💻 computer science

How hard can it be? Quantifying MITRE attack campaigns with attack trees and cATM logic

本文提出了一个框架，该框架通过数据驱动程序、自动基于模板的建模以及 cATM 逻辑，量化了 MITRE 攻击战役的可能性，从而实现透明、负责且高效的定量比较，以用于网络安全防御优先级的确定。

原作者： Stefano M. Nicoletti, Milan Lopuhaä-Zwakenberg, Mariëlle Stoelinga, Fabio Massacci, Carlos E. Budde

发布于 2026-01-23

📖 1 分钟阅读☕ 轻松阅读

原作者： Stefano M. Nicoletti, Milan Lopuhaä-Zwakenberg, Mariëlle Stoelinga, Fabio Massacci, Carlos E. Budde

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

大局观：网络安全的“天气预报”

想象一下，网络威胁的世界就像一片浩瀚、混乱的大海。每天都有不同的海盗集团（被称为高级持续性威胁或 APT）试图驾驶他们的船只驶入你的港口，以窃取你的货物。有些海盗非常出名，比如“Dream Job”伙计或“Wocao”帮派。

安全专家需要知道：现在哪支海盗队伍最危险？ 我们应该为 Dream Job 伙计建造更高的围墙，还是应该把精力集中在 Wocao 帮派身上？

问题在于，虽然我们有一个巨大的海盗日志库（称为 MITRE ATT&CK），但它仅仅是一个单词列表。它告诉我们海盗们做了什么，但它没有告诉我们他们成功的可能性有多大，或者阻止他们到底有多难。这就像是拥有一本关于海盗使用各种食谱的清单，却无法计算出烹饪这顿饭需要付出多少努力。

这篇论文构建了一个计算器，将这些海盗日志转化为一个清晰的“难度评分”。

计算器的三步配方

作者构建了一个包含三个主要部分的系统来解决这个问题。

1. “频率计数器”（数据挖掘）

首先，他们需要弄清楚海盗使用特定手段的频率。

类比： 想象一名侦探正在查看一百万份警察报告。他注意到在 70% 的“银行抢劫”案件中，抢劫犯都使用了一种特定类型的撬棍。而在仅 2% 的案件中，他们使用了激光切割机。
他们做了什么： 他们编写了一个计算机程序来扫描 MITRE 库。它会统计为了实现特定目标（如“进入建筑物”）而使用特定技巧（如“窃取密码”）的频率。这为每一个技巧都提供了一个粗略的“概率”数值。

2. “乐高蓝图”（攻击树）

接下来，他们需要一种方式来可视化这些技巧是如何组合成一次完整攻击的。

类比： 把一场复杂的劫案想象成盖房子。你需要地基、墙壁和屋顶。如果你少了一块砖，房子就会倒塌。
- 攻击树（Attack Trees） 就像是蓝图。树的顶端是目标（偷走黄金）。分支是完成步骤（破门、破解警报、打开保险箱）。
- 逻辑门（The Gates）： 有些步骤是 与门（AND gates）（你必须执行步骤 A 且步骤 B）。有些是 或门（OR gates）（你可以执行步骤 A 或步骤 B）。
问题： 通常情况下，安全专家必须为每一个海盗组织手动绘制这些蓝图。这既缓慢、枯燥，又容易产生人为错误。
解决方案： 作者创建了 自动模板（Automatic Templates）。想象一个“乐高套装”，它可以根据海盗使用的实际数据，自动将蓝图拼凑在一起。你不需要亲手绘制；计算机为你构建结构。

3. “难度评分”（cATM 逻辑）

最后，他们需要一种方法来比较这些蓝图。

类比： 想象你有两份不同劫案的蓝图。一份需要 5 个简单的步骤；另一份需要 50 个困难的步骤。你如何进行比较？
解决方案： 他们使用了一种特殊的数学语言（称为 cATM 逻辑）来计算一个 “安全指数”（Security Index）。
- 把这个指数想象成一个 登山分数。
- 低分意味着这座山很容易攀爬（攻击很可能成功）。
- 高分意味着这是一座陡峭且布满冰雪的悬崖（攻击很难实施）。
- 他们还创建了三个版本的“山”：
  - 简单模式： 假设海盗运气很好，只需要一个技巧就能成功。（低分）。
  - 困难模式： 假设海盗运气很差，需要每一个技巧都完美运作。（高分）。
  - 默认模式： 两者的现实混合。

