[论文解读] Pandora: A Cyber Range Environment for the Safe Testing and Deployment of Autonomous Cyber Attack Tools

Hetong Jiang, Taejun Choi+1 more|arXiv (Cornell University)|Sep 24, 2020

Information and Cyber Security参考文献 30被引用 4

一句话总结

Pandora 是一个安全的网络靶场环境，通过与生产基础设施故意不兼容，将自主网络攻击工具与真实企业系统隔离，从而安全地测试和部署这些工具。该系统通过二进制转换实现自动化工具验证，并通过与恶意代码的兼容性测试证明其对意外传播的抗性。

ABSTRACT

Cybersecurity tools are increasingly automated with artificial intelligent (AI) capabilities to match the exponential scale of attacks, compensate for the relatively slower rate of training new cybersecurity talents, and improve of the accuracy and performance of both tools and users. However, the safe and appropriate usage of autonomous cyber attack tools - especially at the development stages for these tools - is still largely an unaddressed gap. Our survey of current literature and tools showed that most of the existing cyber range designs are mostly using manual tools and have not considered augmenting automated tools or the potential security issues caused by the tools. In other words, there is still room for a novel cyber range design which allow security researchers to safely deploy autonomous tools and perform automated tool testing if needed. In this paper, we introduce Pandora, a safe testing environment which allows security researchers and cyber range users to perform experiments on automated cyber attack tools that may have strong potential of usage and at the same time, a strong potential for risks. Unlike existing testbeds and cyber ranges which have direct compatibility with enterprise computer systems and the potential for risk propagation across the enterprise network, our test system is intentionally designed to be incompatible with enterprise real-world computing systems to reduce the risk of attack propagation into actual infrastructure. Our design also provides a tool to convert in-development automated cyber attack tools into to executable test binaries for validation and usage realistic enterprise system environments if required. Our experiments tested automated attack tools on our proposed system to validate the usability of our proposed environment. Our experiments also proved the safety of our environment by compatibility testing using simple malicious code.

研究动机与目标

• 解决自主网络攻击工具在开发过程中缺乏安全测试环境的问题。
• 通过将测试环境与生产系统隔离，降低攻击传播至真实企业网络的风险。
• 提供一个框架，支持将正在开发的攻击工具转换为可执行的测试二进制文件，以实现真实感模拟。
• 使研究人员能够在受控且安全的环境中验证自动化工具，同时保持与企业级系统的兼容性。

提出的方法

• 设计一个与现实世界企业系统故意不兼容的网络靶场环境，以防止意外的网络传播。
• 实现一个工具链，将正在开发的自主攻击工具转换为可在Pandora环境中部署的可执行测试二进制文件。
• 使用沙箱虚拟化和网络隔离技术，确保所有攻击模拟均被限制在测试环境中。
• 通过与已知恶意代码的兼容性测试，验证系统安全地包含和分析威胁的能力。
• 集成对AI驱动工具的支持，以在受控环境中实现对自动化网络攻击的真实感模拟。
• 通过实验验证系统，证明其在受控条件下兼具可用性与安全性。

实验结果

研究问题

• RQ1 如何在不危及现实世界基础设施的前提下，安全地测试自主网络攻击工具的开发过程？
• RQ2 哪些架构设计模式能够在保持真实感模拟保真度的同时，实现自动化攻击工具与生产网络的隔离？
• RQ3 网络靶场环境能否有效包含并分析恶意代码，而不会导致其传播超出测试边界？
• RQ4 需要哪些机制才能将正在开发的攻击工具转换为可在安全模拟环境中使用的可执行测试二进制文件？
• RQ5 与现有网络靶场相比，所提出的系统在安全性、可用性以及与企业级系统兼容性方面表现如何？

主要发现

• Pandora 成功地将所有攻击模拟限制在测试环境中，防止其传播至外部或真实世界系统。
• 系统在测试过程中表现出与已知恶意代码的兼容性，证实其能够安全地包含和分析威胁。
• 将正在开发的攻击工具转换为可执行测试二进制文件的工具链在实验验证中证明有效且功能正常。
• 实验结果表明，该环境能够支持对自动化网络攻击的真实感模拟，同时保持强大的安全边界。
• 该设计有效降低了在自主网络攻击工具开发与测试过程中发生意外后果的风险。
• Pandora 为现有网络靶场提供了一种可行且安全的替代方案，尤其适用于缺乏针对AI驱动工具的强隔离与安全机制的场景。