Automatisierte Erzeugung und Analyse des Attack Graphs

Transkript

1 Hauteminar Seurity: zwihen ormalen Methoden und Praxi Automatiierte Erzeugung und Analye de Attak Grah 23. Juni 2004 Bearbeiter: Wei Mu Betreuer: Dr. Stean Katzenbeier Page 1 o 13

2 Inhaltverzeihni 1. Einleitung Erzeugung de Attak Grah Model-Cheking-Verahren Formale Deinition de Attak Grah Algorithmu zur Erzeugung de Attak Grah Ein einahe Beiiel Analye von minimalen kritihen Mengen Deinitionen und Begrie Algorithmu zur minimalen kritihen Menge von Angrien Algorithmu zur minimalen kritihen Menge von Siherheitmaßnahmen Zuammenaung Literatur.13 Page 2 o 13

3 1. Einleitung Siherheit it in der vernetzten Comuterwelt ein Konzet, welhe gelant, umgeetzt und überwaht werden mu, um gegen vorherehbare und unvorherehbare Probleme gewanet zu ein. E gibt kein vollkommen ihere Sytem in der Comuterwelt. Fat jeden Tag werden Siherheitlöher geunden und neuartige Angriverahren tauhen au. Nah der Realiierung eine Sytem wird e immer gerüt, ob e gelante Siherheitanorderungen erüllt oder niht. Solhe Prüungen können mit Hile de o genannten Attak Grah durhgeührt werden. Der Attak Grah hat Knoten und Kanten wie ein normaler Grah. Aber eine Kanten tellen möglihe Angrie dar und eine Knoten tellen Zutände eine Sytem dar. Der Attak Grah behreibt alle unerwünhten Zutandübergänge eine Sytem. Unter den unerwünhten Zutandübergängen verteht man einen Pad, der von einem Anangzutand tartet und in einem Endzutand im Attak Grah endet. Diee Pade entrehen den Folgen von Angrien. Die können von einem möglihen Angreier verwendet werden und ühren da Sytem zu einem Endzutand im Attak Grah. In dieem Zutand gibt e notwendige Bedingungen ür betimmte Angrie. Dort kann der Angreier eine Ziele durh die Auührung von betimmten Angrien erreihen. Normaleweie wird ein Attak Grah er Hand ertellt. Zuert indet man Siherheitlöher mittel Sannen-Tool. Danah werden Syteminormationen wie Sytemtruktur oder intallierte Sotware uw. geammelt. Wenn beide Inormationen bereit zur Verügung tehen, dann kann man den Attak Grah ür diee Sytem ertellen. Ein von J.Wing[3] vorgetellter Attak Grah ür ein kleine Netzwerk mit drei Hot hat 5948 Knoten und Kanten. Ein Attak Grah ür ein große Sytem kann ogar mehrere Hunderttauend Knoten haben. Da Ertellen eine Attak Grah er Hand ür ein große Sytem it undenkbar, ermüdend, unraktih und ehleranällig. Dehalb ind die Ziele dieer Seminarauarbeitung, die Automatiierte Erzeugung und Analye de Attak Grah vorzutellen. Der Inhalt baiert weitgehend au den Arbeiten von J.Wing [3]. 2. Automatiierte Erzeugung de Attak Grah In dieem Kaital werden einige ormale Deinitionen de Attak Grah erklärt und ein von J.Wing entwikelter Algorithmu zur Erzeugung de Attak Grah vorgetellt. Zuert werde ih da Modell-Cheking vortellen, da in unerem Algorithmu verwendet wird. 2.1 Model-Cheking-Verahren Page 3 o 13

