How hard can it be? Quantifying MITRE attack campaigns with attack trees and cATM logic

Résumé Technique : Quantification des Campagnes d'Attaque MITRE avec les Arbres d'Attaque et la Logique cATM

Énoncé du Problème
Les praticiens de la cybersécurité sont confrontés à un nombre écrasant de campagnes de menaces persistantes avancées (APT) organisées répertoriées dans la base de connaissances MITRE ATT&CK. Bien que MITRE ATT&CK soit la norme de fait pour enregistrer les tactiques et techniques d'attaque, il manque d'un mécanisme direct de comparaison quantitative de ces campagnes, particulièrement en ce qui concerne leur probabilité d'occurrence. Les méthodes actuelles ne fournissent pas :

1. Un moyen granulaire et flexible d'extraire des données de probabilité à partir de MITRE pour évaluer la probabilité de campagnes spécifiques.
2. Une méthode formelle et « universelle » pour modéliser et interroger n'importe quelle campagne enregistrée afin de faciliter l'analyse structurée et la comparaison quantitative.

Sans ces capacités, les praticiens peinent à prioriser efficacement les ressources de défense contre les campagnes les plus menaçantes.

Méthodologie
Les auteurs proposent un cadre fondé sur des données extraites des ressources publiques de MITRE pour quantifier les probabilités d'attaque et comparer les campagnes en utilisant des Arbres d'Attaque (AT) et une logique formelle révisée appelée cATM.

1. Estimation de la Probabilité basée sur les Données :

   • Le cadre traite la fréquence d'utilisation d'une technique au sein d'une tactique spécifique à travers toutes les campagnes enregistrées comme un indicateur de sa probabilité d'occurrence.
   • Les probabilités sont calculées comme $p_{E|A} = \frac{\text{nombre de campagnes utilisant la technique } E \text{ pour la tactique } A}{\text{nombre total de techniques utilisées pour la tactique } A}$.
   • La méthodologie gère les problèmes de granularité des données (par exemple, les données mixtes où des techniques de haut niveau et des sous-techniques sont enregistrées) en privilégiant les sous-techniques fines ou en appliant des hypothèses de pire cas non biaisées pour les données grossières.

2. Métrique d'Indice de Sécurité :

   • Pour éviter d'interpréter les probabilités brutes comme des probabilités réelles absolues (qui sont inconnaissables en raison de l'incomplétude des données), les auteurs introduisent un Indice de Sécurité.
   • Celui-ci est défini comme le logarithme négatif de la probabilité maximale d'une attaque réussie : $q_\beta(T) = -\log(q_{\alpha}^{mp}(T))$.
   • Cette transformation projette la métrique sur un semi-anneau unitaire linéairement ordonné (LOAD) où des valeurs plus élevées indiquent une campagne plus sécurisée (moins susceptible de réussir), facilitant ainsi la comparaison.

3. Modélisation Automatique via des Modèles (Templates) :

   • Au lieu de s'appuyer uniquement sur une modélisation manuelle laborieuse, les auteurs introduisent des Modèles d'Arbres d'Attaque MITRE. Ce sont des structures prédéfinies qui peuvent instancier automatiquement n'importe quelle campagne enregistrée dans MITRE.
   • Trois niveaux de difficulté sont pris en charge pour refléter différentes interprétations de l'effort de l'attaquant :
     • Difficile (Hard) : Nécessite que toutes les techniques enregistrées pour une tactique réussissent (modélisé avec des portes ET/AND).
     • Facile (Easy) : Nécessite qu'une seule technique enregistrée par tactique réussisse (modélisé avec des portes OU/OR).
     • Par Défaut (Default) : Une approche hybride nécessitant toutes les techniques de haut niveau, mais permettant aux sous-techniques d'être modélisées avec des portes OU/OR.
   • Ces modèles capturent toute la hiérarchie des données MITRE (Campagne $\to$ Tactiques $\to$ Techniques $\to$ Sous-techniques).

