How hard can it be? Quantifying MITRE attack campaigns with attack trees and cATM logic

Resumen Técnico: Cuantificación de Campañas de Ataque de MITRE mediante Árboles de Ataque y Lógica cATM

Declaración del Problema
Los profesionales de la ciberseguridad se enfrentan a un número abrumador de campañas organizadas de Amenazas Persistentes Avanzadas (APT) registradas en la base de conocimientos MITRE ATT&CK. Si bien MITRE ATT&CK es el estándar de facto para registrar tácticas y técnicas de ataque, carece de un mecanismo directo para la comparación cuantitativa de estas campañas, particularmente en lo que respecta a su probabilidad de ocurrencia. Los métodos actuales no proporcionan:

1. Una forma granular y flexible de extraer datos de probabilidad de MITRE para evaluar la probabilidad de campañas específicas.
2. Un método formal y de "alcance general" para modelar y consultar cualquier campaña registrada para facilitar el análisis estructurado y la comparación cuantitativa.

Sin estas capacidades, los profesionales tienen dificultades para priorizar los recursos de defensa de manera efectiva contra las campañas más amenazantes.

Metodología
Los autores proponen un marco basado en la minería de datos de los recursos públicos de MITRE para cuantificar las probabilidades de ataque y comparar campañas utilizando Árboles de Ataque (AT) y una lógica formal revisada llamada cATM.

1. Estimación de Probabilidad Basada en Datos:

   • El marco trata la frecuencia de uso de una técnica dentro de una táctica específica en todas las campañas registradas como un sustituto (proxy) de su probabilidad de ocurrencia.
   • Las probabilidades se calculan como $p_{E|A} = \frac{\text{conteo de campañas que usan la técnica } E \text{ para la táctica } A}{\text{conteo total de técnicas usadas para la táctica } A}$.
   • La metodología gestiona los problemas de granularidad de los datos (por ejemplo, datos mixtos donde se registran tanto técnicas de alto nivel como subtécnicas) priorizando las subtécnicas de grano fino o aplicando supuestos de peor escenario no sesgados para los datos de grano grueso.

2. Métrica de Índice de Seguridad:

   • Para evitar interpretar las probabilidades brutas como probabilidades reales absolutas (que son desconocibles debido a la incompletitud de los datos), los autores introducen un Índice de Seguridad.
   • Este se define como el logaritmo negativo de la probabilidad máxima de un ataque exitoso: $q_\beta(T) = -\log(q_{\alpha}^{mp}(T))$.
   • Esta transformación mapea la métrica a un semianillo unitario linealmente ordenado (LOAD, por sus siglas en inglés) donde valores más altos indican una campaña más segura (menos probable de tener éxito), facilitando la comparación.

3. Modelado Automático mediante Plantillas:

   • En lugar de depender únicamente del laborioso modelado manual, los autores introducen las Plantillas de Árbol de Ataque de MITRE. Estas son estructuras predefinidas que pueden instanciar automáticamente cualquier campaña registrada en MITRE.
   • Se admiten tres niveles de dificultad para reflejar diferentes interpretaciones del esfuerzo del atacante:
     • Difícil (Hard): Requiere que todas las técnicas registradas para una táctica tengan éxito (modelado con puertas AND).
     • Fácil (Easy): Requiere que solo una técnica registrada por táctica tenga éxito (modelado con puertas OR).
     • Predeterminado (Default): Un enfoque híbrico que requiere todas las técnicas de alto nivel, pero permite que las subtécnicas sean puertas OR.
   • Estas plantillas capturan toda la jerarquía de los datos de MITRE (Campaña $\to$ Tácticas $\to$ Técnicas $\to$ Subtécnicas).

4. Lógica cATM:

   • Los autores adaptan la lógica ATM existente en cATM, una lógica simplificada de dos capas diseñada para profesionales de la ciberseguridad.
   • cATM permite consultar métricas (como el índice de seguridad) directamente en las plantillas sin necesidad de poda manual. Soporta aritmética de intervalos para modelar la incertidumbre en los valores de probabilidad.
   • La lógica permite el cálculo del índice de seguridad asignando elementos neutros (0 para AND, $\infty$ para OR) a las técnicas que no se usan en una campaña específica, efectivamente "podando" el árbol algorítmicamente.