4 Model-Cheking it ein modelltheoretihe Verahren zur Analye von Comuterrogrammen und Hardware-Sytemen. In den letzten zwanzig Jahren it da Model-Cheking erolgreih in vielen Tehnikrojekten verwendet worden. Bei dieem Verahren wird da Sytemdeign ormal eziiziert und in eine endlihe logihe Struktur überetzt; Korrektheit- und Siherheiteigenhaten werden in einer geeigneten Srahe, zum Beiiel einer Zeitlogik, ormuliert. Der Model-Cheker rüt automatih, ob diee Eigenhaten in dem Modell gelten. Ein tyihe Model-Cheking nimmt al Eingang ein Modell de Sytem und deen gerüte Eigenhateziikationen. E überrüt da Modell gegen die Seziikation au alhe Verhalten. Wenn alhe Verhalten beteht, roduziert da Model-Cheking einen o genannten Counterexamle. Da hilt dem Benutzer, da Problem auzuinden und zu vertehen. Sobald da Problem etgelegt it, kann der Benutzer den Proze wiederholen, bi da Modell die Seziikation tadello erüllt. Ein weentliher Vorteil de Model-Cheking it die Automatiierung de Prüungrozee, wodurh e möglih it, Syteme mit größerer Komlexität behandeln zu können. Sytem (z.b. ein Netzwerk Eine Stadt) Modellierung de Sytem Eigenhaten de Sytem Model Cheker Modell erüllt die Eigenhaten oder niht Abbild 1. Model-Cheking Die gerüten Eigenhaten eine Modell können in die Logik CTL (ommutation tree logi) gehrieben werden. In den Formeln von der Logik CTL wird da Geamtverhalten de Sytem in Form eine Berehnungbaum behrieben: Die Wurzel diee Baum it ein Reräentant ür den Startzutand de Sytem. Jeder Zutandübergang in dem Modell erzeugt einen weiteren Shritt in dem Baum nah unten. Formeln, die Auagen über diee Geamtverhalten antellen, können in Zutänden au verhiedenen Paden durh den Baum gelten. Dabei kann eine Prübedingung entweder au allen Paden gelten oder e reiht au, da e einen Pad durh den Baum gibt, au dem die Bedingung erüllt it. In dieem Arbeit wird nur die eine CTL-Formel AGϕ vorgetellt. ϕ it Bedingungaudruk. Da bedeutet, da da Modell die Bedingung (Eigenhat) ϕ in allen Zutänden erüllen oll. Dehalb können wir die Siherheiteigenhat ür ein Netwerk mittel der Formel AGϕ audrüken. z.b. = AG(Berehtigung de Benutzer <Berehtigung de Adminitrator). Da heißt, Page 4 o 13

5 die Berehtigung de Adminitrator dar niht in irgendeinem Zutand von einem Benutzer erhalten werden. Der NuSMV [2] it eine Imlementierung eine Model-Cheking. Diee Werkzeug wurde im Rahmen eine Projekt von dem Intitut Trento entwikelt und imlementiert. Bei dem NuSMV wird ein Sytem al endliher Automat modelliert. Deen Übergangrelationen von Zutänden und in CTL-Formeln gehriebenen Eigenhaten werden al Eingaben in den NuSMV übergeben. Der rüt, ob da Model die eingegebenen Eigenhaten erüllt. Fall niht, wird ein Counterexamle augelieert. Ein Counterexamle it eine Folge von Zutänden, in deren Endzutand kann da Modell eine Eigenhaten niht erüllen. z.b. Eigenhat: = AG( y = 4 X y = 6) da bedeutet, all der aktuelle Wert von y vier it, mu der nähte Wert eh ein. Der NuSMV gibt olgenden Counterexamle au[2]: Trae Tye: Counterexamle -> State: 1.1 <- 0 -> State: 1.2 <- y= 1 -> State: 1.3 <- y= 2 -> State: 1.4 <- y= 3 -> State: 1.5 <- y= 4 -> State: 1.6 <- y= 5 ytem romt> Y=0 Y=1 Y=3 Y=3 Y=4 Y=5 Der Model-Cheker wird äter in uneren Algorithmu eingeetzt werden. 2.2 Formale Deinition de Attak Grah Deinition 1. Let AP be a et o atomi rooition. An attak grah i a tule G = ( S,, S, S, L), where S i a et o tate, S S i a tranition relation, 0 S0 S i a et o initial tate, S S i a et o ue tate, and L : S 2 AP i a labeling o tate with a et o rooition true in that tate.[4] Alo in den Zutänden S kann ein Angreier eine Angrie durhühren, o da ein Ziel erreiht wird. Deinition 2. Eine Auührung de Sytem it eine Folge von Zutandübergängen, n,wobei i i + 1 ( ) ür alle 0 i n. Deinition 3. Eine Auührung n it eine Folge von Angri, Page 5 o 13

6 all n S und 0 S 0. Deinition 4. Alle Zutände in dem Attak Grah G ind unihere Zutände. Bei einem uniheren Zutand gibt e mindeten einen Pad zum Zutand S. 2.3 Algorithmu zur Erzeugung de Attak Grah Dieer Algorithmu wurde von J.Wing [4] entwikelt. Die Idee it, da da Sytem al Automat mit Zutänden, gerüten Eigenhaten und Relationen eziiiert wird und mithelen oll, da von dem NuSMV[2] alle uniheren Zutände augeunden werden. Genaue Shritte wie olgt : 1. Shritt : Modellierung de Sytem. Eigenhat wird in der CTL-Formel eziiziert. 2. Betimmung der erreihbaren Zutandmenge S r, deren Elemente von einem Anangzutand S0 erreihbar ind. 3. Betimmung der Menge S uniher mittel de Model-Cheking NuSMV. 4. Übergangrelation R wird nur au Menge S uniher reduziert. 5. Anangzutände werden nur au Menge S uniher begrenzet. 6. Betimmung der Menge S, in der e notwendige Bedingungen ür betimmte Angriaktionen gibt, o da die Eigenhaten de Sytem verletzt werden. Hier noh einmal der geamte Algorithmu[4] : Eingaben : S - Zutandmenge de Sytem R S S Übergangrelation von Zutänden S0 S Menge von Anangzutänden L : S 2 AP Welhe Eigenhaten in einem Zutand = AG( uniher) Eigenhat Augabe : Attak Grah G = ( Suniher, R, S0, S, L) Berehnung : Suniher = ModelCheking( S, R, S0, L, ) R = R ( S S ) uniher uniher S0 = S0 S uniher Page 6 o 13

