Integrating Network and Attack Graphs for Service-Centric Impact Analysis

Technisches Fazit: Integration von Netzwerk- und Angriffsgraphen für eine servicezentrierte Wirkungsanalyse

Problemstellung
Herkömmliche Methoden zur Analyse von Cyberangriffen arbeiten häufig isoliert und konzentrieren sich entweder auf Angriffswege (Angriffsgraphen) oder die Netzwerktopologie, ohne deren gegenseitige Abhängigkeit effektiv zu erfassen. Bestehende Ansätze haben Schwierigkeiten, zu quantifizieren, wie sich Angriffe über vernetzte Dienste ausbreiten, oder die kumulative Wirkung von Schwachstellen auf nutzerorientierte Funktionen zu messen. Zwar existieren probabilistische Modelle zur Schätzung des Angreifererfolgs und Metriken zur Netzwerkkonnektivität zur Bewertung der Resilienz, doch wenige Rahmenwerke integrieren diese Perspektiven, um eine servicezentrierte Risikobetrachtung zu ermöglichen. Diese Lücke schränkt die Fähigkeit von Sicherheitsplanern ein, kritische Knoten und Schwachstellen zu identifizieren, die in komplexen, mehrschichtigen Unternehmensumgebungen die Angriffsresultate maßgeblich beeinflussen.

Methodik
Die Autoren schlagen ein neuartiges probabilistisches Multilayer-Modellierungsframework vor, das Angriffsgraphen mit der Topologie des Kommunikationsnetzwerks integriert. Der Kern der Methodik umfasst:

1. Graphkonstruktion:

   • Angriffsgraph: Wird als gerichteter azyklischer Graph (DAG) dargestellt, wobei Knoten Angriffszustände (z. B. Privilegienstufen, Dateimodifikationen) bezeichnen und gerichtete Kanten Ausnutzungen (Exploits) repräsentieren. Kantengewichte ($p_E$) geben die Wahrscheinlichkeit an, eine Schwachstelle auszunutzen, abgeleitet aus Standardmetriken wie CVSS-Ausnutzbarkeitswerten.
   • Netzwerkgraph: Repräsentiert die Kommunikationsinfrastruktur, wobei Knoten Netzwerkkomponenten oder Server und Kanten Kommunikationsverbindungen darstellen. Kantengewichte ($w_n$) bezeichnen die Wahrscheinlichkeit einer erfolgreichen Kommunikation oder Angriffsausbreitung zwischen den Knoten.
   • Integration: Die beiden Graphen werden kombiniert, indem Angriffszustände nach den betroffenen Diensten gruppiert und diese Gruppen spezifischen Netzwerkknoten zugeordnet werden. Start- und Endzustände des Angriffs werden über gerichtete Verbindungen mit einem Gewicht von 1,0 mit den relevanten Netzwerkknoten verknüpft.

2. Probabilistische Berechnung:

   • Das Framework berechnet die kombinierte Wahrscheinlichkeit eines erfolgreichen Angriffsschritts ($p(i, j)$) als Produkt der Konnektivitätswahrscheinlichkeit auf Netzwerkebene ($p_N$) und der Ausnutzbarkeit der Schwachstelle ($p_E$): $p(i, j) = p_N(i, j) \times p_E(i, j)$.
   • $p_N$ wird unter Verwendung eines Simple Contagion Algorithmus berechnet, der alle sich nicht schneidenden Pfade zwischen Netzwerkknoten berücksichtigt.
   • Die Wahrscheinlichkeit, einen bestimmten Zustand zu erreichen ($P(i)$), wird unter der Annahme unabhängiger Angriffswege berechnet, unter Verwendung der Formel $P(i) = 1 - \prod_{j \in A} [1 - P(j, i)]$, wobei $A$ die Menge der vorhergehenden Zustände ist.

3. Wirkungsmetriken:
   Die Studie führt mehrere quantitative Metriken ein, um das Risiko auf verschiedenen Ebenen zu bewerten:

   • Erwartete kumulative Wirkung ($CE[I_i]$): Die Summe der erwarteten Wirkungen aller Schwachstellen auf den Pfaden, die zu einem bestimmten Zustand führen.
   • Knotenspezifische Wirkung ($CNODE$): Die Summe der erwarteten Wirkungen von Schwachstellen, die einen spezifischen Dienst/Knoten betreffen, unabhängig von vorheriger Angriffsausbreitung.
   • Kumulative eingehende Wirkung ($CIN$): Die Wirkung, die sich bis zu dem Zeitpunkt akkumuliert, an dem ein Angriff Fuß in einem Dienst fasst.
   • Kumulative ausgehende Wirkung ($COUT$): Die Gesamtwirkung, wenn ein Dienst als Sprungbrett genutzt wird, um weitere Ziele zu erreichen oder das Angriffsziel zu erreichen.

