i-EXAM: Instructable and Explainable Attack Connectivity Graph Modeler

Riepilogo Tecnico di i-EXAM: Modellatore di Grafi di Connettività di Attacco Istruibile ed Esplicabile

Problematica
Proteggere e amministrare reti su larga scala è intrinsecamente complesso perché una singola modifica a un componente di rete può alterare drasticamente la postura di sicurezza e la resilienza complessiva. Gli approcci tradizionali spesso faticano a ragionare simultaneamente sugli attacchi e sulla funzionalità della rete. Sebbene il framework SPEAR abbia precedentemente proposto l'uso di un Attack Connectivity Graph (ACG) — un ipergrafo compilato in un problema di pianificazione PDDL — per identificare gli impatti degli attacchi, rimane la necessità di uno strumento interattivo e accessibile che permetta agli amministratori di sistema (sysadmin) di visualizzare queste complesse relazioni, eseguire analisi "what-if" e comprendere la logica alla base delle strategie di hardening della sicurezza senza richiedere competenze nei sistemi di pianificazione automatizzata.

Metodologia
i-EXAM è uno strumento interattivo basato sul framework SPEAR che integra pianificatori AI all'avanguardia con i Large Language Models (LLM) per modellare, analizzare ed esplicare la sicurezza di rete. La metodologia procede attraverso quattro fasi primarie:

1. Raccolta Dati e Costruzione del Modello:
   i-EXAM automatizza la creazione di modelli di pianificazione raccogliendo attributi a livello di sistema e di rete (software, versioni, porte, protocolli, IP) utilizzando strumenti come Nmap, Wazuh e dati documentati. Recupera informazioni aggiornate sulle vulnerabilità (CVE) da database esterni (NVD, ExploitDB) tramite scanner come OpenVAS. Questi dati vengono strutturati in JSON e alimentati in un generatore PDDL per costruire automaticamente i modelli di pianificazione. Il formalismo sottostante compila l'ACG in un modello di pianificazione ($M_G$), dove i fluenti rappresentano coppie host-attributo, le azioni rappresentano archi di attacco/connettività e gli attributi target fungono da obiettivi.

2. Visualizzazione e Analisi:
   Lo strumento renderizza la rete come un grafo in cui i nodi rappresentano gli host e le relative vulnerabilità, e gli archi rappresentano le connessioni. Supporta l'astrazione multi-livello, consentendo agli utenti di cliccare sui nodi per visualizzare metadati dettagliati (punteggi CVSS, percorsi di file, ecc.). i-EXAM utilizza un top-k-planner per visualizzare molteplici potenziali percorsi di attacco verso un target.
   Il sistema si concentra su due metriche di sicurezza specifiche derivate dall'ACG:

• Metrica di Impenetrabilità ($M_1$): Un indicatore binario ($F^I_A(E_A) = 1$) che determina se esiste un percorso di attacco valido ($|E_A| = 0$).
• Metrica di Difficoltà dell'Attacco ($M_2$): Cattura il percorso di attacco a costo minimo ($F^D_A(E_A) = \min\{|E| \mid E \in E_A\}$).
  Entrambe le metriche impongono $F^1_C$, garantendo che le strategie di hardening preservino la connettività del servizio. Questi problemi vengono risolti utilizzando la ricerca A* con l'euristica LMCut tramite il pianificatore Fast-Downward.

3. Analisi What-If e Selezione di Soluzioni Diverse:
   Per migliorare la postura di sicurezza, i-EXAM identifica le modifiche alla rete che riducono i valori delle metriche mantenendo al contempo la disponibilità del servizio. A differenza dei grafi di attacco tradizionali, l'ACG consente di ragionare simultaneamente su attacchi e funzionalità. Il sistema impiega una strategia di selezione di soluzioni diverse, generando molteplici set di modifiche che si concentrano su diversi componenti di rete. Questo approccio riconosce che il "costo" di una modifica è difficile da quantificare con precisione e dipende da fattori quali l'esperienza del sysadmin e la disponibilità dei tecnici, permettendo così agli amministratori di fare scelte informate tra varie opzioni.

4. Generazione di Spiegazioni:
   Per colmare il divario tra gli output formali di pianificazione e la comprensione umana, i-EXAM utilizza un LLM (nello specifico llama-3.1-nemotron-70b-instruct) per generare spiegazioni in linguaggio naturale. Esso sfrutta una versione modificata delle "spiegazioni per restrizione del modello", presentando piani controfattuali che avrebbero soddisfatto i precedenti valori delle metriche ed esponendo come le modifiche proposte invalidino tali piani.

Contributi Chiave

• Strumentazione Interattiva: i-EXAM fornisce un'interfaccia user-friendly per i sysadmin per visualizzare l'architettura di rete, evidenziare i percorsi di attacco ed esplorare le strategie di hardening senza necessità di conoscere PDDL o la pianificazione AI.
• Garanzie Formali: Ereditando le garanzie di correttezza (soundness) e completezza del framework SPEAR, i-EXAM assicura che ogni piano valido nel modello corrisponda a un valido attacco o percorso di connettività nell'ACG, e viceversa.
• Pipeline Automatizzata: Lo strumento automatizza l'intera pipeline, dalla scansione della rete (Nmap, Wazuh, OpenVAS) alla costruzione del modello PDDL, eliminando la necessità di modellazione manuale.
• Spiegabilità tramite LLM: Integra gli LLM per tradurre le tracce di piani controfattuali strutturate in linguaggio naturale, rendendo la logica delle raccomandazioni di sicurezza accessibile ai non esperti.
• Generazione di Strategie Diverse: Il sistema genera strategie di hardening diverse per tenere conto dell'incertezza nei costi di implementazione e nei vincoli.

Risultati e Prestazioni
Le valutazioni empiriche su reti di circa 30 nodi (come citato da Podder et al. 2025) dimostrano che la guida euristica (LMCut) riduce costantemente il tempo di calcolo di circa il 50% in entrambe le metriche di impenetrabilità e difficoltà dell'attacco. Il top-k-planner riesce a enumerare percorsi di attacco diversificati anche in reti più grandi. Il sistema si istanzia con successo in casi studio in cui può evidenziare automaticamente i target, presentare piani di attacco con relativi costi e generare diverse opzioni di modifica con le relative spiegazioni sul perché tali opzioni eliminino o aumentino il costo degli attacchi.

Significatività e Rivendicazioni
Il documento posiziona i-EXAM come un ponte tra la teoria formale della pianificazione AI e le operazioni di sicurezza di rete reali. La sua principale significatività risiede nel rendere l'analisi della sicurezza basata sulla pianificazione accessibile agli amministratori di sistema attraverso l'automazione e la spiegazione in linguaggio naturale. Gli autori affermano che la natura domain-independent del formalismo ACG basato su PDDL permette allo strumento di generalizzare su topologie di rete e combinazioni di vulnerabilità arbitrarie senza necessità di fine-tuning specifico per il compito. Inoltre, il design "human-in-the-loop" assicura che gli amministratori possano applicare il giudizio di dominio nella selezione tra diverse opzioni di hardening, mentre lo strumento gestisce il complesso ragionamento computazionale. Il lavoro è presentato come un passo verso una gestione di rete più resiliente, con lavori futuri proposti riguardanti funzioni di costo apprese, studi di usabilità con esperti di dominio e scalabilità verso reti aziendali più grandi.