[论文解读] Quantitative Questions on Attack-Defense Trees

Barbara Kordy, Sjouke Mauw+1 more|arXiv (Cornell University)|Oct 30, 2012

Information and Cyber Security参考文献 24被引用 8

一句话总结

本文通过定义一种系统化方法，将攻击-防御树中模糊的、现实世界的安全问题转化为明确的属性域，弥合了直观安全问题与形式化定量分析之间的鸿沟。它将定量问题分类为三类——针对单一参与方、双方相互依赖的结果，或第三方影响，并提供构建相应形式化模型的模板，支持通过自下而上的算法实现精确、自动化的评估，该方法可扩展至传统攻击树。

ABSTRACT

Attack-defense trees are a novel methodology for graphical security modeling and assessment. The methodology includes visual, intuitive tree models whose analysis is supported by a rigorous mathematical formalism. Both, the intuitive and the formal components of the approach can be used for quantitative analysis of attack-defense scenarios. In practice, we use intuitive questions to ask about aspects of scenarios we are interested in. Formally, a computational procedure, defined with the help of attribute domains and a bottom-up algorithm, is applied to derive the corresponding numerical values. This paper bridges the gap between the intuitive and the formal way of quantitatively assessing attack-defense scenarios. We discuss how to properly specify a question, so that it can be answered unambiguously. Given a well specified question, we then show how to derive an appropriate attribute domain which constitutes the corresponding formal model. Since any attack tree is in particular an attack-defense tree, our analysis is also an advancement of the attack tree methodology.

研究动机与目标

• 解决实际应用中用于攻击-防御场景的直观安全问题中的模糊性。
• 建立一个严谨、形式化的框架，将直观问题映射到可计算的属性域，以支持定量分析。
• 对三种不同类型的定量问题进行分类并系统化建模：针对单一参与方、双方相互依赖、以及涉及第三方的问题。
• 将该方法扩展至传统攻击树，因为它们是攻击-防御树的一个子集。
• 通过原型工具（ADTool）支持自动化、可靠的攻击-防御场景评估。

提出的方法

• 将直观问题划分为三类：(1) 聚焦于单一参与方，(2) 双方答案相互依赖，(3) 涉及外部第三方。
• 使用代数结构 (D, ◦, •) 定义正式的属性域，其中包含用于模态（如最大值、最小值、求和）和执行方式（如顺序、并行）的操作。
• 使用递归的自下而上算法，基于定义的属性域计算攻击-防御树表达式中的数值。
• 根据问题类别、模态和执行方式，构建属性域的模板，以实现一致的形式化。
• 通过移除防御者特有操作符，将形式化方法适配至标准攻击树，保持兼容性。
• 在 ADTool 中实现该框架，该原型工具支持图形化 ADTree 与形式化 ADTerms 的实时同步，并支持属性评估。

实验结果

研究问题

• RQ1 如何对直观的、非形式化的安全问题进行形式化指定，以确保在攻击-防御树分析中实现无歧义的解释？
• RQ2 攻击-防御树中的定量问题具有哪些不同的结构与语义类别，以及如何系统化地建模？
• RQ3 如何构建属性域，以支持对攻击-防御树场景的自动化、自下而上的评估？
• RQ4 鉴于传统攻击树是攻击-防御树的一个子集，该形式化方法在多大程度上可应用于传统攻击树？
• RQ5 软件工具如何支持在真实世界安全评估中，将直观建模与形式化定量评估相结合？

主要发现

• 本文成功将定量问题划分为三类，每类均需采用不同的形式化建模方法，以确保正确性与无歧义性。
• 在能效消耗建模中，属性域 Aergmax = (R, max, +, max, +, +, +) 正确计算出给定场景下的最大能耗为 40kWh。
• 该方法通过将攻击树的属性域简化为 (Dα, ∨pα, ∧pα)，实现了对攻击树的形式化评估，与先前的形式化方法保持一致，并扩展了其可用性。
• ADTool 原型支持图形化 ADTree 与形式化 ADTerms 的实时同步，实现交互式、自动化的属性评估。
• 该框架可通过选择适当的运算（如使用 max 表示最坏情况，使用 sum 表示累计成本），实现对复杂权衡（如能耗与时间）的一致建模。
• 该方法确保诸如“保护服务器的最低成本是多少？”或“场景中最大能耗是多少？”等问题能够被无歧义且算法化地回答。