[论文解读] Evaluating the Exploitability of Implicit Interactions in Distributed Systems

Jason Jaskolka|arXiv (Cornell University)|Jun 10, 2020

Distributed systems and fault tolerance参考文献 11被引用 4

一句话总结

本文提出了一种系统化方法，利用通信并发Kleene代数（C²KA）评估分布式系统中隐式交互（即非预期或未预见的组件交互）的可利用性。通过分析代理影响与响应，识别出攻击场景，并引入形式化的可利用性度量，实现在系统设计阶段早期检测和缓解网络安全漏洞，原型工具展示了该方法在提升系统弹性与安全性方面的实际可行性。

ABSTRACT

Implicit interactions refer to those interactions among the components of a system that may be unintended and/or unforeseen by the system designers. As such, they represent cybersecurity vulnerabilities that can be exploited to mount cyber-attacks causing serious and destabilizing system effects. In this paper, we study implicit interactions in distributed systems specified using the algebraic modeling framework known as Communicating Concurrent Kleene Algebra (C$^2$KA). To identify and defend against a range of possible attack scenarios, we develop a new measure of exploitability for implicit interactions to aid in evaluating the threat posed by the existence of such vulnerabilities in system designs for launching cyber-attacks. The presented approach is based on the modeling and analysis of the influence and response of the system agents and their C$^2$KA specifications. We also demonstrate the applicability of the proposed approach using a prototype tool that supports the automated analysis. The rigorous, practical techniques presented here enable cybersecurity vulnerabilities in the designs of distributed systems to be more easily identified, assessed, and then mitigated, offering significant improvements to overall system resilience, dependability, and security.

研究动机与目标

• 为解决在评估隐式交互（即未计划的组件关联）是否可在网络攻击中被实际利用方面存在的关键空白。
• 开发一种形式化方法，以确定被攻陷的系统代理如何利用隐式交互来影响其他代理。
• 量化此类交互的可利用性，以支持在系统设计阶段的风险评估与缓解规划。
• 使系统设计者能够通过在开发生命周期早期识别并缓解高风险隐式交互，主动强化安全性和可靠性。
• 通过与C²KA系统规范集成的原型工具，证明自动化分析的可行性。

提出的方法

• 使用通信并发Kleene代数（C²KA）对系统组件及其通信行为进行形式化建模，区分系统行为与环境行为。
• 应用影响与响应分析，以建模被攻陷的代理如何通过隐式交互触发非预期行为。
• 通过识别被攻陷代理利用隐式交互改变系统状态或行为的序列，构建攻击场景。
• 采用基于可能攻击场景数量与复杂度的形式化可利用性度量，反映成功利用的可能性。
• 将分析集成到原型工具中，自动化从C²KA规范生成场景并计算可利用性评分。
• 利用C²KA对消息传递与共享变量通信的建模能力，实现对攻击面的确定性分析。

实验结果

研究问题

• RQ1 被攻陷的系统代理可通过哪些可能方式利用隐式交互来影响分布式系统中其他代理的行为？
• RQ2 如何形式化度量隐式交互的可利用性，以评估其对系统安全性和可靠性的威胁水平？
• RQ3 所提出的方法在复杂分布式系统中，能在多大程度上识别并分析现实的攻击场景？
• RQ4 该原型工具在自动化检测和分析现实系统设计中可利用性方面有多高效？
• RQ5 所提出的方法能否指导系统设计者通过设计修改或控制机制来缓解隐式交互漏洞？

主要发现

• 所提出的方法成功识别出多个真实攻击场景，表明被攻陷的代理可利用隐式交互影响系统行为，证明了该方法的实际相关性。
• 可利用性度量为按威胁等级对隐式交互进行排序提供了量化依据，支持对缓解工作的优先级排序。
• 原型工具能够自动化分析C²KA规范，证实该方法可应用于中等规模与复杂度的系统。
• 使用C²KA可精确建模消息传递与共享内存通信，支持全面的攻击场景生成。
• 该方法可在系统设计阶段实现网络安全漏洞的早期检测，支持构建更具弹性与安全性的分布式系统。
• 尽管本文未评估攻击的全部影响，但为未来基于仿真的影响分析奠定了基础，可用于评估被利用的隐式交互在现实世界中的后果。