7 { uniher ( ) } S = S uniher L return G = ( Suniher, R, S0, S, L) 3. Ein einahe Beiiel[4] Uner Beiielnetzwerk hat nur zwei Zielhot IP1 und IP2. Außenwelt und Internnetzwerk werden durh eine Firwall getrennt. FTP und SSHD Servie lauen au dem Hot IP1, Datenbank und FTP Servie lauen au dem Hot IP2. IDS überwaht die Verbindungen zwihen Außenwelt und Internnetzwerk. Ein Angreier hat keine Zugriberehtigung au den Hot IP2. Aber er wollte au die Datenbank de Hot IP2 illegal zugreien. Daür brauhte er die Adminitratorberehtigung ür den IP2. Wir können durh den Attak Grah zeigen, wie der Angreier ein Ziel erreihen kann. Modellierung de Sytem. Abbild 2: Struktur de Beiielnetzwerk Verbindung wird al Relation R Hot Hot Port. R( h1, h2, ) bedeutet, da die Verbindung vom h1 zum h2 über den Port hergetellt werden kann. Die Route bezeihnen wir mit R(h1, h2). RhTrut Hot Hot zeigt, da ein Benutzer von einem Hot au einen anderen Hot ohne Authentiizierung zugreien kann. Die Diente au dem Hot werden al Boolehe Variable dargetellt. z.b th=true bedeutet, da FTP au dem Hot h läut. Die Berehtigung de Angreier wird modelliert al Funktion { none uer root } lvl : Hot,, IDS eziiieren wir mit der Funktion id(h1,h2,a)=d all der Angri a, deen Zielhot h2 it und Ananghot h1, von IDS erkennbar it. Fall IDS den Angri a niht erkennt, dann gilt id(h1,h2,a)=. Manhe Angrie haben beide Eigenhaten, dann gilt id(h1,h2,a)=b. Page 7 o 13

8 Angrie:Wir deinieren nur vier: att0: hd buer overlow att1: t.rhot att2: remote login att3: loal buer overlow Anangzutände: Am Anang it die Relation RhTrut leer. Die Verbindungen werden in olgender Tabelle dargetellt. R IPa IP1 IP2 IPa y,n,n y,y,y y,y,n IP1 y,n,n y,y,y y,y,n IP2 y,n,n y,y,y y,y,n Der erte Parameter it die hyikalihe Verbindung. Der zweite it die Verbindung über den hd-port. Der dritte Parameter it die Verbindung über den t-port. Der Angreier hat nur die Berehtigung lva(ipa)>=uer. IDS erkennt die Angrie att2 und att0. Vorbedingung und Nahwirkung eine Angri reräentiert die Übergangrelation von Zutänden. z.b. Angri att0 : Vorbedingungen : lvl(s)>=uer, lvl(t)<root, ht=true, R(S,T,t-Port) Nahwirkung :lvl(t)=root, ht=ale Die Eigenhat, die gerüt wird, it =AG(lvl(IP2)<root) Der Attak Grah ertellt ür da obige Modell olgenden Algorithmu: Att 0,S 0->2 Att 0,S Att 0,S 1->2 0->2 1->1 0->2 Att 2,D Att 0,S 1->1 1->2 0->2 Att 3,S Att 3,D Att 2,D 2->2 2->2 1->1 2->1 1->2 Att 3,S Att 3,D 2->2 2->2 Abbild 3 Attak Grah [4] Dieer Attak Grah zeigt un alle unerwünhten Auührungen de Modell. Die rot Page 8 o 13

