How hard can it be? Quantifying MITRE attack campaigns with attack trees and cATM logic

Technische Samenvatting: Het kwantificeren van MITRE Attack Campaigns met Attack Trees en cATM-logica

Probleemstelling
Cybersecurity-experts worden geconfronteerd met een overweldigend aantal georganiseerde Advanced Persistent Threat (APT) campagnes die zijn vastgelegd in de MITRE ATT&CK kennisbank. Hoewel MITRE ATT&CK de de facto standaard is voor het registreren van aanvalstactieken en -technieken, ontbreekt een rechtstreeks mechanisme voor de kwantitatieve vergelijking van deze campagnes, met name wat betreft de waarschijnlijkheid van hun voorkomen. Huidige methoden bieden niet:

1. Een fijnmazige, flexibele manier om waarschijnlijkheidsgegevens uit MITRE te extraheren om de kans op specifieke campagnes te evalueren.
2. Een formele, "vangnet"-methode om elke geregistreerde campagne te modelleren en te bevragen om gestructureerde analyse en kwantitatieve vergelijking te faciliteren.

Zonder deze mogelijkheden hebben professionals moeite om defensieve middelen effectief te prioriteren tegen de meest bedreigende campagnes.

Methodologie
De auteurs stellen een raamwerk voor dat gebaseerd is op data-mining uit publieke MITRE-bronnen om de waarschijnlijkheid van aanvallen te kwantificeren en campagnes te vergelijken met behulp van Attack Trees (AT's) en een herziene formele logica genaamd cATM.

1. Data-gestuurde schatting van waarschijnlijkheid:

   • Het raamwerk behandelt de frequentie van het gebruik van een techniek binnen een specifieke tactiek over alle geregistreerde campagnes als een proxy voor de waarschijnlijkheid van het voorkomen ervan.
   • Waarschijnlijkheden worden berekend als $p_{E|A} = \frac{\text{aantal campagnes dat techniek } E \text{ gebruikt voor tactiek } A}{\text{totaal aantal technieken gebruikt voor tactiek } A}$.
   • De methodologie gaat om met problemen in gegevensgranulariteit (bijv. gemengde gegevens waarbij zowel hoogwaardige technieken als subtechnieken zijn geregistreerd) door prioriteit te geven aan fijnmazige subtechnieken of door ongezochte "worst-case" aannames toe te passen op grovere gegevens.

2. Security Index Metriek:

   • Om te voorkomen dat ruwe waarschijnlijkheden worden geïnterpreteerd als absolute real-world waarschijnlijkheden (die onkenbaar zijn door incomplete data), introduceren de auteurs een Security Index.
   • Deze wordt gedefinieerd als de negatieve logaritme van de maximale waarschijnlijkheid van een succesvolle aanval: $q_\beta(T) = -\log(q_{\alpha}^{mp}(T))$.
   • Deze transformatie brengt de metriek in kaart naar een lineair geordende unitale semiring (LOAD) waar hogere waarden duidelere veiligheid aangeven (een minder waarschijnlijke succesvolle aanval), wat vergelijking vergemakkelijkt.

3. Automatische modellering via sjablonen:

   • In plaats van uitsluitend te vertrouwen op arbeidsintensieve handmatige modellering, introduceren de auteurs MITRE Attack Tree Templates. Dit zijn vooraf gedefinieerde structuren die automatisch elke in MITRE geregistreerde campagne kunnen instantiëren.
   • Drie moeilijkheidsgraden worden ondersteund om verschillende interpretaties van de inspanning van de aanvaller te reflecteren:
     • Hard: Vereist alle geregistreerde technieken voor een tactiek om te slagen (gemodelleerd met AND-poorten).
     • Easy: Vereist slechts één geregistreerde techniek per tactiek om te slagen (gemodelleerd met OR-poorten).
     • Default: Een hybride benadering die alle hoogwaardige technieken vereist, maar subtechnieken toestaat met OR-poorten.
   • Deze sjablonen vatten de volledige hiërarchie van de MITRE-data samen (Campagne $\to$ Tactieken $\to$ Technieken $\to$ Subtechnieken).

