Integrating Network and Attack Graphs for Service-Centric Impact Analysis

Résumé technique : Intégration des graphes de réseau et d'attaque pour une analyse d'impact centrée sur les services

Énoncé du problème
Les méthodes traditionnelles d'analyse des cyberattaques fonctionnent souvent de manière isolée, se concentrant soit sur les chemins d'attaque (graphes d'attaque), soit sur la topologie du réseau, sans capturer efficacement leur interdépendance. Les approches existantes peinent à quantifier comment les attaques se propagent à travers des services interconnectés ou à mesurer l'impact cumulatif des vulnérabilités sur les fonctionnalités destinées aux utilisateurs. Bien que des modèles probabilistes existent pour estimer le succès des attaques et que des métriques de résilience réseau existent pour la connectivité, peu de cadres intègrent ces perspectives pour fournir une vue centrée sur les services du risque. Ce manque limite la capacité des planificateurs de sécurité à identifier les nœuds critiques et les vulnérabilités qui influencent significativement les résultats des attaques dans des environnements d'entreprise complexes et multicouches.

Méthodologie
Les auteurs proposent un nouveau cadre de modélisation probabiliste multicouche qui intègre les graphes d'attaque avec la topologie du réseau de communication. Le cœur de la méthodologie comprend :

1. Construction du graphe :

   • Graphe d'attaque : Représenté comme un graphe orienté acyclique (DAG) où les nœuds désignent des états d'attaque (par exemple, niveaux de privilèges, modifications de fichiers) et les arêtes dirigées représentent les exploits. Les poids des arêtes ($p_E$) désignent la probabilité d'exploiter une vulnérabilité, dérivée de métriques standard telles que les scores d'exploitabilité CVSS.
   • Graphe de réseau : Représente l'infrastructure de communication où les nœuds sont des dispositifs réseau ou des serveurs et les arêtes représentent les liens de communication. Les poids des arêtes ($w_n$) désignent la probabilité de communication réussie ou de propagation d'attaque entre les nœuds.
   • Intégration : Les deux graphes sont combinés en regroupant les états d'attaque selon les services qu'ils affectent et en mappant ces groupes vers des nœuds réseau spécifiques. Les états de début et de fin de l'attaque sont connectés aux nœuds réseau pertinents via des liens dirigés avec un poids de 1,0.

2. Calcul probabiliste :

   • Le cadre calcule la probabilité combinée d'une étape d'attaque réussie ($p(i, j)$) comme le produit de la probabilité de connectivité au niveau du réseau ($p_N$) et de l'exploitabilité de la vulnérabilité ($p_E$) : $p(i, j) = p_N(i, j) \times p_E(i, j)$.
   • $p_N$ est calculé en utilisant un algorithme de contagion simple, tenant compte de tous les chemins non intersectants entre les nœuds du réseau.
   • La probabilité d'atteindre un état spécifique ($P(i)$) est calculée en supposant des chemins d'attaque indépendants, en utilisant la formule $P(i) = 1 - \prod_{j \in A} [1 - P(j, i)]$, où $A$ est l'ensemble des états précédents.

3. Métriques d'impact :
   L'étude introduit plusieurs métriques quantitatives pour évaluer le risque à différents niveaux :

   • Impact cumulatif attendu ($CE[I_i]$) : La somme des impacts attendus de toutes les vulnérabilités sur les chemins menant à un état spécifique.
   • Impact par nœud ($CNODE$) : La somme des impacts attendus des vulnérabilités affectant un service ou un nœud spécifique, indépendamment de la propagation antérieure de l'attaque.
   • Impact entrant cumulatif ($CIN$) : L'impact accumulé jusqu'au point où une attaque prend pied dans un service.
   • Impact sortant cumulatif ($COUT$) : L'impact total si un service est utilisé comme tremplin pour atteindre d'autres cibles ou atteindre l'objectif de l'attaque.

