How hard can it be? Quantifying MITRE attack campaigns with attack trees and cATM logic

Resumo Técnico: Quantificando Campanhas de Ataque MITRE com Árvores de Ataque e Lógica cATM

Declaração do Problema
Profissionais de cibersegurança enfrentam um número esmagador de campanhas organizadas de Ameaças Persistentes Avançadas (APT) registradas na base de conhecimento MITRE ATT&CK. Embora o MITRE ATT&CK seja o padrão de fato para registrar táticas e técnicas de ataque, ele carece de um mecanismo direto para a comparação quantitativa dessas campanhas, particularmente em relação à sua probabilidade de ocorrência. Os métodos atuais não fornecem:

1. Uma maneira granular e flexível de extrair dados de probabilidade do MITRE para avaliar a probabilidade de campanhas específicas.
2. Um método formal e "coringa" para modelar e consultar qualquer campanha registrada para facilitar a análise estruturada e a comparação quantitativa.

Sem essas capacidades, os profissionais lutam para priorizar recursos de defesa contra as campanhas mais ameaçadoras de forma eficaz.

Metodologia
Os autores propõem uma estrutura fundamentada em dados minerados de recursos públicos do MITRE para quantificar probabilidades de ataques e comparar campanhas usando Árvores de Ataque (ATs) e uma lógica formal revisada chamada cATM.

1. Estimativa de Probabilidade Baseada em Dados:

   • A estrutura trata a frequência de uso de uma técnica dentro de uma tática específica em todas as campanhas registradas como um substituto (proxy) para sua probabilidade de ocorrência.
   • As probabilidades são calculadas como $p_{E|A} = \frac{\text{contagem de campanhas usando a técnica } E \text{ para a tática } A}{\text{contagem total de técnicas usadas para a tática } A}$.
   • A metodologia lida com problemas de granularidade de dados (ex: dados mistos onde tanto técnicas de alto nível quanto sub-técnicas são registradas) priorizando sub-técnicas de granularidade fina ou aplicando suposições de pior caso não enviesadas para dados de granularidade grossa.

2. Métrica de Índice de Segurança:

   • Para evitar a interpretação de probabilidades brutas como probabilidades reais absolutas (que são desconhecidas devido a dados incompletos), os autores introduzem um Índice de Segurança.
   • Este é definido como o logaritmo negativo da probabilidade máxima de um ataque bem-sucedido: $q_\beta(T) = -\log(q_{\alpha}^{mp}(T))$.
   • Esta transformação mapeia a métrica para um semirringue unitário linearmente ordenado (LOAD), onde valores mais altos indicam uma campanha mais segura (menos provável de ter sucesso), facilitando a comparação.

3. Modelagem Automática via Templates:

   • Em vez de depender apenas de modelagem manual trabalhosa, os autores introduzem os Templates de Árvore de Ataque MITRE. Estes são estruturas pré-definidas que podem instanciar automaticamente qualquer campanha registrada no MITRE.
   • Três níveis de dificuldade são suportados para refletir diferentes interpretações do esforço do atacante:
     • Difícil (Hard): Requer que todas as técnicas registradas para uma tática tenham sucesso (modelado com portas AND).
     • Fácil (Easy): Requer que apenas uma técnica registrada por tática tenha sucesso (modelado com portas OR).
     • Padrão (Default): Uma abordagem híbrida que exige todas as técnicas de alto nível, mas permite que as sub-técnicas sejam operadas por portas OR.
   • Esses templates capturam toda a hierarquia dos dados do MITRE (Campanha $\to$ Táticas $\to$ Técnicas $\to$ Sub-técnicas).

