[论文解读] Simulated Penetration Testing and Mitigation Analysis.

Michael Backes, Jörg Hoffmann+3 more|arXiv (Cornell University)|May 15, 2017

Information and Cyber Security参考文献 43被引用 14

一句话总结

本文提出了一种模拟渗透测试框架，通过在可配置的网络模型上建模攻击，实现对大规模网络中缓解策略的系统性、假设性分析。它利用自动化攻击发现与优化技术，识别出能将最大攻击成功率最小化的最优缓解组合，提供了一种超越临时做法的理论基础明确的安全缓解方法。

ABSTRACT

Penetration testing is a well-established practical concept for the identification of potentially exploitable security weaknesses and an important component of a security audit. Providing a holistic security assessment for networks consisting of several hundreds hosts is hardly feasible though without some sort of mechanization. Mitigation, prioritizing counter- measures subject to a given budget, currently lacks a solid theoretical understanding and is hence more art than science. In this work, we propose the first approach for conduct- ing comprehensive what-if analyses in order to reason about mitigation in a conceptually well-founded manner. To evaluate and compare mitigation strategies, we use simulated penetration testing, i.e., automated attack-finding, based on a network model to which a subset of a given set of mitigation actions, e.g., changes to the network topology, system updates, configuration changes etc. is applied. We determine optimal combinations that minimize the maximal attacker success (similar to a Stackelberg game), and thus provide a well-founded basis for a holistic mitigation strategy. We show that these what-if analysis models can largely be derived from network scan, public vulnerability databases and manual inspection with various degrees of automation and detail, and we simulate mitigation analysis on networks of different size and vulnerability.

研究动机与目标

• 为解决当前网络缓解规划缺乏理论基础、更多依赖直觉而非系统分析的问题。
• 在拥有数百台主机的大型复杂网络中，实现缓解策略的全面假设性分析。
• 开发一种机制化方法，识别出能将最大潜在攻击成功率最小化的最优缓解组合。
• 将网络扫描数据、公开漏洞数据库和人工检查结果整合到统一的仿真框架中，实现逼真的攻击建模。
• 为安全团队提供决策支持系统，以在预算和资源限制下优先选择应对措施。

提出的方法

• 该方法将网络建模为从网络扫描、漏洞数据库和人工配置输入中生成的可配置攻击图。
• 通过系统性地探索模型网络中的利用路径，模拟自动化渗透测试。
• 将缓解措施（如拓扑变更、系统更新和配置加固）作为对网络模型的受控修改来应用。
• 通过优化过程识别出能将最大攻击成功率最小化的缓解动作最优子集，该过程以Stackelberg博弈为模型。
• 仿真支持不同自动化程度和细节水平，从基于扫描的简单模型到高度详细的手动配置。
• 通过在不同规模和漏洞特征的网络上评估缓解策略，评估框架的可扩展性和有效性。

实验结果

研究问题

• RQ1 在不进行人工测试的情况下，如何在大规模网络中系统性地评估和比较缓解策略？
• RQ2 在何种组合下，缓解措施能将网络中最大攻击成功率降至最低？
• RQ3 在大型环境中，自动化仿真在多大程度上可以替代或补充传统渗透测试？
• RQ4 不同级别的模型保真度（例如基于扫描的模型与人工增强的模型）如何影响缓解分析的准确性和实用性？
• RQ5 像Stackelberg均衡这样的博弈论方法能否有效应用于建模网络缓解中的攻防互动？

主要发现

• 所提出的仿真框架能够在不同规模和复杂度的网络中实现可扩展且可重复的缓解策略分析。
• 识别出的最优缓解组合显著降低了最大攻击成功率，证明了系统化方法的价值。
• 整合网络扫描、漏洞数据库和人工检查支持灵活且逐步细化的建模，且自动化程度可调。
• 该方法通过提供优先级明确、数据驱动的依据，支持实际决策，帮助在预算约束下选择应对措施。
• 该框架通过自动化利用路径发现建模攻击者行为，能够对缓解场景进行稳健的假设性分析。
• 仿真结果表明，即使模型细节程度适中，也能产生可操作且有效的缓解建议。