How hard can it be? Quantifying MITRE attack campaigns with attack trees and cATM logic

기술 요약: 공격 트리와 cATM 로직을 이용한 MITRE 공격 캠페인의 정량화

문제 정의
사이버 보안 실무자들은 MITRE ATT&CK 지식 베이스에 기록된 방대한 양의 조직적 지능형 지속 위협(APT) 캠페인 문제에 직면해 있다. MITRE ATT&CK은 공격 전술(Tactics)과 기술(Techniques)을 등록하는 데 있어 사실상의 표준이지만, 이러한 캠페인들을 특히 발생 가능성 측면에서 정량적으로 비교할 수 있는 직관적인 메커-니즘이 부족하다. 현재의 방식들은 다음과 같은 기능을 제공하지 못한다:

1. 특정 캠페인의 확률을 평가하기 위해 MITRE로부터 발생 가능성 데이터를 추출할 수 있는 세밀하고 유연한 방법.
2. 구조적 분석과 정량적 비교를 용이하게 하기 위해 기록된 모든 캠페인을 모델링하고 쿼리할 수 있는 공식적인 "포괄적(catch-all)" 방법.

이러한 기능이 없기 때문에 실무자들은 가장 위협적인 캠페인에 대해 방어 자원을 효과적으로 우선순위화하는 데 어려움을 겪는다.

방법론
저자들은 MITRE 공개 리소스를 데이터 마이닝하여 도출한 프레임워크를 제안하며, 이는 **공격 트리(Attack Trees, ATs)**와 개정된 공식 로직인 cATM을 사용하여 공격 발생 가능성을 정량화하고 캠페인을 비교한다.

1. 데이터 기반 발생 가능성 추정:

   • 이 프레임워크는 특정 전술 내에서 기술의 사용 빈도를 해당 기술의 발생 확률에 대한 대리 지표(proxy)로 취급한다.
   • 확률은 $p_{E|A} = \frac{\text{전술 } A \text{를 위해 기술 } E \text{를 사용하는 캠페인의 수}}{\text{전술 } A \text{에 사용된 총 기술의 수}}$로 계산된다.
   • 이 방법론은 데이터의 입도(granularity) 문제(예: 상위 수준 기술과 하위 기술이 혼재된 경우)를 처리하기 위해, 미세한 수준의 하위 기술을 우선시하거나 거친 수준의 데이터에 대해 편향 없는 최악의 경우 가정(unbiased worst-case assumptions)을 적용한다.

2. 보안 지수(Security Index) 메트릭:

   • raw 확률을 불완전한 데이터로 인해 알 수 없는 실제 세계의 절대적 발생 가능성으로 해석하는 것을 피하기 위해, 저자들은 보안 지수를 도입한다.
   • 이는 성공적인 공격의 최대 확률의 음의 로그로 정의된다: $q_\beta(T) = -\log(q_{\alpha}^{mp}(T))$.
   • 이 변환은 메트릭을 선형 순서가 있는 단위 반군(linearly ordered unital semiring, LOAD)으로 매핑하며, 여기서 높은 값은 더 안전한(성공 가능성이 낮은) 캠페인을 나타내어 비교를 용이하게 한다.

3. 템플릿을 통한 자동 모델링:

   • 노동 집약적인 수동 모델링에만 의존하는 대신, 저자들은 MITRE 공격 트리 템플릿을 도입한다. 이는 MITRE에 기록된 모든 캠페인을 자동으로 인스턴스화할 수 있는 사전 정의된 구조이다.
   • 공격자의 노력에 대한 다양한 해석을 반영하기 위해 세 가지 난이도 수준을 지원한다:
     • Hard (어려움): 전술 성공을 위해 기록된 모든 기술이 필요함 (AND 게이트로 모델링).
     • Easy (쉬움): 전술당 기록된 기술 중 하나만 있으면 성공함 (OR 게이트로 모델링).
     • Default (기본): 모든 상위 수준 기술이 필요하지만, 하위 기술은 OR 게이트를 허용하는 하이브리드 접근 방식.
   • 이 템플릿들은 MITRE 데이터의 전체 계층 구조(Campaign $\to$ Tactics $\to$ Techniques $\to$ Sub-techniques)를 포착한다.