4. Logique cATM :

   • Les auteurs adaptent la logique ATM existante en cATM, une logique simplifiée à deux couches, conçue pour les praticiens de la cybersécurité.
   • cATM permet d'interroger les métriques (comme l'indice de sécurité) directement sur les modèles sans élagage manuel. Elle prend en charge l'arithmétique d'intervalles pour modéliser l'incertitude des valeurs de probabilité.
   • La logique permet de calculer l'indice de sécurité en assignant des éléments neutres (0 pour ET, $\infty$ pour OU) aux techniques non utilisées dans une campagne spécifique, ce qui permet d'élaguer l'arbre de manière algorithmique.

Principales Contributions

1. Cadre de Quantification : Une procédure systématique pour calculer des valeurs de type probabilité pour les techniques d'attaque basées sur la fréquence des données MITRE, opérationnalisées en un indice de sécurité pour la comparaison de campagnes.
2. Modélisation Manuelle vs Automatique : L'article présente deux arbres d'attaque construits manuellement de manière « ad hoc » pour les campagnes Wocao et Dream Job afin de servir de vérité terrain. Il démontre ensuite que les modèles générés automatiquement (spécifiquement le niveau de difficulté « par défaut ») produisent des indices de sécurité très proches de ces modèles manuels, avec un effort de modélisation nettement moindre.
3. Révision de la Logique Formelle : L'introduction de cATM, une logique rationalisée qui prend en charge les valeurs d'intervalle et l'incertitude, spécifiquement adaptée pour interroger les modèles quantitatifs de campagnes MITRE.
4. Validation Complète : Le cadre a été appliqué aux 23 campagnes Enterprise de MITRE, générant une liste classée de campagnes basées sur leurs indices de sécurité.
5. Artéfact Open-Source : Une bibliothèque Python et un dépôt (DOI : 10.5281/zenodo.14193936) publiquement disponibles qui implémentent la génération de modèles, le calcul de métriques et la logique cATM.

Résultats

• Validation des Modèles : Pour les campagnes Wocao et Dream Job, les indices de sécurité dérivés des modèles « par défaut » générés automatiquement se sont révélés être dans la plage réalisable définie par les modèles « difficile » et « facile », et correspondent étroitement aux modèles construits manuellement.
• Comparaison de Campagnes : Le cadre a réussi à différencier les campagnes. Par exemple, la campagne Dream Job a été systématiquement classée comme ayant un indice de sécurité plus faible (probabilité de succès plus élevée) que Wocao à travers les modèles par défaut et difficile, suggérant que Dream Job est plus facile à exécuter.
• Robustesse : L'analyse de sensibilité a montré que l'indice de sécurité est robuste face à une connaissance imparfaite. Les variations de l'indice étaient négligeables (<10 %) une fois qu'un nombre suffisant de campagnes a été inclus dans le jeu de données, bien que les premières campagnes aient montré une plus grande variabilité en raison de tailles d'échantillons réduites.
• Analyse d'Inversion : La comparaison des classements générés par les modèles Difficile, Facile et Par Défaut a révélé que, bien que l'ordre absolo des campagnes puisse changer (par exemple, 37 inversions entre les classements Difficile et Par Défaut), la tendance générale de la difficulté relative reste cohérente pour la plupart des campagnes.

Signification et Revendications
L'article affirme fournir aux praticiens de la cybersécurité un instrument transparent, responsable et fondé sur les données pour la prise de décision. En convertissant l'intelligence non structurée de MITRE en indices de sécurité quantitatifs, le cadre permet aux organisations de :

• Prioriser les ressources de défense contre les campagnes d'attaque les plus probables.
• Comparer la difficulté relative de différentes campagnes APT sans nécessiter une expertise approfondie en modélisation manuelle pour chaque nouvelle menace.
• Valider des modèles de menace personnalisés par rapport à une base de référence basée sur les données.

Les auteurs soulignent que leur méthode est « substantiellement plus légère en termes d'effort de modélisation » que les approches manuelles traditionnelles, tout en capturant toutes les données quantitatives pertinentes. Ils notent que les valeurs absolues de l'indice de sécurité sont moins importantes que leur classement relatif pour la priorisation. L'article conclut par un appel à une validation supplémentaire par des experts en cybersécurité utilisant des modèles construits manuellement pour garantir une applicabilité plus large, reconnaissant que la validation actuelle est limitée à deux campagnes spécifiques.