Étude de cas et résultats
La méthodologie a été validée à l'aide d'une étude de cas réaliste impliquant une topologie de réseau d'entreprise basée sur la fibre optique et un graphe d'attaque dérivé d'un scénario d'entreprise multi-cloud.

• Analyse initiale : En supposant que les liens réseau sont entièrement fiables ($w_n = 1,0$), l'analyse a identifié le nœud 2 (Groupes de VM) comme ayant l'impact par nœud le plus élevé en raison de sa grande surface d'attaque, malgré la présence de certaines vulnérabilités moins exploitables. Le nœud 7 (Serveur d'administration) a montré un impact entrant et sortant élevé, indiquant qu'il s'agit d'un point de transit critique pour les attaques à fort impact, même si son nombre direct de vulnérabilités est plus faible.
• Atténuation des vulnérabilités : La simulation de la suppression de vulnérabilités individuelles a révélé que la correction des vulnérabilités de point d'entrée (par exemple, DIRECT-ACCESS) et de celles apparaissant tôt dans les chemins d'attaque (par exemple, CVE-2009-1535) a produit la réduction la plus élevée de l'impact cumulatif. Les vulnérabilités à fort impact mais à faible exploitabilité ou celles apparaissant tardivement dans la chaîne d'attaque ont eu moins d'effet sur le résultat global.
• Surveillance des nœuds : La simulation d'une surveillance renforcée (réduisant l'exploitabilité de 80 %) a montré que la sécurisation des nœuds d'entrée (nœuds 1, 4, 6, 8) réduisait considérablement la probabilité d'une pénétration profonde du réseau. Cependant, la surveillance du nœud 2 s'est également révélée très efficace en raison du grand nombre de chemins d'attaque le traversant.
• Variation du poids des liens réseau : Lorsque les poids des liens réseau ($w_n$) ont été réduits pour simuler une surveillance réseau plus stricte ou une connectivité plus faible, l'importance des vulnérabilités de stade précoce a augmenté. Le modèle a démontré que dans des environnements avec de faibles probabilités de mouvement latéral, l'atténuation des points d'entrée devient la stratégie la plus efficace, tandis que l'importance des vulnérabilités profondes dans le réseau (par exemple, sur le nœud 3) diminue rapidement à mesure que la probabilité de les atteindre baisse.

Contributions clés et importance
L'article revendique les contributions suivantes :

1. Cadre intégré : Il fournit une approche de modélisation cohérente et centrée sur les services qui combine la dynamique de propagation des attaques avec les probabilités de connectivité du réseau, répondant à la limitation de l'analyse de ces facteurs de manière isolée.
2. Métriques quantitatives au niveau des services : L'introduction des métriques $CIN$, $COUT$ et $CNODE$ permet de quantifier à la fois l'impact des attaques entrantes sur un service et le potentiel de ce service à propager des attaques vers d'autres parties du système.
3. Informations exploitables pour l'atténuation : L'étude démontre que le cadre peut identifier des nœuds critiques et des vulnérabilités qui ne sont pas immédiatement évidents lorsqu'on examine uniquement les graphes d'attaque ou la topologie du réseau. Par exemple, il met en évidence qu'un nœud avec une petite surface d'attaque mais une connectivité élevée vers des actifs critiques (comme le nœud 7) peut nécessiter une surveillance priorisée.
4. Analyde de scénarios : Le modèle évalue efficacement comment différentes stratégies de défense (par exemple, corriger des vulnérabilités spécifiques par rapport à améliorer la surveillance à l'échelle du réseau) modifient le paysage des risques, montrant que la stratégie d'atténuation optimale dépend de la fiabilité du réseau sous-jacent.

Les auteurs concluent que cette approche fait progresser l'analyse des cyberattaques dans des environnements réseau complexes en offrant une vue plus exploitable pour l'évaluation des risques et la planification de l'atténuation, en particulier dans les scénarios où la compréhension de l'interaction entre les dépendances des services et la topologie du réseau est cruciale.