Fallstudie und Ergebnisse
Die Methodik wurde anhand einer realistischen Fallstudie validiert, die eine auf Glasfaser basierende Unternehmensnetzwerktopologie und einen Angriffsgraphen beinhaltete, der aus einem Multi-Cloud-Unternehmensszenario abgeleitet wurde.

• Initiale Analyse: Unter der Annahme, dass Netzwerkverbindungen vollständig zuverlässig sind ($w_n = 1.0$), identifizierte die Analyse Knoten 2 (VM-Gruppen) als den Knoten mit der höchsten knotenspezifischen Wirkung aufgrund seiner großen Angriffsfläche, trotz einiger weniger ausnutzbarer Schwachstellen. Knoten 7 (Admin-Server) zeigte eine hohe eingehende und ausgehende Wirkung, was darauf hindeutet, dass er ein kritischer Transitpunkt für Angriffe mit hoher Wirkung ist, selbst wenn seine direkte Anzahl an Schwachstellen geringer ist.
• Schwachstellenminderung: Die Simulation des Entfernens einzelner Schwachstellen ergab, dass die Behebung von Eintrittspunkt-Schwachstellen (z. B. DIRECT-ACCESS) und jenen, die früh in Angriffs Pfaden auftreten (z. B. CVE-2009-1535), die größte Reduktion der kumulativen Wirkung erzielte. Schwachstellen mit hoher Wirkung, aber geringer Ausnutzbarkeit oder solche, die spät in der Angriffssequenz auftreten, hatten weniger Einfluss auf das Gesamtergebnis.
• Knotenüberwachung: Die Simulation einer verstärkten Überwachung (Reduzierung der Ausnutzbarkeit um 80 %) zeigte, dass die Sicherung von Eintrittsknoten (Knoten 1, 4, 6, 8) die Wahrscheinlichkeit einer tiefen Netzwerkpeneretration signifikant reduzierte. Die Überwachung von Knoten 2 war jedoch ebenfalls hochwirksam aufgrund der großen Anzahl von Angriffspfaden, die ihn durchqueren.
• Variation der Netzwerklink-Gewichte: Wenn die Netzwerklink-Gewichte ($w_n$) reduziert wurden, um strengere Netzwerküberwachung oder geringere Konnektivität zu simulieren, nahm die Bedeutung von Schwachstellen in frühen Phasen zu. Das Modell zeigte, dass in Umgebungen mit geringen Wahrscheinlichkeiten für laterale Bewegung die Minderung von Eintrittspunkten die effektivste Strategie wird, während die Bedeutung von Schwachstellen tief im Netzwerk (z. B. auf Knoten 3) rapide abnimmt, sobald die Wahrscheinlichkeit, sie zu erreichen, sinkt.

Hauptbeiträge und Bedeutung
Die Autoren beanspruchen folgende Beiträge:

1. Integriertes Framework: Es bietet einen kohärenten, servicezentrierten Modellierungsansatz, der die Dynamik der Angriffsausbreitung mit Konnektivitätswahrscheinlichkeiten im Netzwerk kombiniert und damit die Einschränkung adressiert, diese Faktoren isoliert zu analysieren.
2. Quantitative servicebezogene Metriken: Die Einführung der Metriken $CIN$, $COUT$ und $CNODE$ ermöglicht die Quantifizierung sowohl der Wirkung eingehender Angriffe auf einen Dienst als auch des Potenzials dieses Dienstes, Angriffe auf andere Teile des Systems zu übertragen.
3. Handlungsorientierte Erkenntnisse zur Minderung: Die Studie zeigt, dass das Framework kritische Knoten und Schwachstellen identifizieren kann, die beim alleinigen Betrachten von Angriffsgraphen oder Netzwerktopologien nicht unmittelbar offensichtlich sind. Beispielsweise wird hervorgehoben, dass ein Knoten mit kleiner Angriffsfläche, aber hoher Konnektivität zu kritischen Assets (wie Knoten 7), priorisierte Überwachung erfordert.
4. Szenarioanalyse: Das Modell bewertet effektiv, wie verschiedene Verteidigungsstrategien (z. B. Patchen spezifischer Schwachstellen gegenüber verstärkter netzwerkweiter Überwachung) das Risikolandschaft verändern, und zeigt, dass die optimale Minderungsstrategie von der Zuverlässigkeit des zugrunde liegenden Netzwerks abhängt.

Die Autoren schließen, dass dieser Ansatz die Analyse von Cyberangriffen in komplexen vernetzten Umgebungen voranbringt, indem er eine handlungsorientiertere Sichtweise für die Risikobewertung und Minderungsplanung bietet, insbesondere in Szenarien, in denen das Verständnis des Zusammenspiels zwischen Dienstabhängigkeiten und Netzwerktopologie entscheidend ist.