i-EXAM: Instructable and Explainable Attack Connectivity Graph Modeler

Resumo Técnico do i-EXAM: Modelador de Grafo de Conectividade de Ataque Instruível e Explicável

Declaração do Problema
Proteger e administrar redes de larga escala é inerentemente desafiador porque uma única modificação em um componente de rede pode alterar drasticamente a postura de segurança e a resiliência global. Abordagens tradicionais frequentemente lutam para raciocinar simultaneamente sobre vetores de ataque e funcionalidade de rede. Embora o framework SPEAR tenha proposto anteriormente o uso de um Grafo de Conectividade de Ataque (ACG) — um hipergrafo compilado em um problema de planejamento PDDL — para identificar impactos de ataques, permanece a necessidade de uma ferramenta interativa e acessível que permita aos administradores de sistemas (sysadmins) visualizar essas relações complexas, realizar análises de "e se" (what-if) e compreender a lógica por trás das estratégias de endurecimento de segurança sem exigir expertise em sistemas de planejamento automatizado.

Metodologia
O i-EXAM é uma ferramenta interativa construída sobre o framework SPEAR que integra planejadores de IA de última geração com Grandes Modelos de Linguagem (LLMs) para modelar, analisar e explicar a segurança de rede. A metodologia procede através de quatro estágios primários:

1. Coleta de Dados e Construção do Modelo:
   O i-EXAM automatiza a criação de modelos de planejamento coletando atributos de sistema e de rede (software, versões, portas, protocolos, IPs) usando ferramentas como Nmap, Wazuh e dados documentados. Ele recupera informações atualizadas de vulnerabilidades (CVE) de bases de dados externas (NVD, ExploitDB) via scanners como OpenVAS. Esses dados são estruturados em JSON e alimentados em um gerador de PDDL para construir automaticamente modelos de planejamento. O formalismo subjacente compila o ACG em um modelo de planejamento ($M_G$), onde os fluentes representam pares atributo-host, ações representam arestas de ataque/conectividade e atributos alvo servem como objetivos.

2. Visualização e Análise:
   A ferramenta renderiza a rede como um grafo onde nós representam hosts e vulnerabilidades associadas, e arestas representam conexões. Ela suporta abstração de múltiplos níveis, permitindo que usuários cliquam em nós para detalhes de metadados (pontuações CVSS, caminhos de arquivos, etc.). O i-EXAM utiliza um top-k-planner para visualizar múltiplos caminhos de ataque potenciais para um alvo.
   O sistema foca em duas métricas de segurança específicas derivadas do ACG:

• Métrica de Impenetralidade ($M_1$): Um indicador binário ($F^I_A(E_A) = 1$) determinando se qualquer caminho de ataque válido existe ($|E_A| = 0$).
• Métrica de Dificuldade de Ataque ($M_2$): Captura o caminho de ataque de custo mínimo ($F^D_A(E_A) = \min\{|E| \mid E \in E_A\}$).
  Ambas as métricas impõem $F^1_C$, garantindo que as estratégias de endurecimento preservem a conectividade do serviço. Esses problemas são resolvidos usando busca A* com a heurística LMCut através do planejador Fast-Downward.

3. Análise de "E Se" (What-If) e Seleção de Soluções Diversas:
   Para melhorar a postura de segurança, o i-EXAM identifica modificações de rede que reduzem os valores das métricas enquanto mantêm a disponibilidade do serviço. Diferente de grafos de ataque tradicionais, o ACG permite o raciocínio simultâneo sobre ataques e funcionalidades. O sistema emprega uma estratégia de seleção de soluções diversas, gerando múltiplos conjuntos de modificação que focam em diferentes componentes de rede. Esta abordagem reconhece que o "custo" de uma modificação é difícil de quantificar precisamente e depende de fatores como a expertise do sysadmin e a disponibilidade de técnicos, thereby capacitando os administradores a fazerem escolhas informadas entre várias opções.

4. Geração de Explicação:
   Para preencher a lacuna entre saídas de planejamento formal e a compreensão humana, o i-EXAM utiliza um LLM (especificamente o llama-3.1-nemotron-70b-instruct) para gerar explicações em linguagem natural. Ele utiliza uma versão modificada de "explicações por restrição de modelo", apresentando planos contrafatuais que teriam satisfeito os valores de métricas anteriores e explicando como as mudanças propostas invalidam esses planos.

Principais Contribuições

• Ferramental Interativo: O i-EXAM fornece uma interface amigável para sysadmins visualizarem a arquitetura de rede, destacarem caminhos de ataque e explorarem estratégias de endurecimento sem precisar de conhecimento de PDDL ou planejamento de IA.
• Garantias Formais: Ao herdar as garantias de correção (soundness) e completude do framework SPEAR, o i-EXAM garante que qualquer plano válido no modelo corresponde a um caminho de ataque ou conectividade válido no ACG, e vice-versa.
• Pipeline Automatizado: A ferramenta automatiza todo o pipeline, desde o escaneamento de rede (Nmap, Wazuh, OpenVAS) até a construção do modelo PDDL, eliminando a necessidade de modelagem manual.
• Explicabilidade via LLMs: Integra LLMs para traduzir traços de planos contrafatuais estruturados em linguagem natural, tornando a lógica das recomendações de segurança acessível a não especialistas.
• Geração de Estratégia Diversa: O sistema gera estratégias de endurecimento diversas para dar conta da incerteza nos custos de implementação e restrições.

Resultados e Desempenho
Avaliações empíricas em redes com aproximadamente 30 nós (conforme citado por Podder et al. 2025) demonstram que a orientação heurística (LMCut) reduz consistentemente o tempo de computação em aproximadamente 50% em ambas as métricas de impenetralidade e dificuldade de ataque. O top-k-planner consegue enumerar caminhos de ataque diversos mesmo em redes maiores. O sistema é instanciado com sucesso em estudos de caso onde pode destacar alvos automaticamente, apresentar planos de ataque com custos e gerar opções de modificação diversas com as respectivas explicações de por que essas opções eliminam ou aumentam o custo dos ataques.

Significância e Alegações
O artigo posiciona o i-EXAM como uma ponte entre a teoria de planejamento de IA formal e as operações de segurança de rede do mundo real. Sua principal significância reside em tornar a análise de segurança baseada em planejamento acessível aos administradores de sistemas através da automação e explicação em linguagem natural. Os autores alegam que a natureza independente de domínio do formalismo ACG baseado em PDDL permite que a ferramenta se generalize através de topologias de rede e combinações de vulnerabilidades arbitrárias sem necessidade de ajuste fino (fine-tuning) específico para a tarefa. Além disso, o design com humano no ciclo (human-in-the-loop) garante que os administradores possam aplicar julgamento de domínio ao selecionar entre diversas opções de endurecimento, enquanto a ferramenta lida com o raciocínio computacional complexo. O trabalho é apresentado como um passo em direção a uma gestão de rede mais resiliente, com trabalhos futuros propostos para funções de custo aprendidas, estudos de usabilidade com especialistas de domínio e escalonamento para redes corporativas maiores.