Integrating Network and Attack Graphs for Service-Centric Impact Analysis

Resumo Técnico: Integração de Grafos de Rede e de Ataque para Análise de Impacto Centrada em Serviços

Declaração do Problema
Os métodos tradicionais de análise de ciberataques frequentemente operam de forma isolada, focando ou em caminhos de ataque (grafos de ataque) ou na topologia de rede, sem capturar efetivamente sua interdependência. As abordagens existentes lutam para quantificar como os ataques se propagam através de serviços interconectados ou para medir o impacto cumulativo de vulnerabilidades nas funcionalidades voltadas para o usuário. Embora existam modelos probabilísticos para estimar o sucesso do ataque e métricas de resiliência de rede para conectividade, poucos frameworks integram essas perspectivas para fornecer uma visão centrada em serviços do risco. Essa lacuna limita a capacidade dos planejadores de segurança de identificar nós e vulnerabilidades críticos que influenciam significativamente os resultados dos ataques em ambientes empresariais complexos e multicamadas.

Metodologia
Os autores propõem um novo framework de modelagem probabilística multicamada que integra grafos de ataque com a topologia da rede de comunicação. O núcleo da metodologia envolve:

1. Construção de Grafos:

   • Grafo de Ataque: Representado como um Grafo Acíclico Direcionado (DAG), onde os nós denotam estados de ataque (por exemplo, níveis de privilégio, modificações de arquivo) e as arestas direcionadas representam explorações. Os pesos das arestas ($p_E$) denotam a probabilidade de explorar uma vulnerabilidade, derivada de métricas padrão como pontuações de explorabilidade do CVSS.
   • Grafo de Rede: Representa a infraestrutura de comunicação, onde os nós são dispositivos ou servidores de rede e as arestas representam links de comunicação. Os pesos das arestas ($w_n$) denotam a probabilidade de comunicação bem-sucedida ou propagação de ataque entre os nós.
   • Integração: Os dois grafos são combinados agrupando estados de ataque de acordo com os serviços que afetam e mapeando esses grupos para nós de rede específicos. Os estados inicial e final do ataque são conectados aos nós de rede relevantes por meio de links direcionados com peso de 1,0.

2. Cálculo Probabilístico:

   • O framework calcula a probabilidade combinada de uma etapa de ataque bem-sucedida ($p(i, j)$) como o produto da probabilidade de conectividade no nível da rede ($p_N$) e da explorabilidade da vulnerabilidade ($p_E$): $p(i, j) = p_N(i, j) \times p_E(i, j)$.
   • $p_N$ é calculado usando um Algoritmo de Contágio Simples, considerando todos os caminhos não intersectantes entre os nós da rede.
   • A probabilidade de alcançar um estado específico ($P(i)$) é calculada assumindo caminhos de ataque independentes, usando a fórmula $P(i) = 1 - \prod_{j \in A} [1 - P(j, i)]$, onde $A$ é o conjunto de estados precedentes.

3. Métricas de Impacto:
   O estudo introduz várias métricas quantitativas para avaliar o risco em diferentes níveis:

   • Impacto Cumulativo Esperado ($CE[I_i]$): A soma dos impactos esperados de todas as vulnerabilidades em caminhos que levam a um estado específico.
   • Impacto por Nó ($CNODE$): A soma dos impactos esperados de vulnerabilidades que afetam um serviço/nó específico, independentemente da propagação anterior do ataque.
   • Impacto de Entrada Cumulativo ($CIN$): O impacto acumulado até o ponto em que um ataque ganha um ponto de apoio em um serviço.
   • Impacto de Saída Cumulativo ($COUT$): O impacto total se um serviço for usado como trampolim para alcançar alvos mais distantes ou atingir o objetivo do ataque.

Estudo de Caso e Resultados
A metodologia foi validada usando um estudo de caso realista envolvendo uma topologia de rede empresarial baseada em fibra óptica e um grafo de ataque derivado de um cenário empresarial multicloud.

• Análise Inicial: Com os links de rede assumidos como totalmente confiáveis ($w_n = 1,0$), a análise identificou o Nó 2 (Grupos de VMs) como tendo o maior impacto por nó devido à sua grande superfície de ataque, apesar de ter algumas vulnerabilidades menos exploráveis. O Nó 7 (Servidor de Administração) mostrou alto impacto de entrada e saída, indicando que é um ponto de trânsito crítico para ataques de alto impacto, mesmo que sua contagem direta de vulnerabilidades seja menor.
• Mitigação de Vulnerabilidades: Simular a remoção de vulnerabilidades individuais revelou que corrigir vulnerabilidades de ponto de entrada (por exemplo, DIRECT-ACCESS) e aquelas que aparecem no início dos caminhos de ataque (por exemplo, CVE-2009-1535) resultou na maior redução do impacto cumulativo. Vulnerabilidades com alto impacto, mas baixa explorabilidade, ou aquelas que aparecem no final da cadeia de ataque tiveram menos efeito no resultado geral.
• Monitoramento de Nós: Simular monitoramento aprimorado (reduzindo a explorabilidade em 80%) mostrou que garantir os nós de entrada (Nós 1, 4, 6, 8) reduziu significativamente a probabilidade de penetração profunda na rede. No entanto, monitorar o Nó 2 também foi altamente eficaz devido ao grande número de caminhos de ataque que o atravessam.
• Variação do Peso do Link de Rede: Quando os pesos dos links de rede ($w_n$) foram reduzidos para simular monitoramento de rede mais rigoroso ou conectividade menor, a importância das vulnerabilidades de estágio inicial aumentou. O modelo demonstrou que, em ambientes com baixas probabilidades de movimento lateral, mitigar pontos de entrada torna-se a estratégia mais eficaz, enquanto a significância de vulnerabilidades profundas na rede (por exemplo, no Nó 3) diminui rapidamente à medida que a probabilidade de alcançá-las cai.

Contribuições Principais e Significado
O artigo afirma as seguintes contribuições:

1. Framework Integrado: Fornece uma abordagem de modelagem coesa e centrada em serviços que combina a dinâmica de propagação de ataques com probabilidades de conectividade de rede, abordando a limitação de analisar esses fatores de forma isolada.
2. Métricas Quantitativas em Nível de Serviço: A introdução das métricas $CIN$, $COUT$e$CNODE$ permite a quantificação tanto do impacto de ataques de entrada em um serviço quanto do potencial desse serviço de propagar ataques para outras partes do sistema.
3. Insights Acionáveis para Mitigação: O estudo demonstra que o framework pode identificar nós e vulnerabilidades críticos que não são imediatamente óbvios ao observar apenas grafos de ataque ou topologia de rede. Por exemplo, destaca que um nó com uma pequena superfície de ataque, mas alta conectividade com ativos críticos (como o Nó 7), pode exigir monitoramento priorizado.
4. Análise de Cenários: O modelo avalia efetivamente como diferentes estratégias de defesa (por exemplo, corrigir vulnerabilidades específicas versus aprimorar o monitoramento em toda a rede) alteram o cenário de risco, mostrando que a estratégia de mitigação ideal depende da confiabilidade da rede subjacente.

Os autores concluem que essa abordagem avança a análise de ciberataques em ambientes de rede complexos, oferecendo uma visão mais acionável para avaliação de risco e planejamento de mitigação, particularmente em cenários onde entender a interação entre dependências de serviços e topologia de rede é crucial.