Towards Predicting Multi-Vulnerability Attack Chains in Software Supply Chains from Software Bill of Materials Graphs

1. El Problema

La seguridad de la cadena de suministro de software a menudo se ve comprometida por interacciones en cascada de vulnerabilidades, donde múltiples componentes vulnerables interactúan para crear un camino de explotación. Sin embargo, las prácticas y herramientas actuales de análisis de seguridad presentan limitaciones críticas:

• Enfoque aislado: La mayoría de los análisis tratan los hallazgos de los escáneres como registros independientes por CVE (Common Vulnerabilities and Exposures), ignorando las relaciones entre componentes.
• Ceguera ante cadenas: Herramientas estáticas (como Snyk o Trivy) reportan listas de CVE por componente pero no detectan cadenas de explotación que cruzan múltiples componentes.
• Riesgo subestimado: Vulnerabilidades que parecen de baja severidad en aislamiento pueden volverse críticas cuando se combinan a través de la estructura de dependencias y patrones de debilidad (CWE).
• Falta de contexto: Los flujos de trabajo actuales no interpretan la estructura del SBOM como evidencia contextualizada, sino como listas planas de datos.

2. Metodología Propuesta

Los autores proponen un nuevo enfoque de investigación basado en el aprendizaje automático sobre grafos para modelar las relaciones de dependencia y las vulnerabilidades. La arquitectura del pipeline se divide en cuatro pasos clave:

A. Construcción del Grafo de Evidencia (Enriquecido)

• Se transforma un SBOM enriquecido (formato CycloneDX) en un grafo heterogéneo.
• Tipos de nodos:
  • Componentes: Paquetes de software o dependencias.
  • CVE: Vulnerabilidades conocidas.
  • CWE: Tipos de debilidades (aunque en el prototipo actual, las aristas CWE aún no están implementadas).
• Tipos de aristas (relaciones):
  • DEPENDS_ON: Entre componentes (según el SBOM).
  • HAS_VULNERABILITY: De componentes a CVEs (según el escáner).
  • HAS_CWE: De CVEs a CWEs (planificado para futuras evaluaciones).
• Los nodos incluyen metadatos como puntuaciones CVSS, severidad, tipo de dependencia (directa vs. transitiva) y licencias.

B. Clasificación de Componentes con HGAT

• Se utiliza una Red de Atención en Grafos Heterogéneos (HGAT) para aprender representaciones sobre la estructura del grafo.
• Objetivo: Realizar una verificación de viabilidad clasificando si un componente está asociado a al menos un CVE conocido (has-any-CVE).
• Mecanismo: El mecanismo de atención permite al modelo ponderar diferentes tipos de aristas (dependencias vs. enlaces de vulnerabilidad) de manera diferenciada.
• Propósito: Demostrar que la estructura de dependencias aporta una señal útil más allá de los metadatos locales del nodo.

C. Predicción de Cadenas (Enlace CVE-CVE) con MLP

• Dada la escasez de datos de cadenas de ataque documentadas, el problema se reformula como una predicción de enlaces entre pares de CVE.
• Modelo: Una red neuronal Perceptrón Multicapa (MLP) ligera entrenada para predecir si dos CVEs son co-explotables (parte de una misma cadena).
• Características: Se utilizan 22 dimensiones por par de CVE (9 características por CVE derivadas de NVD/CVSS y 4 características de interacción como la diferencia de CVSS o el año).
• Entrenamiento: Se entrena con un conjunto semilla de 35 cadenas documentadas (27 de divulgaciones, 8 de informes de incidentes), generando ejemplos negativos mediante muestreo (ratio 2:1).

D. Proyección y Triage

• Las cadenas candidatas predichas se proyectan de nuevo sobre la estructura de dependencias del SBOM para localizar los componentes específicos involucrados, facilitando el análisis manual o automatizado.

3. Contribuciones Clave

1. Pipeline de Grafos Heterogéneos: Propone convertir SBOMs enriquecidos en grafos heterogéneos con nodos y aristas tipados, creando un recurso reutilizable para la investigación.
2. Estudio de Viabilidad y Ablación: Realiza un estudio empírico demostrando que la estructura de dependencias es crucial para la detección de vulnerabilidades (mediante el estudio de ablación del HGAT).
3. Predicador de Cadenas: Introduce un modelo MLP para predecir co-explotación entre pares de CVEs, generando candidatos de cadenas de ataque priorizados.
4. Flujo de Trabajo para Analistas: Propone un protocolo de inspección que mapea evidencias de cadenas de ataque documentadas a subgrafos de SBOM, apoyando el etiquetado y el análisis de errores.

4. Resultados Preliminares

El modelo fue validado en 200 SBOMs reales de proyectos Python (conjunto de datos Wild SBOMs) y un conjunto semilla de cadenas de ataque.

• Clasificador HGAT (Componentes):

  • Precisión: 80.84%
  • Recall: 68.26%
  • F1-Score: 74.02%
  • Precisión Global (Accuracy): 91.03%
  • Hallazgo de Ablación: Al eliminar las aristas de dependencia (DEPENDS_ON), el Recall colapsó a 0.00, demostrando que el modelo depende de la estructura relacional y no solo de los metadatos locales.

• Predictor de Cadenas (MLP):

  • Logró un ROC-AUC de 0.93 en la tarea de distinguir pares de CVEs que pertenecen a una misma cadena de los pares aleatorios.
  • Esto indica una fuerte capacidad discriminativa basada en patrones de metadatos, aunque aún no se ha probado la predicción de cadenas totalmente nuevas no documentadas.

5. Significado e Impacto

• Cambio de Paradigma: El trabajo marca un paso crucial desde la filosofía de "puntuar cada CVE" individualmente hacia "aprender patrones de interacción" restringidos por el grafo de dependencias.
• Detección Proactiva: Permite identificar riesgos que las herramientas actuales pasan por alto, específicamente aquellas cadenas de ataque que surgen de la composición de vulnerabilidades de baja severidad.
• Escalabilidad: Al utilizar un enfoque basado en grafos y aprendizaje automático, el sistema puede adaptarse a SBOMs complejos y evolucionar a medida que se dispone de más datos de incidentes.
• Futuro: Los autores planean conectar los dos modelos (HGAT y MLP) en un flujo de trabajo integral, expandir el corpus de cadenas documentadas y evaluar el enfoque en otros ecosistemas (más allá de Python) y formatos (SPDX).

En resumen, este artículo establece una base sólida para tratar la seguridad de la cadena de suministro no como una lista de fallos aislados, sino como un sistema interconectado donde la estructura de dependencias es la clave para predecir ataques complejos.