[论文解读] Is my attack tree correct? Extended version

Maxime Audinot, Sophie Pinchinat+1 more|arXiv (Cornell University)|Jun 26, 2017

Information and Cyber Security参考文献 16被引用 3

一句话总结

本文提出了一种基于状态的正式框架，用于验证攻击树相对于系统转换模型的正确性。通过在系统状态上定义节点标签（包含前置条件和后置条件），该框架确立了正确性属性——Meet、Under-Match、Over-Match 和 Match，并分析了其计算复杂度，从而支持在安全分析中验证攻击树的一致性和质量。

ABSTRACT

Attack trees are a popular way to represent and evaluate potential security threats on systems or infrastructures. The goal of this work is to provide a framework allowing to express and check whether an attack tree is consistent with the analyzed system. We model real systems using transition systems and introduce attack trees with formally specified node labels. We formulate the correctness properties of an attack tree with respect to a system and study the complexity of the corresponding decision problems. The proposed framework can be used in practice to assist security experts in manual creation of attack trees and enhance development of tools for automated generation of attack trees.

研究动机与目标

• 解决手动创建的攻击树缺乏正式验证的问题，这些攻击树可能因系统知识不完整或节点标签模糊而存在不一致或不精确的情况。
• 为自动化和半自动化攻击树生成工具提供形式化基础，确保生成的攻击树相对于所建模的系统是正确的。
• 通过引入基于系统转换系统的状态驱动方法，克服基于文本、以动作为中心的攻击树模型的局限性。
• 定义并分析正确性属性（Meet、Under-Match、Over-Match、Match），以评估攻击树在特定系统中对给定目标的细化精确度。
• 确定验证这些正确性属性的计算复杂度，以指导安全工具中的实际实现。

提出的方法

• 将真实系统建模为有限转换系统，其中状态表示系统配置，转换表示状态变化。
• 通过由前置条件（初始状态集合）和后置条件（目标状态集合）组成的形式化标签来定义攻击树节点，实现精确的语义解释。
• 引入四种正确性属性：Meet（细化覆盖目标）、Under-Match（细化精确）、Over-Match（细化过宽）和 Match（完全细化）。
• 使用基于路径的推理形式化攻击树运算符（AND、OR、顺序）的语义，其中 AND 的细化由于路径组合的复杂性而最为复杂。
• 使用模型检测技术验证攻击树细化是否满足相对于系统模型所定义的正确性属性。
• 分析每种正确性属性的决策问题的计算复杂度，识别合取（AND）细化为主要的复杂性来源。

实验结果

研究问题

• RQ1 如何形式化定义攻击树节点，以确保语义精确性并避免自然语言标签带来的歧义？
• RQ2 哪些形式化正确性属性是验证攻击树是否准确表示特定系统中威胁目标的必要且充分条件？
• RQ3 验证这些正确性属性的计算复杂度是多少，特别是针对不同攻击树运算符而言？
• RQ4 状态驱动方法在多大程度上能提升攻击树与形式化验证及模型检测技术的集成？
• RQ5 该框架在多大程度上能支持生成保证相对于系统模型正确的自动化或半自动化攻击树？

主要发现

• Meet 属性是正确攻击树的最低要求，确保目标的细化至少在语义上相对于系统是有效的。
• 验证正确性属性的复杂度在 AND（合取）细化中最高，因为需要分析转换系统中路径组合的组合性。
• 析取（OR）和顺序细化在计算上比合取细化更简单，因为它们涉及路径拼接而非并行分解。
• 该框架能够在未显式提供时，通过计算目标状态集合的前驱，自动推导初始状态（前置条件）。
• 通过引入时序逻辑（如 LTL）扩展原子目标以表达不变性或依赖历史的属性，会增加验证复杂度，可能达到 PSPACE-完全，具体取决于公式的表达能力。
• 该框架正在集成到 ATSyRA 工具中，以支持生成语义正确的攻击树，目前正在进行实际验证。