A Scalable Game-Theoretic Approach for Selecting Security Controls from Standardized Catalogues

Resumo Técnico: Uma Abordagem Escalável Baseada em Teoria dos Jogos para Seleção de Controles de Segurança

1. O Problema

A seleção da combinação ideal de controles de segurança para proteger ativos de um sistema é uma tarefa complexa e crítica. A escolha inadequada pode deixar o sistema vulnerável a ataques cibernéticos, comprometendo a confidencialidade, integridade e disponibilidade dos dados.
Os principais desafios identificados são:

• Escala e Complexidade: Catálogos de controles padronizados (como ITSG-33, NIST SP 800-53) são vastos. É impossível implementar todos os controles possíveis devido a restrições orçamentárias e de tempo.
• Dependências e Restrições: Os controles não são independentes; existem dependências complexas entre eles (ex: um controle de criptografia pode exigir um controle de gestão de chaves prévio).
• Fator Humano e Comportamento do Atacante: Abordagens tradicionais baseadas em otimização frequentemente ignoram o elemento humano e o comportamento estratégico do atacante, tratando ameaças apenas como probabilidades estáticas, que são difíceis de estimar com precisão na prática.
• Escalabilidade: Métodos existentes, muitas vezes baseados em força bruta ou otimização pura, não escalam bem para sistemas grandes com muitas opções de controles e restrições.

2. Metodologia

Os autores propõem uma abordagem baseada na Teoria dos Jogos para modelar o problema de seleção de controles como um jogo de soma zero, de um único lance (one-shot), entre dois jogadores: o Analista de Segurança (defensor) e o Atacante.

O processo é dividido em seis etapas principais, automatizadas por uma ferramenta chamada CSAT (Control Selection Assistant Tool):

1. Identificação de Controles Atômicos: O analista identifica controles aplicáveis a partir de um catálogo (ex: ITSG-33) com base em um modelo de ameaças (ex: STRIDE) e inclui controles obrigatórios.
2. Atribuição de Eficácia: Para cada controle atômico, é atribuída uma eficácia (valor entre 0 e 1) para cada objetivo de segurança (Confidencialidade, Integridade, Disponibilidade) de cada ativo.
3. Atribuição de Custo: Cada controle recebe um custo de implementação (financeiro ou de esforço).
4. Geração de Combinações Válidas:
   • Utiliza-se uma Álgebra de Família de Produtos (Product Family Algebra) para formalizar as dependências entre controles (obrigatórios, opcionais, requisitos).
   • Define-se uma regra de orçamento para filtrar combinações que excedem o limite financeiro.
   • O objetivo é gerar um conjunto de estratégias válidas (combinações de controles) que respeitem as dependências e o orçamento.
5. Construção da Matriz do Jogo:
   • Linhas: Representam as combinações válidas de controles (estratégias do analista).
   • Colunas: Representam os objetivos de segurança dos ativos que podem ser violados (estratégias do atacante).
   • Pagamentos (Payoffs): Calculados com base na eficácia combinada dos controles. A eficácia de uma combinação é calculada subtraindo a ineficácia composta de cada controle individual da eficácia total (1), inspirado na abordagem DDP da NASA.
6. Jogando o Jogo:
   • O analista define um Perfil de Atacante, que prioriza quais ativos e objetivos o atacante provavelmente visará.
   • O algoritmo busca a estratégia (combinação de controles) que maximiza a eficácia total contra os objetivos prioritários do perfil do atacante, dentro do orçamento.
   • O processo é iterativo: se houver múltiplos objetivos ordenados, o algoritmo refina a seleção para maximizar o primeiro objetivo e, entre as melhores opções, maximiza o segundo, e assim por diante.

3. Contribuições Chave

• Abordagem Baseada em Comportamento: Diferente de métodos puramente probabilísticos, esta abordagem foca no comportamento estratégico do atacante e na priorização de objetivos, sem depender de probabilidades exatas de sucesso de ataque (que são desconhecidas na prática).
• Formalização de Dependências: Uso da álgebra de família de produtos para gerenciar rigorosamente as dependências complexas entre controles, garantindo que apenas combinações tecnicamente viáveis sejam consideradas.
• Escalabilidade via Algoritmo Otimizado: Desenvolvimento de um algoritmo personalizado (implementado no CSAT) que resolve o problema de seleção como uma variação do Problema da Mochila (Knapsack Problem) com restrições de dependência. Isso permite encontrar soluções ótimas sem precisar enumerar todas as $2^N$ combinações possíveis, tornando o método viável para grandes sistemas.
• Ferramenta Automatizada (CSAT): Uma ferramenta web que automatiza todo o fluxo, desde a entrada de dados (planilhas Excel) até a geração de relatórios de combinações recomendadas, lidando com incertezas nos valores de eficácia.

4. Resultados

A metodologia foi validada através de um estudo de caso em um sistema militar fictício canadense chamado "Ravenclaw" (um sistema de IoT para inteligência de campo), utilizando o catálogo de controles ITSG-33.

• Escala do Teste: O sistema continha 7 ativos e 39 controles opcionais (além dos obrigatórios), gerando um espaço de busca de $2^{39}$ combinações possíveis.
• Desempenho: O CSAT conseguiu gerar as combinações recomendadas em tempo razoável (aprox. 10 segundos para um cenário e 16 minutos para outro com incertezas), demonstrando que o problema NP-completo pode ser resolvido de forma prática para sistemas de grande porte.
• Cenários de Ataque:
  • Cenário 1: Foco em interfaces e banco de dados. O sistema sugeriu uma combinação de 22 controles opcionais com custo de $940.000.
  • Cenário 2: Foco em sensores e canais de satélite. O sistema identificou duas combinações válidas dependendo da incerteza na eficácia de um controle específico, demonstrando a robustez da ferramenta em lidar com dados imprecisos.
• Conclusão do Estudo: A abordagem conseguiu identificar combinações de controles que seriam impossíveis de encontrar manualmente devido à complexidade e ao número de variáveis.

5. Significância e Conclusão

O artigo demonstra que a seleção de controles de segurança pode ser transformada de uma atividade subjetiva e baseada em intuição em um processo sistemático, repetível e matematicamente fundamentado.

• Viabilidade Prática: A abordagem elimina a necessidade de estimativas probabilísticas de ataques, substituindo-as por suposições sobre o perfil e os objetivos do atacante, o que é mais realista para analistas de segurança.
• Suporte à Decisão: A ferramenta auxilia analistas a tomar decisões informadas, equilibrando custos, eficácia e dependências técnicas contra ameaças específicas.
• Escalabilidade: A prova de conceito com 39 controles opcionais sugere que o método é escalável para sistemas reais complexos, superando as limitações de abordagens anteriores que falhavam em lidar com grandes catálogos de controles.

Em suma, o trabalho oferece um framework robusto para a engenharia de segurança de sistemas, integrando teoria dos jogos, álgebra formal e otimização computacional para mitigar riscos cibernéticos de forma eficiente.