i-EXAM: Instructable and Explainable Attack Connectivity Graph Modeler

Technisches Resümee von i-EXAM: Instructable and Explainable Attack Connectivity Graph Modeler

Problemstellung
Die Sicherung und Verwaltung großer Netzwerke ist von Natur aus herausfordernd, da eine einzige Änderung an einer Netzwerkkomponente die gesamte Sicherheitslage und Resilienz drastisch verändern kann. Traditionelle Ansätze haben oft Schwierigkeiten, gleichzeitig über Angriffsvektoren und Netzwerkfunktionalitäten zu urteilen. Während das SPEAR-Framework zuvor vorgeschlagen hat, einen Attack Connectivity Graph (ACG) – einen Hypergraphen, der in ein PDDL-Planungsproblem kompiliert wurde – zu verwenden, um die Auswirkungen von Angriffen zu identifizieren, besteht weiterhin der Bedarf an einem interaktiven, zugänglichen Werkzeug, das es Systemadministratoren (Sysadmins) ermöglicht, diese komplexen Beziehungen zu visualisieren, „Was-wäre-wenn“-Analysen durchzuführen und die Begründung hinter Sicherheitsstrategien zur Härtung zu verstehen, ohne Expertenwissen in automatisierten Planungssystemen zu benötigen.

Methodik
i-EXAM ist ein interaktives Werkzeug, das auf dem SPEAR-Framework aufbaut und modernste KI-Planer mit Large Language Models (LLMs) integriert, um Netzwerksicherheit zu modellieren, zu analysieren und zu erklären. Die Methodik verläuft durch vier primäre Phasen:

1. Datenerfassung und Modellkonstruktion:
   i-EXAM automatisiert die Erstellung von Planungsmodellen durch die Erfassung von System- und Netzwerkeigenschaften (Software, Versionen, Ports, Protokolle, IPs) mittels Werkzeugen wie Nmap, Wazuh und dokumentierten Daten. Es ruft aktuelle Schwachstelleninformationen (CVE) aus externen Datenbanken (NVD, ExploitDB) über Scanner wie OpenVAS ab. Diese Daten werden in JSON strukturiert und in einen PDDD-Generator eingespeist, um automatisch Planungsmodelle zu konstruieren. Die zugrunde liegende Formalisierung kompiliert den ACG in ein Planungsmodell ($M_G$), wobei Fluente Paare aus Host-Attributen repräsentieren, Aktionen Angriffs-/Konnektivitätskanten darstellen und Zielattribute als Ziele dienen.

2. Visualisierung und Analyse:
   Das Werkzeug stellt das Netzwerk als Graphen dar, in dem Knoten Hosts und die damit verbundenen Schwachstellen repräsentieren und Kanten Verbindungen darstellen. Es unterstützt eine mehrstufige Abstraktion, die es Benutzern ermöglicht, auf Knoten zu klicken, um detaillierte Metadaten (CVSS-Scores, Dateipfade usw.) einzusehen. i-EXAM nutzt einen Top-k-Planner, um mehrere potenzielle Angriffspfade zu einem Ziel zu visualisieren.
   Das System konzentriert sich auf zwei spezifische Sicherheitsmetriken, die aus dem ACG abgeleitet werden:

• Impenetrabilitäts-Metrik ($M_1$): Ein binärer Indikator ($F^I_A(E_A) = 1$), der bestimmt, ob ein gültiger Angriffspfad existiert ($|E_A| = 0$).
• Angriffsschwierigkeits-Metrik ($M_2$): Erfasst den kostengünstigsten Angriffspfad ($F^D_A(E_A) = \min\{|E| \mid E \in E_A\}$).
  Beide Metriken erzwingen $F^1_C$, um sicherzustellen, dass Härtungsstrategien die Dienstkonnektivität bewahren. Diese Probleme werden unter Verwendung der A*-Suche mit der LMCut-Heuristik durch den Fast-Downward-Planner gelöst.

3. Was-wäre-wenn-Analyse und Auswahl diverser Lösungen:
   Um die Sicherheitslage zu verbessern, identifiziert i-EXAM Netzwerkmodifikationen, die die Metrikwerte reduzieren und gleichzeitig die Dienstverfügbarkeit aufrechterhalten. Im Gegensatz zu traditionellen Angriffsgraphen ermöglicht der ACG die gleichzeitige Argumentation über Angriffe und Funktionalitäten. Das System verwendet eine Strategie zur Auswahl diverser Lösungen, die mehrere Modifikationssätze generiert, die sich auf unterschiedliche Netzwerkkomponenten konzentrieren. Dieser Ansatz erkennt an, dass die „Kosten“ einer Modifikation schwer präzise zu quantifizieren sind und von Faktoren wie der Expertise des Systemadministrators und der Verfügbarkeit von Technikern abhängen, wodurch Administratoren befähigt werden, fundierte Entscheidungen zwischen verschiedenen Optionen zu treffen.

