Integrating Network and Attack Graphs for Service-Centric Impact Analysis

技術的概要：サービス中心のインパクト分析のためのネットワークと攻撃グラフの統合

問題定義
従来のサイバー攻撃分析手法は、攻撃経路（攻撃グラフ）またはネットワークトポロジーのいずれかに焦点を当てて孤立して運用されることが多く、それらの相互依存関係を効果的に捉えることができていません。既存のアプローチは、相互接続されたサービス間での攻撃の伝播を定量化したり、脆弱性がユーザー向け機能に与える累積的な影響を測定したりすることに苦慮しています。攻撃成功の確率を推定するための確率モデルや、接続性を測定するためのネットワークレジリエンス指標は存在しますが、これらの視点を統合してリスクに対するサービス中心の視点を提供するフレームワークはほとんどありません。このギャップは、セキュリティプランナーが、複雑で多層化されたエンタープライズ環境における攻撃結果に大きく影響を与える重要なノードや脆弱性を特定する能力を制限しています。

手法
著者は、攻撃グラフと通信ネットワークトポロジーを統合する新規の確率的マルチレイヤーモデリングフレームワークを提案します。この手法の中核は以下の通りです：

1. グラフ構築:

   • 攻撃グラフ: 攻撃状態（例：権限レベル、ファイル変更）を表すノードと、脆弱性の悪用を表す有向エッジからなる有向非巡回グラフ（DAG）として表現されます。エッジ重み（$p_E$）は、CVSS の悪用性スコアなどの標準指標から導き出された、脆弱性を悪用する可能性を示します。
   • ネットワークグラフ: ノードがネットワークデバイスまたはサーバーであり、エッジが通信リンクを表す通信インフラを表します。エッジ重み（$w_n$）は、ノード間の成功した通信または攻撃伝播の確率を示します。
   • 統合: 2 つのグラフは、攻撃状態を影響を受けるサービスごとにグループ化し、これらのグループを特定のネットワークノードにマッピングすることで結合されます。攻撃の開始状態と終了状態は、重み 1.0 の有向リンクを介して関連するネットワークノードに接続されます。

2. 確率的計算:

   • フレームワークは、ネットワークレベルの接続性確率（$p_N$）と脆弱性の悪用性（$p_E$）の積として、攻撃ステップの成功確率（$p(i, j)$）を計算します：$p(i, j) = p_N(i, j) \times p_E(i, j)$。
   • $p_N$ は、ネットワークノード間のすべての非交差経路を考慮した単純な伝染アルゴリズム（Simple Contagion Algorithm）を用いて計算されます。
   • 特定の状態に到達する確率（$P(i)$）は、独立した攻撃経路を仮定して計算され、以下の式を用います：$P(i) = 1 - \prod_{j \in A} [1 - P(j, i)]$。ここで、$A$ は先行状態の集合です。

3. インパクト指標:
   本研究は、異なるレベルでのリスクを評価するためのいくつかの定量的指標を導入します：

   • 期待累積インパクト（$CE[I_i]$）: 特定の状態に至る経路上のすべての脆弱性の期待インパクトの合計。
   • ノード別インパクト（$CNODE$）: 攻撃の事前伝播とは無関係に、特定のサービス/ノードに影響を与える脆弱性の期待インパクトの合計。
   • 累積流入インパクト（$CIN$）: 攻撃がサービスに足場を築く時点までに蓄積されたインパクト。
   • 累積流出インパクト（$COUT$）: サービスがさらなるターゲットへの足場または攻撃目標の達成に使用された場合の総インパクト。

ケーススタディと結果
この手法は、光ファイバーベースのエンタープライズネットワークトポロジーと、マルチクラウドエンタープライズシナリオから導き出された攻撃グラフを含む現実的なケーススタディを用いて検証されました。

• 初期分析: ネットワークリンクが完全に信頼できると仮定（$w_n = 1.0$）した場合、分析により、攻撃対象領域が広大であるため、いくつかの悪用しにくい脆弱性があったにもかかわらず、ノード 2（VM グループ）が最も高いノード別インパクトを持つことが判明しました。ノード 7（管理サーバー）は高い流入および流出インパクトを示し、直接的な脆弱性数が少なくても、高インパクトな攻撃にとって重要な通過点であることを示しました。
• 脆弱性対策: 個々の脆弱性の除去をシミュレーションした結果、エントリポイントの脆弱性（例：DIRECT-ACCESS）や攻撃経路の初期段階に現れる脆弱性（例：CVE-2009-1535）を修正することが、累積インパクトの最大削減をもたらすことが明らかになりました。インパクトは高いが悪用性が低い脆弱性や、攻撃チェーンの後半に現れる脆弱性は、全体の結果に対してあまり影響を与えませんでした。
• ノード監視: 強化された監視（悪用性を 80% 削減）をシミュレーションしたところ、エントリノード（ノード 1、4、6、8）を保護することは、ネットワーク深部への侵入確率を大幅に削減することが示されました。ただし、多くの攻撃経路が通過するため、ノード 2 の監視も非常に効果的でした。
• ネットワークリンク重みの変動: ネットワークリンク重み（$w_n$）を低減して、より厳格なネットワーク監視または低い接続性をシミュレーションしたところ、初期段階の脆弱性の重要性が増加しました。このモデルは、横移動の確率が低い環境では、エントリポイントを対策することが最も効果的な戦略であることを示しており、ネットワーク深部（例：ノード 3）の脆弱性の重要性は、到達確率が低下するにつれて急速に減少することが示されました。

主要な貢献と意義
本論文は、以下の貢献を主張しています：

1. 統合フレームワーク: 攻撃伝播ダイナミクスとネットワーク接続性確率を組み合わせ、これらを孤立して分析する際の限界を克服する、統合されたサービス中心のモデリングアプローチを提供します。
2. 定量的サービスレベル指標: $CIN$、$COUT$、および$CNODE$指標の導入により、サービスへの流入攻撃の影響と、そのサービスがシステムの他の部分へ攻撃を伝播する可能性の両方を定量化することが可能になります。
3. 対策のための実行可能な洞察: このフレームワークは、攻撃グラフまたはネットワークトポロジーのみを単独で検討した場合には直ちに明らかにならない、重要なノードや脆弱性を特定できることを実証しています。例えば、攻撃対象領域は小さいが重要な資産への接続性が高いノード（ノード 7 のような）は、優先的な監視を必要とする可能性があることを浮き彫りにしています。
4. シナリオ分析: このモデルは、異なる防御戦略（特定の脆弱性のパッチ適用対ネットワーク全体の監視強化など）がリスク環境をどのように変化させるかを効果的に評価し、最適な対策戦略は基盤となるネットワークの信頼性に依存することを示しています。

著者は、サービス依存関係とネットワークトポロジーの相互作用を理解することが不可欠なシナリオにおいて、リスク評価と対策計画のためのより実行可能な視点を提供することで、複雑なネットワーク環境におけるサイバー攻撃の分析を進展させると結論付けています。