💻 computer science

Quantitative Evaluation of APT Attack and Defense Effectiveness based on Variable Fuzzy Sets

Questo articolo propone il modello APT-VFSEA, che utilizza insiemi fuzzy variabili per valutare quantitativamente l'efficacia degli attacchi e delle difese contro le minacce persistenti avanzate (APT) affrontando la loro inerente incertezza e complessità, con una validazione sperimentale che ne dimostra l'accuratezza rispetto a scenari reali.

Autori originali: Xiang Long, Jingyuan He, Haili Sun, Lansheng Han

Pubblicato 2026-07-10

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Xiang Long, Jingyuan He, Haili Sun, Lansheng Han

Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immaginate internet come una città enorme e frenetica. Di solito, le guardie di sicurezza si preoccupano solo di borseggiatori (virus) o di persone che cercano di sfondare le finestre (attacchi denial-of-service). Ma poi, è arrivata un'altra banda di criminali: le Advanced Persistent Threats (APT). Non sono semplici vandali casuali; sono come maestri spie che sono stati assoldati per scassinare la cassaforte di una banca specifica. Non si limitano a sfondare la porta; passano settimane a studiare le planimetrie, a scassinare la serratura, a nascondersi nelle pareti e a rubare segreti senza che nessuno se ne accorga. Sono astuti, complessi e incredibilmente difficili da catturare.

Il problema? I vecchi modi per misurare la sicurezza erano come cercare di pesare un fantasma. I modelli matematici tradizionali sono troppo rigidi. Cercano di dire: "Questo attacco è esattamente cattivo al 50%" o "Questa difesa è buona al 100%". Ma nel mondo disordinato e sfumato delle APT, nulla è così netto. A volte una difesa funziona perfettamente in uno scenario ma fallisce in un altro. A volte i dati sono mancanti o vaghi. Gli autori di questo articolo sostengono che cercare di forzare questi eventi sfumati e incerti in scatole rigide semplicemente non funziona.

Così, i ricercatori della Huazhong University of Science and Technology e della Wuhan Textile University hanno deciso di costruire un nuovo tipo di righello. Hanno chiamato questo nuovo righello APT-VFSEA.

Pensate a questo nuovo righello non come a una linea retta, ma come a una rete mutaforma. Ai vecchi tempi, se avessi cercato di catturare un pesce scivoloso (un attacco APT) con una scatola rigida, esso sarebbe semplicemente scivolato fuori. Ma questa nuova rete "Variable Fuzzy Set" è flessibile. Comprende che la "dimensione" di un attacco o la "forza" di una difesa non è un singolo numero. Invece, è un intervallo di possibilità. Chiede: "Quanto appartiene questa azione alla categoria 'molto pericolosa'? Quanto appartiene alla categoria 'moderatamente pericolosa?'". Calcola un punteggio basato su quanto bene l'azione si adatta a diversi livelli di pericolo, invece di forzarla in uno solo.

Per testare se la loro nuova rete funzionasse davvero, il team ha allestito un parco giochi digitale: una rete simulata di un campus universitario. Hanno invitato una "red team" (gli attaccanti) ad agire come la famosa banda APT32 (nota anche come OceanLotus), utilizzando un punto debole specifico del software chiamato CVE-2017-11882. Gli attaccanti hanno cercato di ingannare il sistema con un documento falso, infilare un cavallo di Troia e cancellare le proprie tracce. Nel frattempo, la "blue team" (i difensori) ha cercato di fermarli usando strumenti come rilevatori di intrusioni, collettori di log (Sysmon), firewall e software antivirus.

I ricercatori non si sono limitati a indovinare chi avesse vinto; hanno passato i numeri attraverso il loro nuovo modello flessibile. Ecco cosa hanno scoperto:

La prima mossa degli attaccanti, sfruttando la vulnerabilità, ha registrato un alto livello di pericolo, con una media di circa 3,68 su una scala da 1 a 5.
La prima linea di difesa dei difensori (rilevamento delle intrusioni e raccolta dei log) ha ottenuto punteggi più bassi, rispettivamente circa 2,79 e 3,50. Ciò corrispondeva alla realtà: gli attaccanti sono entrati perché queste difese non erano abbastanza forti da fermare l'iniziale violazione.
Tuttavia, quando i difensori hanno usato un firewall per bloccare la porta specifica utilizzata dagli attaccanti, il punteggio è salito a 3,62.
Il vero eroe si è rivelato essere il software antivirus, che ha ottenuto il punteggio più alto, ovvero 3,93. Era l'unico in grado di trovare e cancellare effettivamente i file nascosti dopo che gli altri avevano fallito.

