Integrating Network and Attack Graphs for Service-Centric Impact Analysis

Resumen Técnico: Integración de Grafos de Red y de Ataque para Análisis de Impacto Centrado en Servicios

Enunciado del Problema
Los métodos tradicionales de análisis de ciberataques suelen operar de forma aislada, centrándose ya sea en las rutas de ataque (grafos de ataque) o en la topología de la red sin capturar eficazmente su interdependencia. Los enfoques existentes luchan por cuantificar cómo se propagan los ataques a través de servicios interconectados o para medir el impacto acumulativo de las vulnerabilidades en las funcionalidades orientadas al usuario. Aunque existen modelos probabilísticos para estimar el éxito del ataque y métricas de resiliencia de red para la conectividad, pocos marcos integran estas perspectivas para proporcionar una visión centrada en el servicio del riesgo. Esta brecha limita la capacidad de los planificadores de seguridad para identificar nodos críticos y vulnerabilidades que influyen significativamente en los resultados de los ataques en entornos empresariales complejos y multicapa.

Metodología
Los autores proponen un novedoso marco de modelado probabilístico multicapa que integra grafos de ataque con la topología de la red de comunicaciones. El núcleo de la metodología implica:

1. Construcción de Grafos:

   • Grafo de Ataque: Representado como un Grafo Acíclico Dirigido (DAG) donde los nodos denotan estados de ataque (por ejemplo, niveles de privilegio, modificaciones de archivos) y las aristas dirigidas representan explotaciones. Los pesos de las aristas ($p_E$) denotan la probabilidad de explotar una vulnerabilidad, derivada de métricas estándar como las puntuaciones de explotabilidad de CVSS.
   • Grafo de Red: Representa la infraestructura de comunicaciones donde los nodos son dispositivos de red o servidores y las aristas representan enlaces de comunicación. Los pesos de las aristas ($w_n$) denotan la probabilidad de comunicación exitosa o propagación de ataque entre nodos.
   • Integración: Los dos grafos se combinan agrupando los estados de ataque según los servicios que afectan y mapeando estos grupos a nodos de red específicos. Los estados de inicio y fin del ataque se conectan a los nodos de red relevantes mediante enlaces dirigidos con un peso de 1.0.

2. Cálculo Probabilístico:

   • El marco calcula la probabilidad combinada de un paso de ataque exitoso ($p(i, j)$) como el producto de la probabilidad de conectividad a nivel de red ($p_N$) y la explotabilidad de la vulnerabilidad ($p_E$): $p(i, j) = p_N(i, j) \times p_E(i, j)$.
   • $p_N$ se calcula utilizando un Algoritmo de Contagio Simple, teniendo en cuenta todas las rutas no intersecantes entre nodos de red.
   • La probabilidad de alcanzar un estado específico ($P(i)$) se calcula asumiendo rutas de ataque independientes, utilizando la fórmula $P(i) = 1 - \prod_{j \in A} [1 - P(j, i)]$, donde $A$ es el conjunto de estados precedentes.

3. Métricas de Impacto:
   El estudio introduce varias métricas cuantitativas para evaluar el riesgo en diferentes niveles:

   • Impacto Acumulado Esperado ($CE[I_i]$): La suma de los impactos esperados de todas las vulnerabilidades en las rutas que conducen a un estado específico.
   • Impacto por Nodo ($CNODE$): La suma de los impactos esperados de las vulnerabilidades que afectan a un servicio/nodo específico, independientemente de la propagación previa del ataque.
   • Impacto de Entrada Acumulativo ($CIN$): El impacto acumulado hasta el punto en que un ataque logra un punto de apoyo en un servicio.
   • Impacto de Salida Acumulativo ($COUT$): El impacto total si un servicio se utiliza como piedra angular para alcanzar objetivos más lejanos o lograr el objetivo del ataque.

Estudio de Caso y Resultados
La metodología se validó utilizando un estudio de caso realista que involucra una topología de red empresarial basada en fibra óptica y un grafo de ataque derivado de un escenario empresarial multicloud.

• Análisis Inicial: Con los enlaces de red asumidos como totalmente fiables ($w_n = 1.0$), el análisis identificó al Nodo 2 (Grupos de VM) como el que tenía el mayor impacto por nodo debido a su gran superficie de ataque, a pesar de tener algunas vulnerabilidades menos explotables. El Nodo 7 (Servidor de Administración) mostró un alto impacto de entrada y de salida, indicando que es un punto de tránsito crítico para ataques de alto impacto, incluso si su conteo directo de vulnerabilidades es menor.
• Mitigación de Vulnerabilidades: Simular la eliminación de vulnerabilidades individuales reveló que corregir las vulnerabilidades del punto de entrada (por ejemplo, DIRECT-ACCESS) y aquellas que aparecen al inicio de las rutas de ataque (por ejemplo, CVE-2009-1535) produjo la mayor reducción en el impacto acumulativo. Las vulnerabilidades con alto impacto pero baja explotabilidad o aquellas que aparecen tarde en la cadena de ataque tuvieron menos efecto en el resultado general.
• Monitoreo de Nodos: Simular un monitoreo mejorado (reduciendo la explotabilidad en un 80%) mostró que asegurar los nodos de entrada (Nodos 1, 4, 6, 8) redujo significativamente la probabilidad de penetración profunda en la red. Sin embargo, el monitoreo del Nodo 2 también fue altamente efectivo debido al gran número de rutas de ataque que lo atraviesan.
• Variación del Peso del Enlace de Red: Cuando los pesos de los enlaces de red ($w_n$) se redujeron para simular un monitoreo de red más estricto o una menor conectividad, la importancia de las vulnerabilidades de las etapas tempranas aumentó. El modelo demostró que en entornos con bajas probabilidades de movimiento lateral, mitigar los puntos de entrada se convierte en la estrategia más efectiva, mientras que la importancia de las vulnerabilidades profundas en la red (por ejemplo, en el Nodo 3) disminuye rápidamente a medida que disminuye la probabilidad de alcanzarlas.

Contribuciones Clave y Significado
El artículo afirma las siguientes contribuciones:

1. Marco Integrado: Proporciona un enfoque de modelado cohesivo y centrado en el servicio que combina la dinámica de propagación de ataques con las probabilidades de conectividad de la red, abordando la limitación de analizar estos factores de forma aislada.
2. Métricas Cuantitativas a Nivel de Servicio: La introducción de las métricas $CIN$, $COUT$y$CNODE$ permite cuantificar tanto el impacto de los ataques entrantes en un servicio como el potencial de ese servicio para propagar ataques a otras partes del sistema.
3. Información Accionable para la Mitigación: El estudio demuestra que el marco puede identificar nodos críticos y vulnerabilidades que no son inmediatamente obvios al observar solo los grafos de ataque o la topología de la red. Por ejemplo, destaca que un nodo con una superficie de ataque pequeña pero alta conectividad con activos críticos (como el Nodo 7) puede requerir un monitoreo priorizado.
4. Análisis de Escenarios: El modelo evalúa eficazmente cómo diferentes estrategias de defensa (por ejemplo, parchear vulnerabilidades específicas frente a mejorar el monitoreo en toda la red) alteran el panorama de riesgos, mostrando que la estrategia de mitigación óptima depende de la fiabilidad de la red subyacente.

Los autores concluyen que este enfoque avanza el análisis de ciberataques en entornos de red complejos al ofrecer una visión más accionable para la evaluación de riesgos y la planificación de mitigación, particularmente en escenarios donde comprender la interacción entre las dependencias de servicios y la topología de la red es crucial.