4. cATM 로직:

   • 저자들은 기존의 ATM 로직을 사이버 보안 실무자를 위해 설계된 단순화된 2계층 로직인 cATM으로 적응시켰다.
   • cATM은 수동 프루닝(pruning) 없이 템플릿 상에서 메트릭(예: 보안 지수)을 직접 쿼리할 수 있게 해준다. 또한 확률 값의 불확실성을 모델링하기 위해 구간 산술(interval arithmetic)을 지원한다.
   • 이 로직은 특정 캠페인에 사용되지 않는 기술에 중립 요소(AND의 경우 0, OR의 경우 $\infty$)를 할당함으로써 알고리즘적으로 트리를 "프루닝"하여 보안 지수를 계산할 수 있게 한다.

주요 기여

1. 정량화 프레임워크: MITRE 빈도 데이터를 기반으로 공격 기술의 확률 유사 값을 계산하고, 이를 캠페인 비교를 위한 보안 지수로 운영화하는 체계적인 절차를 제공한다.
2. 수동 vs 자동 모델링: 논문은 그라운드 트루스(ground truth) 역할을 하는 Wocao 및 Dream Job 캠페인에 대해 수동으로 구축된 두 가지 "임시적(ad hoc)" 공격 트리를 제시한다. 그런 다음, 자동으로 생성된 템플릿(특히 "default" 난이도 수준)이 수동 모델과 매우 유사하면서도 훨씬 적은 모델링 노력으로 구현됨을 입증한다.
3. 공식 로직 개정: 불확실성을 지원하는 구간 값을 다루며, MITRE 캠페인 템플릿에 대한 정량적 메트릭 쿼리에 특화된 간소화된 로직인 cATM을 도입한다.
4. 포괄적 검증: 본 프레임워크를 23개의 모든 MITRE Enterprise 캠페인에 적용하여 보안 지수에 따라 순위가 매겨진 캠페인 목록을 생성하였다.
5. 오픈 소스 아티팩트: 템플릿 생성, 메트릭 계산 및 cATM 로직을 구현하는 공개 가능한 Python 라이브리 및 저장소(DOI: 10.5281/zenodo.14193936)를 제공한다.

결과

• 템플릿 검증: Wocao 및 Dream Job 캠페인에 대해, 자동 생성된 "default" 템플릿에서 도출된 보안 지수가 "hard" 및 "easy" 템플릿이 정의한 범위 내에 있으며 수동으로 구축된 모델과 밀접하게 일치함을 확인하였다.
• 캠페인 비교: 프레임워크는 캠페인을 성공적으로 차별화하였다. 예를 들어, Dream Job 캠페인은 default 및 hard 템플릿 모두에서 Wocao보다 낮은 보안 지수(높은 성공 가능성)를 갖는 것으로 일관되게 순위가 매겨졌으며, 이는 Dream Job이 실행하기 더 쉬움을 시사한다.
• 강건성(Robustness): 민감도 분석 결과, 보안 지수는 불완전한 지식에 대해 강건함을 보였다. 충분한 수의 캠페인이 데이터셋에 포함되면 지수의 변화는 미미했다(<10%). 다만, 초기 캠페인들은 작은 샘플 크기로 인해 더 높은 가변성을 보였다.
• 역전 분석(Inversion Analysis): Hard, Easy, Default 템플릿에 의해 생성된 순위를 비교한 결과, 절대적인 캠페인 순서는 바뀔 수 있지만(예: Hard와 Default 순위 간 37개의 역전 발생), 대부분의 캠페인에 대해 상대적 난이도의 일반적인 경향은 일관되게 유지되었다.

의의 및 주장
본 논문은 사이버 보안 실무자에게 투명하고 책임 있으며 데이터에 기반한 의사결정 도구를 제공한다고 주장한다. 비정형화된 MITRE 인텔리전스를 정량적 보안 지수로 변환함으로써, 조직은 다음과 같은 성과를 얻을 수 있다:

• 가장 발생 가능성이 높은 공격 캠페인에 대해 방어 자원을 우선순위화한다.
• 각 새로운 위협에 대해 깊은 수동 모델링 전문 지식을 요구하지 않고도 서로 다른 APT 캠페인의 상대적 난이도를 비교한다.
• 데이터 기반 베이스라인에 맞추어 커스텀 위협 모델을 검증한다.

저자들은 자신들의 방법이 모든 정량적 관련 데이터를 포착하면서도 전통적인 수동 접근 방식보다 "모델링 노력이 상당히 적다"는 점을 강조한다. 또한 보안 지수의 절대적인 값보다는 우선순위 지정을 위한 상대적인 순서가 더 중요하다고 언급한다. 논문은 현재의 검증이 두 개의 특정 캠페인에 국한되어 있음을 인정하며, 더 넓은 적용 가능성을 보장하기 위해 수동으로 구축된 모델을 사용하는 사이버 보안 전문가들의 추가 검증을 촉구하며 마무리된다.