Il modello ha predetto con successo che le prime difese sarebbero fallite e che l'antivirus sarebbe stato lo strumento più efficace, corrispondendo esattamente a quanto accaduto nella loro simulazione. Gli autori suggeriscono che questo metodo sia migliore dei modi più vecchi perché gestisce la "sfumatura" dei dati reali. Non finge di sapere tutto con una certezza del 100%; invece, abbraccia l'incertezza e fornisce un punteggio più affidabile e stabile guardando i dati da molteplici angolazioni.

Ma ecco l'intoppo: questa era una simulazione. Il team ammette di aver testato questo metodo solo su una piccola rete di un campus virtuale. Non l'hanno testato su enormi reti industriali elettriche o su reti governative segrete. Inoltre, hanno considerato solo un tipo di attacco (sfruttando una vulnerabilità di un documento), non gli attacchi "zero-day" super segreti o gli attacchi alla catena di approvvigionamento che le vere spie potrebbero usare.

Quindi, sebbene l'articolo suggerisca che questo nuovo modo di misurare l'efficacia degli attacchi e delle difese informatiche sia un metodo molto migliore, non è ancora una bacchetta magica capace di risolvere ogni problema del mondo. È uno strumento promettente che funziona bene in laboratorio, ma gli autori dicono che dobbiamo vedere se reggerà negli scenari molto più grandi e disordinati dei veri campi di battaglia del mondo reale.

Sintesi Tecnica: Valutazione Quantitativa dell'Efficacia degli Attacchi e delle Difese APT basata su Insiemi Fuzzy Variabili

Definizione del Problema
Le minacce persistenti avanzate (APT) sono caratterizzate da pertinenza, complessità e occultamento, ponendo rischi significativamente maggiori rispetto agli attacchi di rete ordinari. I metodi tradizionali di modellazione e analisi spesso non riescono a descrivere e valutare accuratamente l'efficacia delle azioni di attacco e difesa APT. Gli approcci esistenti soffrono di diverse limitazioni:

Mancanza di una Valutazione Olistica: Molti modelli valutano l'efficacia di attacco e difesa separatamente, mancando di un quadro unificato che le consideri come un tutto all'interno di un gioco attacco-difesa.
Insensibilità agli Scenari: I modelli esistenti spesso non tengono conto dei cambiamenti di efficienza delle stesse azioni sotto scenari differenti.
Gestione dell'Incertezza: La valutazione APT comporta una significativa incertezza sia nelle metriche di valutazione che nei dati. I metodi deterministici e i classici metodi di valutazione fuzzy completa faticano a gestire tale incertezza in modo oggettivo, affidandosi spesso al giudizio soggettivo umano o non riuscendo a utilizzare efficacemente gli standard basati su intervalli.

Metodologia
Il documento propone un nuovo framework denominato APT-VFSEA (APT-Variable Fuzzy Sets Efficiency Assessment) per valutare quantitativamente l'efficacia delle azioni di attacco e difesa APT. La metodologia si compone di tre componenti principali:

Criteri di Valutazione Unificati e Pesatura:
- È progettato un metodo di selezione flessibile delle metriche applicabile sia agli scenari di attacco che di difesa.
- Calcolo dei Pesi: Il documento impiega una combinazione lineare di pesatura soggettiva e oggettiva.
  - Processo Gerarchico Analitico (AHP): Utilizzato per calcolare i pesi soggettivi basati sul giudizio degli esperti e sulla struttura gerarchica degli indicatori (caratteristiche, sotto-caratteristiche, metriche).
  - Metodo del Peso dell'Entropia (EWM): Utilizzato per calcolare i pesi oggettivi basati sull'entropia dell'informazione dei dati, riflettendo la quantità di informazione fornita da ogni indicatore.
  - Il peso finale è una combinazione lineare: $w_i = \alpha \cdot w_A(i) + \beta \cdot w_E(i)$ , dove $\alpha$ e $\beta$ sono coefficienti la cui somma è 1.
Costruzione del Modello di Insieme Fuzzy Variabile (VFS):
- Il nucleo del modello è l'Insieme Fuzzy Variabile, un'estensione dei classici insiemi fuzzy che gestisce l'incertezza permettendo ai parametri del modello di variare.
- Input: Il modello riceve una matrice di campioni ( $X$ ) di dati di valutazione, un vettore di pesi ( $W$ ) e una matrice di intervalli standard di valutazione ( $S_{ab}$ ) suddivisa in $c$ livelli.
- Meccanismo: Invece di centri di cluster fissi, il modello utilizza centri di cluster basati su intervalli e intervalli di range variabile ( $S_{a'b'}$ ). Calcola il grado di appartenenza relativo dei campioni a diverse categorie utilizzando distanze di peso metriche generalizzate.
- Ottimizzazione: Il modello risolve una funzione obiettivo per determinare i gradi di appartenenza ottimali, i centri dei cluster e i pesi. Utilizza parametri variabili ( $\alpha$ e $p$ ) per il criterio di ottimizzazione e la metrica di distanza (ad es. minimi quadrati, Manhattan, Euclidea), consentendo molteplici combinazioni di modelli per migliorare l'affidabilità.
Algoritmo di Valutazione:
- L'algoritmo normalizza i dati, calcola i vettori di appartenenza relativa per diverse combinazioni di parametri del modello e deriva i gradi di appartenenza relativa complessivi.
- Calcola un autovalore per ogni campione basandosi sulla media ponderata dei gradi di appartenenza attraverso i livelli.
- Il punteggio finale di efficacia è la media dei risultati ottenuti dalle diverse combinazioni di parametri, garantendo stabilità e riducendo l'impatto delle specifiche scelte dei parametri.

