实现了自动化渗透测试，适用于集成到Core Impact等工具中。
• 仿真结果表明，管理员可通过逐步增加攻击者能力，识别出关键漏洞，直至实现成功且不被察觉的攻击。
• 该模型支持通过仿真评估防御措施的效果，例如模拟反制措施如何降低攻击成功率或增加噪声。
• 该方法在使用轻量级仿真环境模拟大规模蠕虫传播方面展示了可行性，使可扩展性超越全虚拟机仿真。