他们究竟发现了什么？

作者在两个著名的海盗组织——Wocao 和 Dream Job 身上测试了他们的新计算器。

手动 vs 自动： 他们通过手工构建了一份“Wocao”的蓝图，并将其与计算机自动生成的蓝图进行了对比。
- 结果： 计算机构建的蓝图与人类构建的几乎完全相同，但耗时仅为后者的一小部分。这证明了“自动模板”是有效的。
比较海盗： 他们对这两个组织运行了数据。
- 结果： Wocao 战役拥有更高的“安全指数”（更陡峭的山）而非 Dream Job。
- 翻译： 根据数据，Wocao 的攻击比 Dream Job 更难实施。因此，如果你资源有限，你可能更应该担心 Dream Job 伙计，因为他们更容易以较少的投入取得成功。
大名单： 他们在 MITRE 库中所有 23 个 已知的企业级战役上运行了这项计算。
- 结果： 他们制作了一个排名列表（“排行榜”），展示了哪些战役是“最容易”执行的，以及哪些是“最难”的。这有助于安全团队决定在哪里投入资金。

为什么这很重要（用简单的话说）

不再靠猜： 安全专家不再需要为哪个威胁更严重而争论不休，他们可以直接看一个数字。
速度快： 每当出现新威胁时，你不需要一个专家团队来绘制新的蓝图。计算机可以瞬间完成。
公平性： 该系统以同样的方式对待每种威胁，使用相同的数学逻辑，因此比较是公平的。

局限性（不足之处）

这篇论文诚实地说明了其局限性：

垃圾进，垃圾出（Garbage In, Garbage Out）： 计算器的表现取决于它读取的数据。如果 MITRE 库中有错误或缺失的信息，得分就会出现偏差。
样本量较小： 他们仅在两个特定的海盗组织上进行了“手工绘制”与“自动绘制”的对比测试。他们需要测试更多的组织，才能 100% 确定它适用于所有人。
知识不完整： 他们是在基于过去的犯罪行为计算概率。未来可能会有所不同，但这是我们目前拥有的最好的数据。

总结

这篇论文就像是为网络安全构建了一个 GPS。它不仅仅是给你一张显示坏人曾经去过哪里的地图，它还能计算出他们下一步可能的行动的“难度等级”，从而帮助你决定先封锁哪条路。

技术摘要：利用攻击树与 cATM 逻辑对 MITRE 攻击活动进行量化

问题陈述
网络安全从业人员面临着 MITRE ATT&CK 知识库中记录的大量有组织的 APT（高级持续性威胁）攻击活动的压力。虽然 MITRE ATT&CK 是注册攻击战术和技术的行业标准，但它缺乏一种直观的机制来进行定量比较这些攻击活动，特别是关于其发生可能性的比较。现有方法无法提供：

一种从 MITRE 中提取可能性数据以评估特定攻击活动发生概率的细粒度、灵活的方法。
一种正式的、“全覆盖”的方法来建模和查询任何记录的攻击活动，以促进结构化分析和定量比较。