4. cATM-logica:

   • De auteurs passen de bestaande ATM-logica aan naar cATM, een vereenvoudigde, twee-laagse logica die is ontworpen voor cybersecurity-experts.
   • cATM maakt het mogelijk om metrieken (zoals de security index) direct op de sjablonen te bevragen zonder handmatige pruning (het wegknippen van takken). Het ondersteunt intervalrekening om onzekerheid in waarschijnlijkheidswaarden te modelleren.
   • De logica maakt de berekening van de security index mogelijk door neutrale elementen (0 voor AND, $\infty$ voor OR) toe te wijzen aan technieken die niet in een specifieke campagne worden gebruikt, waardoor de boom algoritmisch wordt "gepruned".

Belangrijkste bijdragen

1. Kwantificeringsraamwerk: Een systematische procedure om waarschijnlijkheid-achtige waarden voor aanvalstechnieken te berekenen op basis van MITRE-frequentiegegevens, geoperationaliseerd in een security index voor campagnevergelijking.
2. Handmatige vs. Automatische Modellering: Het artikel presenteert twee handmatig geconstrueerde "ad hoc" Attack Trees voor de Wocao en Dream Job campagnes als grondwaarheid. Vervolgens wordt aangetoond dat automatisch gegenereerde sjablonen (specifiek het "default" moeilijkheidsniveau) security indices produceren die zeer dicht bij deze handmatige modellen liggen, maar met aanzienlijk minder modelleringsinspanning.
3. Formele Logica Revisie: De introductie van cATM, een gestroomlijnde logica die intervalwaarden en onzekerheid ondersteunt, specifiek afgestemd op het bevragen van kwantitatieve metrieken op MITRE-campagnesjablonen.
4. Uitgebreide Validatie: Het raamwerk werd toegepast op alle 23 MITRE Enterprise campagnes, waarbij een gerangschikte lijst van campagnes werd gegenereerd op basis van hun security indices.
5. Open-Source Artifact: Een publiek beschikbare Python-bibliotheek en repository (DOI: 10.5281/zenodo.14193936) die de implementatie van de sjabloongeneratie, metriekberekening en cATM-logica verzorgt.

Resultaten

• Validatie van Sjablonen: Voor de Wocao- en Dream Job-campagnes bleken de security indices afgeleid van de automatisch gegenereerde "default" sjablonen binnen het haalbare bereik te liggen dat wordt gedefinieerd door de "hard" en "easy" sjablonen, en kwamen ze nauw overeen met de handmatig geconstrueerde modellen.
• Campagnevergelijking: Het raamwerk slaagde erin campagnes te differentiëren. Zo werd de Dream Job campagne consistent gerangschikt met een lagere security index (hogere waarschijnlijkheid van succes) dan Wocao over de default en hard sjablonen, wat suggereert dat Dream Job gemakkelijker uit te voeren is.
• Robuustheid: Sensitiviteitsanalyse toonde aan dat de security index robuust is tegen imperfecte kennis. Variaties in de index waren verwaarloosbaar (<10%) zodra een voldoende aantal campagnes in de dataset was opgenomen, hoewel vroege campagnes een hogere variabiliteit vertoonden door kleine steekproeven.
• Inversie-analyse: Het vergelijken van ranglijsten gegenereerd door Hard, Easy en Default sjablonen toonde aan dat hoewel de absolute volgorde van campagnes kan verschuiven (bijv. 37 inversies tussen Hard en Default ranglijsten), de algemene trend van relatieve moeilijkheid consistent blijft voor de meeste campagnes.

Betekenis en Claims
Het artikel claimt een transparant, verantwoorderd en datagedreven instrument voor besluitvorming te bieden aan cybersecurity-experts. Door ongestructureerde MITRE-intelligentie om te zetten in kwantitatieve security indices, stelt het raamwerk organisaties in staat om:

• Defensieve middelen te prioriteren tegen de meest waarschijnlijke aanvalscampagnes.
• De relatieve moeilijkheid van verschillende APT-campagnes te vergelijken zonder diepgaande, handmatige modelleringsexpertise voor elke nieuwe dreiging te vereisen.
• Custom threat-modellen te valideren tegen een datagedreven baseline.

De auteurs benadrukken dat hun methode "substantieel lichter is in modelleringsinspanning" dan traditionele handmatige benaderingen, terwijl het alle kwantitatief relevante data vastlegt. Zij merken op dat de absolute waarden van de security index minder belangrijk zijn dan hun relatieve ordening voor prioritering. Het artikel concludeert met een oproep tot verdere validatie door cybersecurity-experts met meer handmatig gebouwde modellen om de bredere toepasbaarheid te waarborgen, waarbij wordt erkend dat de huidige validatie beperkt is tot twee specifieke campagnes.