Contribuciones Clave

1. Marco de Cuantificación: Un procedimiento sistemático para calcular valores de probabilidad para las técnicas de ataque basados en los datos de frecuencia de MITRE, operacionalizados en un índice de seguridad para la comparación de campañas.
2. Modelado Manual vs. Automático: El artículo presenta dos Árboles de Ataque construidos manualmente de forma "ad hoc" para las campañas Wocao y Dream Job para servir como verdad de terreno (ground truth). Luego demuestra que las plantillas generadas automáticamente (específicamente el nivel de dificultad "predeterminado") producen índices de seguridad muy cercanos a estos modelos manuales pero con un esfuerzo de modelado significativamente menor.
3. Revisión de la Lógica Formal: La introducción de cATM, una lógica simplificada que admite valores de intervalo y de incertidumbre, específicamente diseñada para realizar consultas de métricas cuantitativas en plantillas de campañas de MITRE.
4. Validación Exhaustiva: El marco se aplicó a las 23 campañas de MITRE Enterprise, generando una lista clasificada de campañas basada en sus índices de seguridad.
5. Artefacto de Código Abierto: Una biblioteca de Python y un repositorio disponibles públicamente (DOI: 10.5281/zenodo.14193936) que implementan la generación de plantillas, el cálculo de métricas y la lógica cATM.

Resultados

• Validación de Plantillas: Para las campañas Wocao y Dream Job, los índices de seguridad derivados de las plantillas "predeterminadas" generadas automáticamente se encontraron dentro del rango factible definido por las plantillas "difíciles" y "fáciles", y coincidieron estrechamente con los modelos construidos manualmente.
• Comparación de Campañas: El marco logró diferenciar las campañas. Por ejemplo, la campaña Dream Job fue clasificada consistentemente con un índice de seguridad más bajo (mayor probabilidad de éxito) que Wocao a través de las plantillas predeterminadas y difíciles, lo que sugiere que Dream Job es más fácil de ejecutar.
• Robustez: El análisis de sensibilidad mostró que el índice de seguridad es robusto ante el conocimiento imperfecto. Las variaciones en el índice fueron insignificantes (<10%) una vez que se incluyó un número suficiente de campañas en el conjunto de datos, aunque las campañas iniciales mostraron una mayor variabilidad debido a los pequeños tamaños de muestra.
• Análisis de Inversión: La comparación de los rankings generados por las plantillas Difícil, Fácil y Predeterminada reveló que, si bien el orden absoluto de las campañas puede cambiar (por ejemplo, 37 inversiones entre los rankings Difícil y Predeterminado), la tendencia general de la dificultad relativa permanece constante para la mayoría de las campañas.

Significancia y Reivindicaciones
El artículo afirma proporcionar a los profesionales de la ciberseguridad un instrumento transparente, responsable y basado en datos para la toma de decisiones. Al convertir la inteligencia no estructurada de MITRE en índices de seguridad cuantitativos, el marco permite a las organizaciones:

• Priorizar los recursos de defensa contra las campañas de ataque más probables.
• Comparar la dificultad relativa de diferentes campañas APT sin requerir una experiencia profunda de modelado manual para cada nueva amenaza.
• Validar modelos de amenazas personalizados contra una base de datos impulsada por datos.

Los autores enfatizan que su método es "sustancialmente más ligero en esfuerzo de modelado" que los enfoques manuales tradicionales, al tiempo que captura todos los datos cuantitativos relevantes. Señalan que los valores absolutos del índice de seguridad son menos importantes que su ordenamiento relativo para la priorización. El artículo concluye con un llamado a una mayor validación por parte de expertos en ciberseguridad utilizando modelos construidos más manualmente para asegurar una aplicabilidad más amplia, reconociendo que la validación actual está limitada a dos campañas específicas.