Integrating Network and Attack Graphs for Service-Centric Impact Analysis

Technische Samenvatting: Integratie van Netwerk- en Aanvalgrafieken voor Dienstgerichte Impactanalyse

Probleemstelling
Traditionele methoden voor cyberaanvalanalyse werken vaak geïsoleerd, met een focus op ofwel aanvalspaden (aanvalgrafieken) ofwel netwerktopologie, zonder hun onderlinge afhankelijkheid effectief te vatten. Bestaande benaderingen worstelen met het kwantificeren van hoe aanvallen zich voortplanten over onderling verbonden diensten of met het meten van de cumulatieve impact van kwetsbaarheden op gebruikersgerichte functionaliteiten. Hoewel er probabilistische modellen bestaan voor het schatten van aanvalsucces en er netwerkmogelijkheidsmetrieken bestaan voor connectiviteit, integreren slechts enkele kaders deze perspectieven om een dienstgerichte visie op risico te bieden. Deze kloof beperkt het vermogen van beveiligingsplanners om kritieke knooppunten en kwetsbaarheden te identificeren die aanzienlijk van invloed zijn op aanvalresultaten in complexe, meerlagige ondernemingsomgevingen.

Methodologie
De auteurs stellen een nieuw probabilistisch meerlagig modelleringkader voor dat aanvalgrafieken integreert met communicatienetwerktopologie. De kern van de methodologie omvat:

1. Grafiekconstructie:

   • Aanvalgrafiek: Weergegeven als een Gerichte Acyclische Grafiek (DAG) waarbij knooppunten aanvalstoestanden aanduiden (bijv. privilege-niveaus, bestandswijzigingen) en gerichte randen exploits vertegenwoordigen. Randgewichten ($p_E$) geven de waarschijnlijkheid aan van het exploiteren van een kwetsbaarheid, afgeleid van standaardmetrieken zoals CVSS-exploitabiliteitscores.
   • Netwerkgrafiek: Vertegenwoordigt de communicatie-infrastructuur waarbij knooppunten netwerkapparaten of servers zijn en randen communicatielinks voorstellen. Randgewichten ($w_n$) geven de waarschijnlijkheid aan van succesvolle communicatie of aanvalvoortplanting tussen knooppunten.
   • Integratie: De twee grafieken worden gecombineerd door aanvalstoestanden te groeperen op basis van de diensten die ze beïnvloeden en deze groepen af te beelden op specifieke netwerkknopen. Start- en eindtoestanden van de aanval worden verbonden met de relevante netwerkknopen via gerichte links met een gewicht van 1,0.

2. Probabilistische Berekening:

   • Het kader berekent de gecombineerde waarschijnlijkheid van een succesvolle aanvalsstap ($p(i, j)$) als het product van de connectiviteitswaarschijnlijkheid op netwerkniveau ($p_N$) en de kwetsbaarheidsexploitabiliteit ($p_E$): $p(i, j) = p_N(i, j) \times p_E(i, j)$.
   • $p_N$ wordt berekend met behulp van een Eenvoudig Contagie-algoritme, waarbij rekening wordt gehouden met alle niet-snijdende paden tussen netwerkknopen.
   • De waarschijnlijkheid om een specifieke toestand te bereiken ($P(i)$) wordt berekend onder de aanname van onafhankelijke aanvalspaden, met behulp van de formule $P(i) = 1 - \prod_{j \in A} [1 - P(j, i)]$, waarbij $A$ de verzameling voorgaande toestanden is.

3. Impactmetrieken:
   De studie introduceert verschillende kwantitatieve metrieken om risico op verschillende niveaus te beoordelen:

   • Verwachte Cumulatieve Impact ($CE[I_i]$): De som van de verwachte impacten van alle kwetsbaarheden op paden die leiden tot een specifieke toestand.
   • Knooppunt-specifieke Impact ($CNODE$): De som van de verwachte impacten van kwetsbaarheden die een specifieke dienst/knooppunt beïnvloeden, onafhankelijk van eerdere aanvalvoortplanting.
   • Cumulatieve Inkomende Impact ($CIN$): De impact die is opgebouwd tot het punt waarop een aanval voet aan de grond krijgt in een dienst.
   • Cumulatieve Uitgaande Impact ($COUT$): De totale impact als een dienst wordt gebruikt als een springplank om verdere doelen te bereiken of het aanvalsdoel te bereiken.

