Integrating Network and Attack Graphs for Service-Centric Impact Analysis

Riepilogo Tecnico: Integrazione di Reti e Grafi di Attacco per l'Analisi dell'Impatto Centrato sui Servizi

Enunciato del Problema
I metodi tradizionali di analisi degli attacchi informatici operano spesso in isolamento, concentrandosi o sui percorsi di attacco (grafi di attacco) o sulla topologia di rete senza coglierne efficacemente l'interdipendenza. Gli approcci esistenti faticano a quantificare come gli attacchi si propaghino attraverso servizi interconnessi o a misurare l'impatto cumulativo delle vulnerabilità sulle funzionalità rivolte all'utente. Sebbene esistano modelli probabilistici per stimare il successo degli attacchi e metriche di resilienza di rete per la connettività, pochi framework integrano queste prospettive per fornire una visione del rischio centrata sul servizio. Questo divario limita la capacità dei pianificatori della sicurezza di identificare i nodi critici e le vulnerabilità che influenzano significativamente gli esiti degli attacchi in ambienti aziendali complessi e multilivello.

Metodologia
Gli autori propongono un nuovo framework di modellazione probabilistica multistrato che integra i grafi di attacco con la topologia della rete di comunicazione. Il cuore della metodologia comprende:

1. Costruzione del Grafo:

   • Grafo di Attacco: Rappresentato come un Grafo Aciclico Diretto (DAG) in cui i nodi denotano stati di attacco (ad esempio, livelli di privilegio, modifiche ai file) e gli archi diretti rappresentano gli exploit. I pesi degli archi ($p_E$) denotano la probabilità di sfruttare una vulnerabilità, derivata da metriche standard come i punteggi di sfruttabilità CVSS.
   • Grafo di Rete: Rappresenta l'infrastruttura di comunicazione in cui i nodi sono dispositivi di rete o server e gli archi rappresentano i collegamenti di comunicazione. I pesi degli archi ($w_n$) denotano la probabilità di comunicazione riuscita o di propagazione dell'attacco tra i nodi.
   • Integrazione: I due grafi vengono combinati raggruppando gli stati di attacco in base ai servizi che influenzano e mappando questi gruppi su specifici nodi di rete. Gli stati iniziale e finale dell'attacco sono connessi ai nodi di rete pertinenti tramite collegamenti diretti con un peso di 1.0.

2. Calcolo Probabilistico:

   • Il framework calcola la probabilità combinata di un passaggio di attacco riuscito ($p(i, j)$) come prodotto della probabilità di connettività a livello di rete ($p_N$) e della sfruttabilità della vulnerabilità ($p_E$): $p(i, j) = p_N(i, j) \times p_E(i, j)$.
   • $p_N$ è calcolato utilizzando un Algoritmo di Contagio Semplice, tenendo conto di tutti i percorsi non intersecanti tra i nodi di rete.
   • La probabilità di raggiungere uno stato specifico ($P(i)$) è calcolata assumendo percorsi di attacco indipendenti, utilizzando la formula $P(i) = 1 - \prod_{j \in A} [1 - P(j, i)]$, dove $A$ è l'insieme degli stati precedenti.

3. Metriche di Impatto:
   Lo studio introduce diverse metriche quantitative per valutare il rischio a diversi livelli:

   • Impatto Cumulativo Atteso ($CE[I_i]$): La somma degli impatti attesi di tutte le vulnerabilità sui percorsi che portano a uno stato specifico.
   • Impatto per Nodo ($CNODE$): La somma degli impatti attesi delle vulnerabilità che influenzano un servizio/nodo specifico, indipendentemente dalla precedente propagazione dell'attacco.
   • Impatto Ingressivo Cumulativo ($CIN$): L'impatto accumulato fino al punto in cui un attacco ottiene una testa di ponte in un servizio.
   • Impatto Egressivo Cumulativo ($COUT$): L'impatto totale se un servizio viene utilizzato come trampolino per raggiungere obiettivi più distanti o per raggiungere l'obiettivo dell'attacco.