4. Lógica cATM:

   • Os autores adaptam a existente lógica ATM para a cATM, uma lógica de duas camadas simplificada, projetada para profissionais de cibersegurança.
   • A cATM permite consultar métricas (como o índice de segurança) diretamente nos templates sem poda manual. Ela suporta aritmética de intervalos para modelar a incerteza nos valores de probabilidade.
   • A lógica permite o cálculo do índice de segurança atribuindo elementos neutros (0 para AND, $\infty$ para OR) às técnicas não utilizadas em uma campanha específica, efetivamente "podando" a árvore algoritmicamente.

Principais Contribuições

1. Estrutura de Quantificação: Um procedimento sistemático para computar valores de probabilidade para técnicas de ataque baseados na frequência de dados do MITRE, operacionalizados em um índice de segurança para comparação de campanhas.
2. Modelagem Manual vs. Automática: O artigo apresenta duas árvores de ataque construídas manualmente "ad hoc" para as campanhas Wocao e Dream Job para servir como verdade fundamental (ground truth). Em seguida, demonstra que os templates gerados automaticamente (especificamente o nível de dificuldade "padrão") produzem índices de segurança muito próximos desses modelos manuais, mas com significativamente menos esforço de modelagem.
3. Revisão da Lógica Formal: A introdução da cATM, uma lógica simplificada que suporta valores de intervalo e incerteza, especificamente adaptada para consultar métricas quantitativas em templates de campanhas MITRE.
4. Validação Abrangente: A estrutura foi aplicada a todas as 23 campanhas Enterprise do MITRE, gerando uma lista ranqueada de campanhas baseada em seus índices de segurança.
5. Artefato de Código Aberto: Uma biblioteca Python e um repositório publicamente disponíveis (DOI: 10.5281/zenodo.14193936) que implementam a geração de templates, o cálculo de métricas e a lógica cATM.

Resultos

• Validação de Templates: Para as campanhas Wocao e Dream Job, os índices de segurança derivados dos templates "padrão" gerados automaticamente foram encontrados dentro da faixa viável definida pelos templates "difícil" e "fácil" e aproximaram-se dos modelos construídos manualmente.
• Comparação de Campanhas: A estrutura diferenciou as campanhas com sucesso. Por exemplo, a campanha Dream Job foi consistentemente classificada com um índice de segurança menor (maior probabilidade de sucesso) do que a Wocao nos templates padrão e difícil, sugerindo que a Dream Job é mais fácil de executar.
• Robustez: A análise de sensibilidade mostrou que o índice de segurança é robusto ao conhecimento imperfeito. As variações no índice foram negligenciáveis (<10%) uma vez que um número suficiente de campanhas foi incluído no conjunto de dados, embora as campanhas iniciais tenham mostrado maior variabilidade devido aos pequenos tamanhos de amostra.
• Análise de Inversão: A comparação das classificações geradas pelos templates Difícil, Fácil e Padrão revelou que, embora a ordem absoluta das campanhas possa mudar (ex: 37 inversões entre as classificações Difícil e Padrão), a tendência geral de dificuldade relativa permanece consistente para a maioria das campanhas.

Significância e Alegações
O artigo afirma fornecer aos profissionais de cibersegurança um instrumento transparente, responsável e baseado em dados para a tomada de decisão. Ao converter a inteligência não estruturada do MITRE em índices de segurança quantitativos, a estrutura permite que as organizações:

• Priorizem recursos de defesa contra as campanhas de ataque mais prováveis.
• Comparem a dificuldade relativa de diferentes campanhas APT sem exigir profunda expertise em modelagem manual para cada nova ameaça.
• Validem modelos de ameaças customizados contra uma base de dados orientada por dados.

Os autores enfatizam que seu método é "substancialmente mais leve em esforço de modelagem" do que as abordagens manuais tradicionais, mantendo a captura de todos os dados quantitativos relevantes. Eles observam que os valores absolutos do índice de segurança são menos importantes do que sua ordenação relativa para fins de priorização. O artigo conclui com um chamado para validação adicional por especialistas em cibersegurança utilizando modelos construídos manualmente, reconhecendo que a validação atual é limitada a duas campanhas específicas.