Contributi Chiave

Framework Unificato: Il documento propone un metodo adatto a valutare sia le azioni di attacco che quelle di difesa all'interno dello stesso scenario, affrontando la mancanza di comparabilità nei modelli esistenti.
Applicazione degli Insiemi Fuzzy Variabili: Introduce gli Insiemi Fuzzy Variabili nella valutazione dell'efficacia APT per gestire l'incertezza sia nelle metriche che nei dati. Questo approccio supera i limiti dei metodi deterministici e della classica valutazione fuzzy completa, in particolare quando gli standard delle metriche sono intervalli.
Pesatura Flessibile: L'integrazione di AHP ed EWM fornisce un approccio bilanciato al calcolo dei pesi, combinando la conoscenza esperta con l'obiettività guidata dai dati.
Robustezza: Combinando i risultati di quattro diverse configurazioni di parametri del modello ( $\alpha \in \{1,2\}, p \in \{1,2\}$ ), il metodo migliora l'affidabilità, la coerenza e la stabilità dei risultati di valutazione.

Risultati Sperimentali
Gli autori hanno validato il modello APT-VFSEA utilizzando uno scenario di attacco APT simulato che coinvolge l'organizzazione APT32 (OceanLotus) che sfrutta la vulnerabilità CVE-2017-11882 in un ambiente di rete universitaria.

Scenario: L'esperimento ha simulato sei azioni specifiche: tre azioni di attacco (sfruttamento della vulnerabilità, distribuzione del Trojan) e tre azioni di difesa (IDS, raccolta log di Sysmon, blocco del firewall, scansione antivirus).
Risultati:
- Il modello ha assegnato punteggi di efficacia compresi tra 1 e 5.
- Efficacia dell'Attacco: Lo sfruttamento della vulnerabilità ha ottenuto ~3.68 e la distribuzione del Trojan ~3.31.
- Efficacia della Difesa: IDS e Sysmon hanno ottenuto punteggi più bassi (2.79 e ~3.50 rispettivamente) nel prevenire l'intrusione iniziale, in linea con la simulazione in cui l'attaccante ha avuto successo inizialmente. Tuttavia, le azioni del firewall e dell'antivirus hanno ottenuto punteggi più alti (3.62 e ~3.93), riflettendo il loro successo nell'intercettare le comunicazioni e rimuovere i file malevoli.
- Validazione: I risultati quantitativi erano allineati con gli esiti effettivi osservati nella simulazione (ad es. il fallimento degli strumenti di rilevamento iniziali rispetto al successo degli strumenti di contenimento e rimozione).
- Fluttuazione: I risultati della valutazione hanno mostrato piccoli intervalli di fluttuazione (ad es. 3.59–3.74 per lo sfruttamento della vulnerabilità), dimostrando la stabilità del modello.

Significato e Rivendicazioni
Il documento sostiene che il modello APT-VFSEA offra un metodo affidabile e accurato per valutare quantitativamente l'efficacia degli attacchi e delle difese APT. Il suo significato risiede in:

Gestione Obiettiva dell'Incertezza: Gestisce efficacementamente l'incertezza intrinseca negli scenari APT senza fare affidamento esclusivamente sul giudizio soggettivo.
Supporto ai Dati per la Strategia: I risultati della valutazione possono fornire supporto ai dati per la revisione dei passati eventi APT, la determinazione delle conseguenze dell'attacco e la formulazione di future strategie di difesa.
Applicabilità: Il metodo viene presentato come dotato di migliore operabilità, affidabilità e coerenza rispetto ai metodi deterministici o fuzzy classici esistenti.

Limitazioni
Gli autori riconoscono che la ricerca attuale è limitata a:

La simulazione di una specifica catena di attacco tramite vulnerabilità di documenti (CVE-2017-11882) da parte di APT32, senza verificare gruppi APT multi-tipo tramite vulnerabilità zero-day, attacchi alla supply chain o altri metodi di intrusione.
Un ambiente di rete virtuale di dimensioni medio-piccole di tipo campus, privo di verifica su reti industriali su larga scala o reti intranet governative.

Queste limitazioni sono indicate come aree per la ricerca futura.

Articoli simili