[论文解读] Exact Inference Techniques for the Analysis of Bayesian Attack Graphs

Luis Muñoz-González, Daniele Sgandurra+2 more|arXiv (Cornell University)|Oct 8, 2015

Software Reliability and Analysis Research被引用 1

一句话总结

本文提出高效的精确推理技术——具体为联结树（Junction Tree, JT）和信念传播（Belief Propagation, BP）算法——用于贝叶斯攻击图（Bayesian Attack Graphs, BAGs），实现了网络中可扩展的静态与动态风险评估。实验表明，JT在时间和内存使用方面显著优于变量消去法（Variable Elimination, VE），使得对包含数百个节点的大规模企业网络的BAG分析成为可能。

ABSTRACT

Attack graphs are a powerful tool for security risk assessment by analysing network vulnerabilities and the paths attackers can use to compromise network resources. The uncertainty about the attacker's behaviour makes Bayesian networks suitable to model attack graphs to perform static and dynamic analysis. Previous approaches have focused on the formalization of attack graphs into a Bayesian model rather than proposing mechanisms for their analysis. In this paper we propose to use efficient algorithms to make exact inference in Bayesian attack graphs, enabling the static and dynamic network risk assessments. To support the validity of our approach we have performed an extensive experimental evaluation on synthetic Bayesian attack graphs with different topologies, showing the computational advantages in terms of time and memory use of the proposed techniques when compared to existing approaches.

研究动机与目标

• 为解决现有贝叶斯攻击图（BAG）模型中缺乏高效推理算法的问题，该问题限制了其在真实网络规模下的可扩展性。
• 通过在证据下计算节点被 compromise 的精确边缘概率，实现静态与动态风险评估。
• 克服先前模型的局限性，例如在攻击者能力上引入先验分布所带来的负面影响。
• 在合成攻击图上，以时间和内存使用为指标，评估推理技术的计算性能。
• 证明将精确推理应用于代表企业网络的大规模BAG的可行性。

提出的方法

• 提出一种改进的贝叶斯攻击图（BAG）模型，避免在攻击者能力上引入先验分布，从而提升模型的可解释性与可扩展性。
• 采用联结树（JT）算法对一般攻击图进行精确推理，利用图聚类技术降低计算复杂度。
• 对树状结构子图（如攻击树）应用信念传播（BP）进行精确推理。
• 引入条件概率表，将入侵检测系统（IDS）的不确定性纳入其中，使用错误概率（pe）来建模误报与漏报。
• 通过增加具有可调利用概率的独立父节点，将模型扩展以支持零日漏洞与内部威胁。
• 使用具有不同拓扑结构的合成攻击图评估推理性能，在受控条件下对比JT与VE算法的表现。

实验结果

研究问题

• RQ1 能否将高效的精确推理算法应用于贝叶斯攻击图，以支持可扩展的静态与动态风险评估？
• RQ2 在大规模BAG上，JT与VE的计算时间与内存需求如何比较？
• RQ3 网络聚类在多大程度上提升了使用JT算法进行动态分析的可处理性？
• RQ4 如何在BAG的条件概率表中形式化建模来自IDS警报的不确定性？
• RQ5 现有推理技术（如变量消去法）在真实网络场景下的实际局限性是什么？

主要发现

• 联结树（JT）算法可在包含数百个节点的贝叶斯攻击图上实现精确推理，使其适用于大规模企业网络。
• 实验评估显示，JT在时间和内存使用方面均显著优于变量消去法（VE），性能提升明显。
• 网络聚类使得动态分析的计算复杂度与节点数量呈线性关系，显著提升了在持续攻击期间的响应速度。
• 所提出的BAG模型避免了在攻击者能力上引入先验分布所带来的负面影响，提升了模型的鲁棒性与可解释性。
• 通过引入错误概率参数（pe）来建模IDS不确定性，增强了模型的真实性，同时未牺牲计算效率。
• 实验评估证实，JT在实时动态分析中具有计算可行性，而VE在处理大规模图时变得不可行。