[论文解读] DAG-Based Attack and Defense Modeling: Don't Miss the Forest for the Attack Trees

Barbara Kordy, Ludovic Piètre-Cambacédès+1 more|arXiv (Cornell University)|Mar 29, 2013

Information and Cyber Security参考文献 170被引用 5

一句话总结

本文全面综述了基于有向无环图（DAG）的攻击与防御建模技术，分析了超过30种扩展威胁树和贝叶斯网络的方法。它提出了形式化语言的分类体系，比较了其形式化特性和可用性特征，并识别出统一化与规格化作为关键趋势，主张通过从攻击模式自动生成模型来提升可扩展性与在安全风险评估中的实际应用。

ABSTRACT

This paper presents the current state of the art on attack and defense modeling approaches that are based on directed acyclic graphs (DAGs). DAGs allow for a hierarchical decomposition of complex scenarios into simple, easily understandable and quantifiable actions. Methods based on threat trees and Bayesian networks are two well-known approaches to security modeling. However there exist more than 30 DAG-based methodologies, each having different features and goals. The objective of this survey is to present a complete overview of graphical attack and defense modeling techniques based on DAGs. This consists of summarizing the existing methodologies, comparing their features and proposing a taxonomy of the described formalisms. This article also supports the selection of an adequate modeling technique depending on user requirements.

研究动机与目标

• 提供基于DAG的攻击与防御建模方法的完整概述，包括其形式化特征与可用性特征。
• 比较现有形式化语言，识别其在功能、目标与应用领域方面的关键差异。
• 提出一个分类体系，根据其结构与语义特性对基于DAG的安全建模技术进行分类。
• 根据用户需求与使用场景上下文，支持选择合适的建模技术。
• 识别研究空白，例如从攻击模式自动生成模型，并倡导学术界与工业界安全社区之间更紧密的合作。

提出的方法

• 本综述分析了超过30种源自威胁树与贝叶斯网络的基于DAG的形式化语言，重点关注其对攻击与防御场景的分层分解能力。
• 将方法论分为两大趋势：统一化（具有形式语义的通用模型）与规格化（面向特定应用的领域专用模型）。
• 评估所调研模型在形式基础、量化能力以及对动态、定时与有序动作的支持方面的能力。
• 采用比较框架评估模块化、可扩展性以及对多组件（数字、物理、社会）威胁场景的支持能力。
• 分析包括SHIELDS项目中的SVRS在内的现有工具与代码库，以评估可重用性与标准化潜力。
• 该方法强调实际可用性与理论严谨性，主张将图形模型集成到标准审计与风险评估工具中。

实验结果

研究问题

• RQ1 基于DAG的攻击与防御建模形式化语言在结构、语义与应用范围方面有何差异？
• RQ2 基于DAG的安全建模在发展过程中有哪些关键趋势，特别是统一化与规格化之间的对比？
• RQ3 在多大程度上可以利用可重用模式对现有攻击与防御模型进行标准化或自动组合？
• RQ4 当前基于DAG的模型在可扩展性、形式化分析与工业采纳方面存在哪些局限性？
• RQ5 如何弥合图形化安全建模领域中理论研究与工业实践之间的差距？

主要发现

• 存在超过30种不同的基于DAG的方法，其中威胁树扩展与贝叶斯网络构成了两种主要形式化语言类别。
• 统一化趋势催生了如攻击-防御树与贝叶斯攻击图等理论基础扎实的模型，支持形式化语义与多参数量化。
• 规格化趋势推动了领域专用模型的发展，如入侵DAG与安全活动图，通常由实际需求驱动，但可重用性有限。
• 尽管理论上的可扩展性良好，但由于存在多个入边，基于DAG的分析复杂度可能呈指数级增长，但因无环结构，实际性能仍可接受。
• 重用攻击模式并从模板自动生成模型可显著减少人工工作量，并提升工业应用中的模型准确性。
• 学术研究与工业实践之间仍存在显著差距，通过加强合作并将模型集成到标准风险评估工具中，具有巨大的改进潜力。