[论文解读] Heuristic Approach Towards Countermeasure Selection using Attack Graphs

Orly Stan, Ron Bitton+7 more|arXiv (Cornell University)|Jun 26, 2019

Information and Cyber Security参考文献 18被引用 4

一句话总结

本文提出一种基于启发式A*的优化方法，利用扩展攻击图来建模网络拓扑、漏洞依赖条件、横向移动及攻击者目标，实现最优缓解措施选择。通过避免重复生成攻击图，该方法高效识别出在预算约束下最小化残余风险的高性价比缓解措施方案，相较于仅依赖CVSS的方法，在实用性和准确性方面表现更优。

ABSTRACT

Selecting the optimal set of countermeasures is a challenging task that involves various considerations and tradeoffs such as prioritizing the risks to mitigate and costs. The vast majority of studies for selecting a countermeasure deployment are based on a limited risk assessment procedure that utilizes the common vulnerability scoring system (CVSS). Such a risk assessment procedure does not necessarily consider the prerequisites and exploitability of a specific asset, cannot distinguish insider from outsider threat actor, and does not express the consequences of exploiting a vulnerability as well as the attacker's lateral movements. Other studies applied a more extensive risk assessment procedure that relies on manual work and repeated assessment. These solutions however, do not consider the network topology and do not specify the optimal position for deploying the countermeasures, and therefore are less practical. In this paper we suggest a heuristic search approach for selecting the optimal countermeasure deployment under a given budget limitation. The proposed method expresses the risk of the system using an extended attack graph modeling, which considers the prerequisites and consequences of exploiting a vulnerability, examines the attacker's potential lateral movements, and express the physical network topology as well as vulnerabilities in network protocols. In addition, unlike previous studies which utilizes attack graph for countermeasure planning, the proposed methods does not require re-generating the attack graph at each stage of the procedure, which is computationally heavy, and therefore it provides a more accurate and practical countermeasure deployment planning process.

研究动机与目标

• 解决基于CVSS的缓解措施选择方法的局限性，后者忽略了网络拓扑、攻击者横向移动及威胁行为者类型的影响。
• 克服传统基于攻击图的规划中在每一步重复生成攻击图所导致的计算效率低下问题。
• 开发一种自动化、可扩展的方法，用于在预算约束下推荐最优部署位置与成本效益的缓解措施。
• 将网络拓扑、漏洞依赖关系及攻击者行为整合到统一的风险评估中，以实现更精确的缓解措施规划。
• 为安全团队提供一种实用且可重复的框架，用于优先部署并实施能早期有效阻断攻击路径的缓解措施。

提出的方法

• 构建一个扩展攻击图，用于建模网络拓扑、漏洞依赖条件、后果及攻击者的潜在横向移动路径。
• 将缓解措施选择问题转化为图路径查找任务，其中节点代表系统状态，边代表缓解措施的部署。
• 应用A*启发式搜索算法，寻找在给定预算下最小化残余风险的近似最优方案。
• 使用结合采购、运营、培训及人力成本的代价模型，对每项缓解措施进行加权，权重基于其影响（如CVSS评分）。
• 集成策略约束，排除可能阻断合法服务的缓解措施，确保方案的实际可行性。
• 通过重用初始攻击图，避免在每一步重复计算攻击图，显著降低计算开销。

实验结果

研究问题

• RQ1 如何通过引入网络拓扑和攻击者行为，超越CVSS评分，来改进缓解措施的选择？
• RQ2 像A*这样的启发式搜索方法是否能高效生成近似最优的缓解措施方案，而无需在每一步重复生成攻击图？
• RQ3 与内部主机加固相比，即使内部漏洞更严重，将缓解措施部署在DMZ主机上在多大程度上能降低整体系统风险？
• RQ4 引入攻击者横向移动和前置条件后，对最优缓解措施的选择会产生何种影响？
• RQ5 该方法能否为同一攻击路径生成冗余或多个缓解措施建议，以增强系统弹性？

主要发现

• 所提出的方法生成的缓解措施方案显著优于基于CVSS的选择方法，尤其在早期阶段（如DMZ被利用）即能有效阻断攻击路径，即使内部漏洞更严重。
• 通过避免重复生成攻击图，该方法在保持高风险评估精度的同时，实现了显著的计算性能提升。
• 该方法成功识别出：尽管单个CVSS评分较低，但保护DMZ主机可彻底消除通往内部资产的攻击路径，因此在预算约束下应作为更高优先级目标。
• 系统建议在特定网络位置（如DMZ中的主机）部署缓解措施，这是对仅对漏洞进行排序的方法的重要实际改进。
• 当预算允许时，生成的方案具有冗余性，即为同一攻击路径建议多个缓解措施，从而增强系统弹性。
• 该方法能有效处理非CVE漏洞（如未加密的Telnet），通过赋予专家可评分的严重性（如CVSS 10），展示了超越标准评分体系的灵活性。