Caso di Studio e Risultati
La metodologia è stata validata utilizzando un caso di studio realistico che coinvolge una topologia di rete aziendale basata su fibra ottica e un grafo di attacco derivato da uno scenario aziendale multi-cloud.

• Analisi Iniziale: Assumendo che i collegamenti di rete fossero completamente affidabili ($w_n = 1.0$), l'analisi ha identificato il Nodo 2 (Gruppi di VM) come avente il più alto impatto per nodo a causa della sua ampia superficie di attacco, nonostante presentasse alcune vulnerabilità meno sfruttabili. Il Nodo 7 (Server Amministrativo) ha mostrato un alto impatto ingressivo ed egressivo, indicando che è un punto di transito critico per attacchi ad alto impatto, anche se il suo conteggio diretto di vulnerabilità è inferiore.
• Mitigazione delle Vulnerabilità: La simulazione della rimozione di singole vulnerabilità ha rivelato che la correzione delle vulnerabilità del punto di ingresso (ad esempio, DIRECT-ACCESS) e di quelle che appaiono all'inizio dei percorsi di attacco (ad esempio, CVE-2009-1535) ha prodotto la maggiore riduzione dell'impatto cumulativo. Le vulnerazioni con alto impatto ma bassa sfruttabilità o quelle che appaiono tardi nella catena di attacco hanno avuto un effetto minore sul risultato complessivo.
• Monitoraggio dei Nodi: La simulazione di un monitoraggio potenziato (riducendo la sfruttabilità dell'80%) ha mostrato che il rafforzamento dei nodi di ingresso (Nodi 1, 4, 6, 8) ha ridotto significativamente la probabilità di una penetrazione profonda della rete. Tuttavia, anche il monitoraggio del Nodo 2 si è rivelato altamente efficace a causa dell'alto numero di percorsi di attacco che lo attraversano.
• Variazione del Peso dei Collegamenti di Rete: Quando i pesi dei collegamenti di rete ($w_n$) sono stati ridotti per simulare un monitoraggio di rete più rigoroso o una connettività inferiore, l'importanza delle vulnerabilità nelle fasi iniziali è aumentata. Il modello ha dimostrato che in ambienti con basse probabilità di movimento laterale, la mitigazione dei punti di ingresso diventa la strategia più efficace, mentre il significato delle vulnerabilità profonde nella rete (ad esempio, sul Nodo 3) diminuisce rapidamente man mano che cala la probabilità di raggiungerle.

Contributi Chiave e Significato
Il paper rivendica i seguenti contributi:

1. Framework Integrato: Fornisce un approccio di modellazione coerente e centrato sul servizio che combina le dinamiche di propagazione degli attacchi con le probabilità di connettività di rete, affrontando il limite di analizzare questi fattori in isolamento.
2. Metriche Quantitative a Livello di Servizio: L'introduzione delle metriche $CIN$, $COUT$e$CNODE$ consente la quantificazione sia dell'impatto degli attacchi in arrivo su un servizio sia del potenziale di tale servizio di propagare attacchi ad altre parti del sistema.
3. Informazioni Azionabili per la Mitigazione: Lo studio dimostra che il framework può identificare nodi critici e vulnerabilità non immediatamente evidenti quando si osservano solo i grafi di attacco o la topologia di rete. Ad esempio, evidenzia che un nodo con una piccola superficie di attacco ma un'alta connettività verso asset critici (come il Nodo 7) potrebbe richiedere un monitoraggio prioritario.
4. Analisi degli Scenari: Il modello valuta efficacemente come diverse strategie di difesa (ad esempio, applicare patch a vulnerabilità specifiche rispetto al potenziamento del monitoraggio a livello di rete) alterino il panorama del rischio, mostrando che la strategia di mitigazione ottimale dipende dall'affidabilità della rete sottostante.

Gli autori concludono che questo approccio avanza l'analisi degli attacchi informatici in ambienti di rete complessi offrendo una visione più azionabile per la valutazione del rischio e la pianificazione della mitigazione, in particolare negli scenari in cui comprendere l'interazione tra le dipendenze dei servizi e la topologia di rete è cruciale.