Quantitative Evaluation of APT Attack and Defense Effectiveness based on Variable Fuzzy Sets
Dieses Paper schlägt das APT-VFSEA-Modell vor, welches variable Fuzzy-Mengen nutzt, um die Effektivität von Advanced Persistent Threat (APT)-Angriffen und -Verteidigungen durch die Adressierung deren inhärenter Unsicherheit und Komplexität quantitativ zu bewerten, wobei eine experimentelle Validierung dessen Genauigkeit gegenüber realen Szenarien demonstriert.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, geschäftige Stadt vor. Normalerweise sorgen sich die Sicherheitskräfte nur um Taschendiebe (Viren) oder Leute, die versuchen, Fenster einzuschlagen (Denial-of-Service-Angriffe). Aber dann kam eine neue Art von krimineller Bande an: die Advanced Persistent Threats (APTs). Das sind nicht einfach nur wahllose Vandalen; sie sind wie Meisterspione, die angeheuert wurden, um in einen ganz bestimmten Banktresor einzubrechen. Sie treten nicht einfach die Tür ein; sie verbringen Wochen damit, die Baupläne zu studieren, das Schloss zu knacken, sich in den Wänden zu verstecken und Geheimnisse zu stehlen, ohne dass es jemand bemerkt. Sie sind hinterlistig, komplex und unglaublich schwer zu fassen.
Das Problem? Die alten Wege, die Sicherheit zu messen, waren so, als würde man versuchen, einen Geist zu wiegen. Traditionelle mathematische Modelle sind zu starr. Sie versuchen zu sagen: „Dieser Angriff ist genau 50 % schlecht“ oder „Diese Verteidigung ist 100 % gut“. Aber in der chaotischen, unscharfen Welt der APTs ist nichts so klar definiert. Manchmal funktioniert eine Verteidigung perfekt in einem Szenario, versagt aber in einem anderen. Manchmal sind die Daten unvollständig oder vage. Die Autoren dieser Arbeit argumentieren, dass der Versuch, diese unscharfen, unsicheren Ereignisse in starre Boxen zu pressen, einfach nicht funktioniert.
Deshalb beschlossen die Forscher der Huazhong University of Science and Technology und der Wuhan Textile University, eine neue Art von Lineal zu bauen. Sie nannten es APT-VFSEA.
Stellen Sie sich dieses neue Lineal nicht als eine gerade Linie vor, sondern als ein gestaltwandelndes Netz. In den alten Tagen, wenn man versucht hätte, einen rutschigen Fisch (einen APT-Angriff) mit einer starren Box zu fangen, wäre er einfach herausgewiggelt. Aber dieses neue „Variable Fuzzy Set“-Netz ist flexibel. Es versteht, dass die „Größe“ eines Angriffs oder die „Stärke“ einer Verteidigung keine einzelne Zahl ist. Stattdessen ist es ein Bereich von Möglichkeiten. Es fragt: „Wie sehr gehört diese Aktion zur Kategorie ‚sehr gefährlich‘? Wie sehr gehört sie zur Kategorie ‚mäßig gefährlich‘?“ Es berechnet einen Wert basierend darauf, wie gut die Aktion in verschiedene Gefahrenstufen passt, anstatt sie einfach in nur eine einzige zu zwängen.
Um zu testen, ob ihr neues Netz tatsächlich funktionierte, richtete das Team einen digitalen Spielplatz ein – ein simuliertes Universitätscampus-Netzwerk. Sie luden ein „Red Team“ (die Angreifer) ein, um wie die berühmte APT32-Bande (auch bekannt als OceanLotus) zu agieren, unter Verwendung einer spezifischen Schwachstelle in einer Software namens CVE-2017-11882. Die Angreifer versuchten, das System mit einem gefälschten Dokument zu täuschen, ein Trojanisches Pferd einzuschleusen und ihre Spuren zu verwischen. Gleichzeitig versuchte das „Blue Team“ (die Verteidiger), sie mit Werkzeugen wie Intrusion-Detection-Systemen, Log-Sammlern (Sysmon), Firewalls und Antivirensoftware zu stoppen.
Die Forscher haben nicht einfach nur geraten, wer gewonnen hat; sie haben die Zahlen durch ihr neues flexibles Modell laufen lassen. Hier ist das, was sie fanden:
- Der erste Schritt der Angreifer, das Ausnutzen der Schwachstelle, erreichte ein hohes Gefahrenniveau und lag im Durchschnitt bei etwa 3,68 auf einer Skala von 1 bis 5.
- Die erste Verteidigungslinie der Verteidiger (Intrusion Detection und Log-Sammlung) bewertete niedriger, etwa 2,79 bzw. 3,50. Dies entsprach der Realität: Die Angreifer kamen hinein, weil diese Verteidigungen nicht stark genug waren, um den anfänglichen Einbruch zu stoppen.
- Als die Verteidiger jedoch eine Firewall einsetzten, um den spezifischen Port zu blockieren, den die Angreifer verwendeten, sprang der Wert auf 3,62.
- Der wahre Held entpuppte sich als die Antivirensoftware, die mit 3,93 am höchsten bewertet wurde. Sie war das einzige Werkzeug, das tatsächlich in der Lage war, die versteckten Dateien zu finden und zu löschen, nachdem die anderen versagt hatten.
Das Modell sagte erfolgreich voraus, dass die frühen Verteidigungsmaßnahmen scheitern würden und dass die Antivirensoftware das effektivste Werkzeug sein würde, was exakt mit dem geschah, was in ihrer Simulation passierte. Die Autoren schlagen vor, dass diese Methode besser als ältere Wege ist, da sie mit der „Unscharfe“ (Fuzziness) realer Daten umgehen kann. Sie tut nicht so, als wüsste sie alles mit 100-prozentiger Sicherheit; stattdin akzeptiert sie die Unsicherheit und liefert einen zuverlässigeren, stabileren Wert, indem sie die Daten aus mehreren Blickwinkeln betrachtet.
Aber hier ist der Haken: Dies war eine Simulation. Das Team gibt zu, dass sie dies nur in einem kleinen, virtuellen Campus-Netzwerk getestet haben. Sie haben es nicht auf riesigen industriellen Stromnetzen oder geheimen Regierungsnetzwerken getestet. Sie haben auch nur eine Art von Angriff betrachtet (die Nutzung einer Dokumentenschwachstelle), nicht die supergeheimen „Zero-Day“-Angriffe oder Supply-Chain-Hacks, die echte Spione verwenden könnten.
Obwohl die Arbeit also nahelegt, dass dieses neue „gestaltwandelnde Netz“ eine viel bessere Art und Weise ist, die Effektivität von Cyberangriffen und -verteidigungen zu messen, ist es noch kein Allheilmittel, das alle Probleme der Welt löst. Es ist ein vielversprechendes neues Werkzeug, das im Labor gut funktioniert, aber die Autoren sagen, dass wir sehen müssen, ob es sich auch auf den viel größeren, chaotischeren Schlachtfeldern der realen Welt behaupten kann.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.