How hard can it be? Quantifying MITRE attack campaigns with attack trees and cATM logic

Sintesi Tecnica: Quantificazione delle Campagne di Attacco MITRE con Alberi di Attacco e Logica cATM

Definizione del Problema
I professionisti della cybersecurity si trovano di fronte a un numero travolgente di campagne organizzate di Advanced Persistent Threat (APT) registrate nella base di conoscenza MITRE ATT&CK. Sebbene MITRE ATT&CK sia lo standard de facto per la registrazione di tattiche e tecniche di attacco, esso manca di un meccanismo diretto per la comparazione quantitativa di queste campagne, in particolare per quanto riguarda la loro probabilità di occorrenza. Gli attuali metodi non forniscono:

1. Un modo granulare e flessibile per estrarre dati di probabilità da MITRE per valutare la probabilità di specifiche campagne.
2. Un metodo formale, "catch-all" (universale), per modellare e interrogare qualsiasi campagna registrata al fine di facilitare l'analisi strutturata e il confronto quantitativo.

Senza queste capacità, i professionisti faticano a dare priorità alle risorse di difesa contro le campagne più minacciose.

Metodologia
Gli autori propongono un framework basato su dati estratti dalle risorse pubbliche MITRE per quantificare le probabilità di attacco e confrontare le campagne utilizzando Alberi di Attacco (AT) e una logica formale rivista chiamata cATM.

1. Stima della Probabilità basata sui Dati:

   • Il framework tratta la frequenza di utilizzo di una tecnica all'interno di una specifica tattica in tutte le campagne registrate come una proxy per la sua probabilità di occorrenza.
   • Le probabilità sono calcolate come $p_{E|A} = \frac{\text{conteggio delle campagne che utilizzano la tecnica } E \text{ per la tattica } A}{\text{conteggio totale delle tecniche utilizzate per la tattica } A}$.
   • La metodologia gestisce i problemi di granularità dei dati (ad esempio, dati misti dove vengono registrati sia tecniche di alto livello che sottotecniche) dando priorità alle sottotecniche più fini o applicando assunzioni di caso peggiore non influenzate (unbiased) per i dati a granularità grossolana.

2. Metrica dell'Indice di Sicurezza:

   • Per evitare di interpretare le probabilità grezze come probabilità reali assolute (che sono sconosciute a causa di dati incompleti), gli autori introducono un Indice di Sicurezza.
   • Questo è definito come il logaritmo negativo della massima probabilità di un attacco riuscito: $q_\beta(T) = -\log(q_{\alpha}^{mp}(T))$.
   • Questa trasformazione mappa la metrica in un semiring unitario linearmente ordinato (LOAD) dove valori più alti indicano una campagna più sicura (meno probabile che abbia successo), facilitando il confronto.

3. Modellazione Automatica tramite Template:

   • Invece di fare affidamento esclusivamente sulla laboriosa modellazione manuale, gli autori introducono i MITRE Attack Tree Templates. Questi sono strutture predefinite che possono istanziare automaticamente qualsiasi campagna registrata in MITRE.
   • Sono supportati tre livelli di difficoltà per riflettere diverse interpretazioni dello sforzo dell'attaccante:
     • Hard (Difficile): Richiede che tutte le tecniche registrate per una tattica abbiano successo (modellato con porte AND).
     • Easy (Facile): Richiede che solo una tecnica registrata per tattica abbia successo (modellato con porte OR).
     • Default: Un approccio ibrido che richiede tutte le tecniche di alto livello, ma permette alle sottotecniche di essere dotate di porte OR.
   • Questi template catturano l'intera gerarchia dei dati MITRE (Campagna $\to$ Tattiche $\to$ Tecniche $\to$ Sottotecniche).

4. Logica cATM:

   • Gli autori adattano l'esistente logica ATM in cATM, una logica semplificata a due livelli, progettata per i professionisti della cybersecurity.
   • cATM consente di interrogare le metriche (come l'indice di sicurezza) direttamente sui template senza potatura manuale. Supporta l'aritmetica degli intervalli per modellare l'incertezza nei valori di probabilità.
   • La logica consente il calcolo dell'indice di sicurezza assegnando elementi neutri (0 per AND, $\infty$ per OR) alle tecniche non utilizzate in una specifica campagna, effettuando così la "potatura" (pruning) dell'albero algoritmicamente.