由于缺乏这些能力，从业人员难以针对最具威胁性的攻击活动有效地优先分配防御资源。

方法论
作者提出了一个基于从 MITRE 公共资源挖掘的数据框架，通过使用攻击树 (ATs) 和改进后的形式化逻辑 cATM 来量化攻击可能性并比较攻击活动。

数据驱动的可能性估计：
- 该框架将特定技术在所有记录的攻击活动中于特定战术下的使用频率视为其发生概率的代理。
- 概率计算公式为： $p_{E|A} = \frac{\text{使用技术 } E \text{ 实现战术 } A \text{ 的攻击活动计数}}{\text{用于战术 } A \text{ 的技术总计数}}$ 。
- 该方法处理了数据粒度问题（例如，记录中混合了高层级技术和子技术的情况），通过优先考虑细粒度的子技术或对粗粒度数据应用无偏的最坏情况假设来解决。
安全指数指标：
- 为了避免将原始概率解释为绝对的现实世界可能性（由于数据不完整，这在现实中是无法获知的），作者引入了安全指数 (Security Index)。
- 该指数定义为成功攻击的最大概率的负对数： $q_\beta(T) = -\log(q_{\alpha}^{mp}(T))$ 。
- 这种转换将指标映射到一个线性有序单位半环 (LOAD) 中，其中较高的值表示更安全（成功可能性更低）的攻击活动，从而便于比较。
通过模板进行自动建模：
- 为了不完全依赖于劳动密集型的手动建模，作者引入了 MITRE 攻击树模板。这些预定义的结构可以自动实例化 MITRE 中记录的任何攻击活动。
- 支持三种难度等级，以反映对攻击者努力程度的不同理解：
  - 困难 (Hard)： 要求实现某一战术需要所有记录的技术（使用 AND 门建模）。
  - 简单 (Easy)： 仅要求每个战术中的一个记录技术即可实现（使用 OR 门建模）。
  - 默认 (Default)： 一种混合方法，要求所有高层级技术成功，但允许子技术采用 OR 门逻辑。
- 这些模板捕捉了完整的 MITRE 数据层级（攻击活动 $\to$ 战术 $\to$ 技术 $\to$ 子技术）。
cATM 逻辑：
- 作者将现有的 ATM 逻辑 改编为 cATM，这是一种专为网络安全从业人员设计的简化两层逻辑。
- cATM 允许直接在模板上查询指标（如安全指数），而无需手动修剪。它支持区间算术以模拟概率值的确定性。
- 该逻辑通过向未在特定攻击活动中使用的技术分配中性元素（对于 AND 门为 0，对于 OR 门为 $\infty$ ），实现算法化的“修剪”树结构，从而计算安全指数。

核心贡献

量化框架： 一套系统化的程序，用于根据 MITRE 频率数据计算攻击技术的类概率值，并将其转化为用于攻击活动比较的安全指数。
手动与自动建模对比： 论文展示了两个手动构建的“临时 (ad hoc)”攻击树——Wocao 和 Dream Job 攻击活动，作为基准真相。随后证明了自动生成的模板（特别是“默认”难度级别）产生的安全指数与这些手动模型非常接近，且建模工作量显著降低。
形式化逻辑修订： 引入了 cATM，一种支持区间值和不确定性的流线型逻辑，专门用于对 MITRE 攻击活动模板进行定量指标查询。
全面验证： 该框架应用于所有 23 个 MITRE 企业级攻击活动，生成了一个基于安全指数的攻击活动排名列表。
开源制品： 一个公开可用的 Python 库和仓库（DOI: 10.5281/zenodo.14193936），实现了模板生成、指标计算和 cATM 逻辑。

结果

模板验证： 对于 Wocao 和 Dream Job 攻击活动，从自动生成的“默认”模板中导出的安全指数处于“困难”和“简单”模板定义的可行范围内，并且与手动构建的模型高度匹配。
攻击活动比较： 该框架成功区分了不同的攻击活动。例如，在默认和困难模板下，Dream Job 活动的排名始终显示其安全指数低于 Wocao，这表明 Dream Job 更容易被执行。
鲁棒性： 敏感性分析表明，安全指数对不完全知识具有鲁棒性。一旦数据集包含足够数量的攻击活动，指数的变化微乎其微（<10%），尽管早期阶段由于样本量较小表现出较高的变异性。
反转分析： 通过比较由“困难”、“简单”和“默认”模板生成的排名发现，虽然绝对顺序可能会发生变化（例如，困难与默认排名之间存在 37 个反转），但大多数攻击活动的相对难度趋势保持一致。

意义与主张
该论文声称为网络安全从业人员提供了一个透明、负责且数据驱动的决策工具。通过将非结构化的 MITRE 情报转化为定量的安全指数，该框架使组织能够：

针对最可能的攻击活动优先分配防御资源。
在无需为每个新威胁进行深度手动建模的情况下，比较不同 APT 攻击活动的相对难度。
使用数据驱动的基准来验证自定义威胁模型。

作者强调，其方法比传统的手动方法“在建模工作量上显著减轻”，同时能捕捉所有定量的相关数据。他们指出，安全指数的绝对值不如其用于优先级排序的相对顺序重要。论文最后呼吁网络安全专家使用更多手动构建的模型进行进一步验证，以确保更广泛的适用性，同时也承认目前的验证仅限于两个特定的攻击活动。