i-EXAM: Instructable and Explainable Attack Connectivity Graph Modeler

Technische Samenvatting van i-EXAM: Instructable en Uitlegbare Attack Connectivity Graph Modeler

Probleemstelling
Het beveiligen en administreren van grootschalige netwerken is inherent uitdagend omdat een enkele wijziging aan een netwerkcomponent de algehele beveiligingshouding en veerkracht drastisch kan veranderen. Traditionele benaderingen hebben vaak moeite om tegelijkertijd over aanvalsvectoren en netwerkfunctionaliteit te redeneren. Hoewel het SPEAR-framework eerder voorstelde om een Attack Connectivity Graph (ACG) te gebruiken—een hypergraaf die wordt gecompileerd naar een PDDL-planningsprobleem—om de impact van aanvallen te identificeren, blijft er een behoefte aan een interactieve, toegankelijke tool waarmee systeembeheerders (sysadmins) deze complexe relaties kunnen visualiseren, "wat-als"-analyses kunnen uitvoeren en de rationale achter beveiligingsstrategieën kunnen begrijpen zonder expertise te vereisen in automatische planningssystemen.

Methodologie
i-EXAM is een interactieve tool gebouwd op het SPEA-framework die geavanceerde AI-planners integreert met Large Language Models (LLMs) om netwerkbeveiliging te modelleren, te analyseren en uit te leggen. De methodologie verloopt via vier primaire fasen:

1. Dataverzameling en Modelconstructie:
   i-EXAM automatiseert de creatie van planningsmodellen door systeem- en netwerkniveau-attributen (software, versies, poorten, protocollen, IP's) te verzamelen met behulp van tools zoals Nmap, Wazuh en gedocumenteerde gegevens. Het haalt actuele kwetsbaarheidsinformatie (CVE) op uit externe databases (NVD, ExploitDB) via scanners zoals OpenVAS. Deze data wordt gestructureerd in JSON en gevoed aan een PDDL-generator om automatisch planningsmodellen te construeren. De onderliggende formalisme compileert de ACG naar een planningsmodel ($M_G$), waarbij fluents host-attribuutparen vertegenwoordigen, acties aanvals-/connectiviteit-randen vertegenwoordigen en doelattributen dienen als doelen.

2. Visualisatie en Analyse:
   De tool rendert het netwerk als een graaf waarbij knopen hosts en bijbehorende kwetsbaarheden vertegenwoordigen, en randen verbindingen vertegenwoordigen. Het ondersteunt abstractie op meerdere niveaus, waardoor gebruikers op knopen kunnen klikken voor gedetailleerde metadata (CVSS-scores, bestandspaden, etc.). i-EXAM maakt gebruik van een top-k-planner om meerdere potentiële aanvalspaden naar een doel te visualiseren.
   Het systeem richt zich op twee specifieke beveiligingsmetrieken afgeleid van de ACG:

• Impenetrabiliteitsmetriek ($M_1$): Een binaire indicator ($F^I_A(E_A) = 1$) die bepaalt of er een geldig aanvalspad bestaat ($|E_A| = 0$).
• Aanvalligheidsmoeilijkheidsmetriek ($M_2$): Legt het minimale kosten-aanvalspad vast ($F^D_A(E_A) = \min\{|E| \mid E \in E_A\}$).
  Beide metrieken handhaven $F^1_C$, wat ervoor zorgt dat hardeningsstrategieën de serviceconnectiviteit behouden. Deze problemen worden opgelost met een A*-zoekopdracht met de LMCut-heuristiek via de Fast-Downward planner.

3. Wat-Als Analyse en Diverse Oplossingselectie:
   Om de beveiligingshouding te verbeteren, identificeert i-EXAM netwerkwijzigingen die de metriekwaarden verminderen terwijl de beschikbaarheid van services behouden blijft. In tegenstelling tot traditionele aanvalsgrafen, maakt de ACG simultaan redeneren over aanvallen en functionaliteiten mogelijk. Het systeem hanteert een strategie voor diverse oplossingsselectie, waarbij meerdere modificatiesets worden gegenereerd die zich richten op verschillende netwerkcomponenten. Deze aanpak erkent dat de "kosten" van een modificatie moeilijk exact te kwantificeren zijn en afhangen van factoren zoals de expertise van de sysadmin en de beschikbaarheid van technici, waardoor beheerders worden ondersteund bij het maken van geïnformeerde keuzes tussen uiteenlopende opties.