4. Erzeugung von Erklärungen:
   Um die Lücke zwischen formalen Planungsausgaben und menschlichem Verständnis zu schließen, nutzt i-EXAM ein LLM (speziell llama-3.1-nemotron-70b-instruct), um Erklärungen in natürlicher Sprache zu generieren. Es nutzt eine modifizierte Version von „Explanations by Model Restriction“, indem es kontrafaktische Pläne präsentiert, die die vorherigen Metrikwerte erfüllt hätten, und erklärt, wie die vorgeschlagenen Änderungen diese Pläne ungültig machen.

Wesentliche Beiträge

• Interaktive Werkzeuge: i-EXAM bietet eine benutzerfreundliche Schnittstelle für Sysadmins, um die Netzwerkarchitektur zu visualisieren, Angriffspfade hervorzuheben und Härtungsstrategien zu untersuchen, ohne Kenntnisse in PDDL oder KI-Planung zu benötigen.
• Formale Garantien: Durch die Vererbung der Korrektheits- und Vollständigkeitsgarantien des SPEAR-Frameworks stellt i-EXAM sicher, dass jeder gültige Plan im Modell einem gültigen Angriff oder einem Konnektivitätspfad im ACG entspricht und umgekehrt.
• Automatisierte Pipeline: Das Werkzeug automatisiert die gesamte Pipeline von der Netzwerk-Scannung (Nmap, Wazuh, OpenVAS) bis zur PDDL-Modellkonstruktion und eliminiert die Notwendigkeit einer manuellen Modellierung.
• Erklärbarkeit via LLMs: Es integriert LLMs, um strukturierte kontrafaktische Planverläufe in natürliche Sprache zu übersetzen, wodurch die Begründung für Sicherheitsempfehlungen für Nicht-Experten zugänglich wird.
• Generierung diverser Strategien: Das System generiert diverse Härtungsstrategien, um der Unsicherheit bei Implementierungskosten und -beschränkungen Rechnung zu tragen.

Ergebnisse und Leistung
Empirische Auswertungen in Netzwerken mit etwa 30 Knoten (wie von Podder et al. 2025 zitiert) zeigen, dass die heuristische Führung (LMCut) die Rechenzeit sowohl bei der Impenetrabilitäts- als auch bei der Angriffsschwierigkeits-Metrik konsistent um etwa 50 % reduziert. Der Top-k-Planner ist erfolgreich darin, diverse Angriffspfade selbst in größeren Netzwerken zu enumerieren. Das System kann in Fallstudien erfolgreich Instanzen erstellen, in denen es Ziele automatisch hervorhebt, Angriffspläne mit Kosten präsentiert und diverse Modifikationsoptionen mit entsprechenden Erklärungen generiert, warum diese Optionen Angriffe eliminieren oder deren Kosten erhöhen.

Bedeutung und Ansprüche
Das Paper positioniert i-EXAM als Brücke zwischen formaler KI-Planungstheorie und realer Netzwerk-Sicherheitsoperation. Seine primäre Bedeutung liegt darin, die planungsbasierte Sicherheitsanalyse durch Automatisierung und natürliche Sprach-Erklärungen für Systemadministratoren zugänglich zu machen. Die Autoren behaupten, dass die domänenunabhängige Natur der PDDL-basierten ACG-Formalisierung es dem Werkzeug ermöglicht, über beliebige Netzwerktopologien und Kombinationen von Schwachstellen hinweg zu generalisieren, ohne auf aufgabenspezifisches Fine-Tuning angewiesen zu sein. Zudem stellt das Human-in-the-Loop-Design sicher, dass Administratoren ihr Domänenurteil bei der Auswahl zwischen diversen Härtungsoptionen anwenden können, während das Werkzeug die komplexe rechnerische Logik übernimmt. Die Arbeit wird als Schritt hin zu einer resilienteren Netzwerkverwaltung präsentiert, wobei zukünftige Arbeiten für gelernte Kostenfunktionen, Usability-Studien mit Domänenexperten und die Skalierung auf größere Unternehmensnetzwerke vorgeschlagen werden.