Casestudie en Resultaten
De methodologie werd gevalideerd met behulp van een realistische casestudie die een op glasvezel gebaseerde ondernemingsnetwerktopologie en een aanvalgrafiek omvatte die was afgeleid uit een multi-cloud ondernemingsscenario.

• Initiële Analyse: Bij de aanname dat netwerklinks volledig betrouwbaar waren ($w_n = 1,0$), identificeerde de analyse Knooppunt 2 (VM-groepen) als het knooppunt met de hoogste knooppunt-specifieke impact vanwege zijn grote aanvalsoppervlak, ondanks dat het enkele minder te exploiteren kwetsbaarheden had. Knooppunt 7 (Beheerserver) toonde een hoge inkomende en uitgaande impact, wat aangeeft dat het een kritiek transitiepunt is voor hoog-impact aanvallen, zelfs als het directe aantal kwetsbaarheden lager is.
• Kwetsbaarheidsmitigatie: Het simuleren van het verwijderen van individuele kwetsbaarheden onthulde dat het repareren van instap-kwetsbaarheden (bijv. DIRECT-ACCESS) en die welke vroeg in aanvalspaden voorkomen (bijv. CVE-2009-1535), de hoogste reductie in cumulatieve impact opleverde. Kwetsbaarheden met een hoge impact maar lage exploitabiliteit of die laat in de aanvalsketting voorkomen, hadden minder effect op het algehele resultaat.
• Knooppuntbewaking: Het simuleren van verbeterde bewaking (vermindering van exploitabiliteit met 80%) toonde aan dat het beveiligen van instapknooppunten (Knooppunten 1, 4, 6, 8) de kans op diepe netwerkpenetratie aanzienlijk verlaagde. Het bewaken van Knooppunt 2 was echter ook zeer effectief vanwege het grote aantal aanvalspaden dat erdoorheen loopt.
• Variatie in Netwerklinkgewichten: Wanneer netwerklinkgewichten ($w_n$) werden verlaagd om strengere netwerkbewaking of lagere connectiviteit te simuleren, nam het belang van kwetsbaarheden in een vroeg stadium toe. Het model toonde aan dat in omgevingen met lage laterale bewegingskansen, het mitigeren van instappunten de meest effectieve strategie wordt, terwijl het belang van kwetsbaarheden diep in het netwerk (bijv. op Knooppunt 3) snel afneemt naarmate de kans om ze te bereiken daalt.

Belangrijkste Bijdragen en Betekenis
Het artikel claimt de volgende bijdragen:

1. Geïntegreerd Kader: Het biedt een samenhangende, dienstgerichte modelleringbenadering die aanvalvoortplantingsdynamiek combineert met netwerkkoppingskansen, waarmee de beperking wordt aangepakt om deze factoren geïsoleerd te analyseren.
2. Kwantitatieve Dienstniveaumetrieken: De introductie van $CIN$, $COUT$ en $CNODE$-metrieken maakt het kwantificeren mogelijk van zowel de impact van inkomende aanvallen op een dienst als het potentieel van die dienst om aanvallen naar andere delen van het systeem voort te planten.
3. Hanteerbare Inzichten voor Mitigatie: De studie toont aan dat het kader kritieke knooppunten en kwetsbaarheden kan identificeren die niet direct voor de hand liggen bij het bekijken van alleen aanvalgrafieken of netwerktopologie. Het benadrukt bijvoorbeeld dat een knooppunt met een klein aanvalsoppervlak maar hoge connectiviteit met kritieke activa (zoals Knooppunt 7) prioritaire bewaking kan vereisen.
4. Scenarioanalyse: Het model evalueert effectief hoe verschillende verdedigingsstrategieën (bijv. patchen van specifieke kwetsbaarheden versus het verbeteren van netwerkbrede bewaking) het risicolandschap veranderen, en toont aan dat de optimale mitigatiestrategie afhankelijk is van de betrouwbaarheid van het onderliggende netwerk.

De auteurs concluderen dat deze benadering de analyse van cyberaanvallen in complexe netwerkomgevingen vooruit helpt door een meer hanteerbare visie te bieden voor risicobeoordeling en mitigatieplanning, met name in scenario's waarin het begrijpen van de wisselwerking tussen dienstafhankelijkheden en netwerktopologie cruciaal is.