4. Generatie van Verklaringen:
   Om de kloof tussen formele planningsoutputs en menselijk begrip te overbruggen, gebruikt i-EXAM een LLM (specifiek llama-3.1-nemotron-70b-instruct) om verklaringen in natuurlijke taal te genereren. Het maakt gebruik van een gemodificeerde versie van "verklaringen door modelrestrictie", waarbij contrafeitelijke plannen worden gepresenteerd die de vorige metriekwaarden zouden hebben voldaan, en legt uit hoe de voorgestelde wijzigingen die plannen ongeldig maken.

Belangrijkste Bijdragen

• Interactieve Tooling: i-EXAM biedt een gebruiksvriendelijke interface voor sysadmins om netwerkarchitectuur te visualiseren, aanvalspaden te highlighten en hardeningstrategieën te verkennen zonder kennis van PDDL of AI-planning nodig te hebben.
• Formele Garanties: Door de garanties van de SPEAR-framework voor correctheid (soundness) en volledigheid (completeness) over te nemen, garandeert i-EXAM dat elk geldig plan in het model overeenkomt met een geldig aanval- of connectiviteitspad in de ACG, en vice versa.
• Geautomatiseerde Pipeline: De tool automatiseert de volledige pipeline van netwerkscannen (Nmap, Wazuh, OpenVAS) tot PDDL-modelconstructie, waardoor handmatige modellering wordt geëlimineerd.
• Verklaarbaarheid via LLMs: Het integreert LLMs om gestructureerde contrafeitelijke planningssporen te vertalen naar natuurlijke taal, waardoor de rationale voor beveiligingsaanbevelingen toegankelijk wordt voor niet-experts.
• Generatie van Diverse Strategieën: Het systeem genereert diverse hardeningstrategieën om rekening te houden met de onzekerheid in implementatiekosten en beperkingen.

Resultaten en Prestaties
Empirische evaluaties op netwerken met ongeveer 30 knopen (zoals geciteerd door Podder et al. 2025) laten zien dat heuristische begeleiding (LMCut) de rekentijd consistent met ongeveer 50% vermindert voor zowel de impenetrabiliteits- als de aanvalligheidsmoeilijkheidsmetrieken. De top-k-planner slaagt erin om diverse aanvalspaden te enumereren, zelfs in grotere netwerken. Het systeem wordt succesvol geïnstantieerd in casestudy's waar het automatisch doelen kan highlighten, aanvalsplannen met kosten kan presenteren, en diverse modificatieopties kan genereren met bijbehorende verklaringen voor waarom die opties de aanvallen elimineren of de kosten ervan verhogen.

Betekenis en Claims
Het artikel positioneert i-EXAM als een brug tussen formele AI-plannings Theorie en real-world netwerkbeheer. De primaire betekenis ligt in het toegankelijk maken van planning-gebaseerde beveiligingsanalyse voor systeembeheerders door middel van automatisering en natuurlijke taalverklaring. De auteurs beweren dat de domeonafhankelijke aard van de PDDL-gebaseerde ACG-formalisme het de tool mogelijk maakt om te generaliseren over willekeurige netwerktopologieën en kwetsbaarheidscombinaties zonder taakspecifieke fijnafstemming. Bovendien zorgt het human-in-the-loop ontwerp ervoor dat beheerders hun domeinkennis kunnen toepassen bij het selecteren van diverse hardeningopties, terwijl de tool de complexe computationele redenering afhandelt. Dit werk wordt gepresenteerd als een stap naar meer veerkrachtig netwerkbeheer, waarbij toekomstig werk wordt voorgesteld voor geleerde kostenfuncties, bruikbaarheidsstudies met domeinexperts en schaling naar grotere bedrijfsnetwerken.