Contributi Chiave

1. Framework di Quantificazione: Una procedura sistematica per calcolare valori simili alla probabilità per le tecniche di attacco basata sui dati di frequenza MITRE, operazionalizzata in un indice di sicurezza per il confronto delle campagne.
2. Modellazione Manuale vs. Automatica: Il documento presenta due alberi di attacco costruiti manualmente "ad hoc" per le campagne Wocao e Dream Job per servire come verità di base (ground truth). Successivamente dimostra che i template generati automaticamente (specificamente il livello di difficoltà "default") producono indici di sicurezza molto vicini ai modelli manuali, ma con uno sforzo di modellazione significativamente inferiore.
3. Revisione della Logica Formale: L'introduzione di cATM, una logica snella che supporta valori a intervallo e l'incertezza, specificamente adattata per interrogare metriche quantitative su template di campagne MITRE.
4. Validazione Completa: Il framework è stato applicato a tutte le 23 campagne MITRE Enterprise, generando una lista classificata di campagne in base ai loro indici di sicurezza.
5. Artefatto Open-Source: Una libreria Python e un repository pubblicamente disponibili (DOI: 10.5281/zenodo.14193936) che implementano la generazione dei template, il calcolo delle metriche e la logica cATM.

Risultati

• Validazione dei Template: Per le campagne Wocao e Dream Job, gli indici di sicurezza derivati dai template automatici "default" sono risultati entro l'intervallo fattibile definito dai template "hard" e "easy" e hanno rispecchiato da vicino i modelli costruiti manualmente.
• Confronto tra Campagne: Il framework ha differenziato con successo le campagne. Ad esempio, la campagna Dream Job è stata costantemente classificata come avente un indice di sicurezza inferiore (maggiore probabilità di successo) rispetto a Wocao attraverso i template default e hard, suggerendo che Dream Job sia più facile da eseguire.
• Robustezza: L'analisi di sensibilità ha mostrato che l'indice di sicurezza è robusto rispetto alla conoscenza imperfetta. Le variazioni dell'indice sono state trascurabili (<10%) una volta incluso un numero sufficiente di campagne nel dataset, sebbene le prime campagne abbiano mostrato una maggiore variabilità a causa dei piccoli campioni.
• Analisi di Inversione: Il confronto tra le classifiche generate dai template Hard, Easy e Default ha rivelato che, sebbene l'ordine assoluto delle campagne possa cambiare (ad esempio, 37 inversioni tra le classifiche Hard e Default), la tendola generale della difficoltà relativa rimane coerente per la maggior parte delle campagne.

Significato e Rivendicazioni
Il documento sostiene di fornire ai professionisti della cybersecurity uno strumento trasparente, responsabile e basato sui dati per il processo decisionale. Convertendo l'intelligence non strutturata di MITRE in indici di sicurezza quantitativi, il framework consente alle organizzazioni di:

• Dare priorità alle risorse di difesa contro le campagne di attacco più probabili.
• Confrontare la difficoltà relativa di diverse campagne APT senza richiedere una profonda esperienza di modellazione manuale per ogni nuovo threat.
• Validare i modelli di minaccia personalizzati rispetto a una base di riferimento guidata dai dati.

Gli autori sottolineano che il loro metodo è "sostanzialmente più leggero in termini di sforzo di modellazione" rispetto agli approoli tradizionali manuali, pur catturando tutti i dati quantitativi rilevanti. Notano che i valori assoluti dell'indice di sicurezza sono meno importanti del loro ordinamento relativo per la prioritizzazione. Il documento conclude con un invito a un'ulteriore validazione da parte di esperti di cybersecurity utilizzando modelli costruiti più manualmente, per garantire una maggiore applicabilità, riconoscendo che l'attuale validazione è limitata a due specifiche campagne.