9 markierte Auührung it eine davon. Sie entriht einer Folge von Angrien, und zwar att0-att1-att2-att3. Der erte Shritt de Angereier it der Angri att0 au dem Hot IP1. Dadurh bekommt er die root-berehtigung ür den Hot IP1. Im zweiten Shritt hreibt er TrutRelation R(IP1,IP2) in da Dokument.rhot. Mittel dieer TrutRelation R kann er vom Hot IP1 am Hot IP2 ohne Authentiizierung einloggen. Durh den letzten Angri att3 erhält er die root-berehtigung ür den Hot IP2. 1. Overlow hd buer on hot IP1 hd 3.Remote Login 2. FTP.rhot Databae 4.Loal buer overlow Abbild 4 Shritte de Angreier 4. Analye von minimalen kritihen Mengen Die minimale kritihe Menge von Angrien und die minimale kritihe Menge von Siherheitmaßnahmen ind ehr nützlih ür die Siherheit de Netzwerk. Mit Hile von beiden minimalen kritihen Mengen kann man entheiden, welhe Angrie abgewehrt werden müen und welhe Siherheitmaßnahmen an da Sytem geleitet werden müen. In dieem Kaital werden die Algorithmen zur Berehnung der minimalen kritihen Mengen vorgetellt. Aber da Problem it doh NP volltändig[3]. 4.1 Deinitionen und Begrie Deinition 5. Attak Grah G = ( S, E, 0,, D). S it eine Menge von Zutänden. 0 S it der Anangzutand. S it der Endtand. E S S it die Menge von Kanten. Funktion D : E A ε, wobei A die Menge von Angrien it. D( e) = a, all e ( ) = dem Angri a A entriht, ont D( e) = ε [1] Umwandlung de Attak Grah G = ( Suniher, R, S0, S, L) zum G = ( S, E,,, D) kann leiht gemaht werden. Man ügt einen neuen 0 Page 9 o 13

10 Anangzutand 0 in G ein und verbindet 0 und S0 jeweil mit der Kanteε. Die Einügung von erolgt anlog. Anangzutände S1,S2 1 Neue S0 ε ε ε ε Neue S Abbild 5 Umwandlung de Attak Grah Deinition 6. Funktionover : M 2 A. A it die Menge von Angrien. M it die Menge von Siherheitmaßnahmen. over( m) Angri a A verhindern kann. = a, all die Maßnahme m M Deinition 7. Ein Padπ ing = ( S, E, 0,, D) it eine Folge von Zutänden 1... n, und i S, ( i, i + 1) E ür alle 1 i n. Deinition 8. Ein Padπ it volltändig, all er vom Anangzutand 0 tartet und am Endzutand endet. den D( π) reräentiert eine Folge von Angrien, d.h. D( ) A und A A π =. A it eine Menge von Angrien. Deinition 8. (ein Pad π it volltaendig D( π ) = A A A) A it auuehrbar Wir bezeihnen alle auührbaren A A de Attak Grah G al Rel(G). S it ein Zutand. Seine zugehörige Menge von Angrien bezeihnen wir al C( ) A, A. C() it kritih, all jeder Pad vom Zutand 0 zum Zutand mindeten eine Kante e mit D( e) = a a C( ) hat. Deinition 9. S it ein Zutand. Seine zugehörige kritihe Menge C() von Angrien it minimal, all e keine andere zugehörige kritihe Menge C C( ) gibt. Deinition 10. A it eine Menge von Angrien undg = ( S, E, 0,, D) it ein Attak Grah, eine minimale kritihe Menge von Angrien it C( 0 ) A. S it ein Zutand. Seine zugehörige Menge von Siherheitmaßnahmen bezeihnen wir al M ( ) M, M. M ( ) it kritih, all jeder Pad vom Page 10 o 13

11 Zutand 0 zum Zutand mindeten eine Kante e mit D( e) = a a A a over(m) m M ( ) hat. D.h. Mindeten ein Angrie a, der von einer Kante in dem Pad räentiert it, kann von einer Maßnahmen m M verhindert werden. Deinition 11. S it ein Zutand. Seine zugehörige kritihe Menge von Siherheitmaßnahmen M ( ) it minimal, all e keine andere zugehörige kritihe Menge M ( ) M ( ) gibt. Deinition 12. A it eine Menge von Angrien. M it eine Menge von Siherheitmaßnahmen. G = ( S, E, 0,, D) it der Attak Grah, eine minimale kritihe Menge von Siherheitmaßnahmen it M (. Wenn wir alle Angrie in der minimalen kritihen Menge C( eine Sytem verhindern oder alle Maßnahmen in der minimalen kritihen Menge M ( 0 ) leiten können, dann it da Sytem iher. In dem nähten Abhnitt wird Greedy Aroximation Algorithm zum Finden der minimalen kritihen Menge vorgetellt. Zu beahten it, da Auindungroblem it NP volltändig. 4.2 Algorithmu zur minimalen kritihen Menge von Angrien Eingaben ind ein Attak Grah G = ( S, E, 0,, D) und eine Menge A von Angrien. Zur Berehnung it C( die minimale kritihe Menge von Angrien ür den Attak Grah G. Am Anang hat C( keinen Inhalt. Die Funktion g( a) = { A a Aund A Re l( G) berehnet die Anzahl der auührbaren A A, die ein betimmter Angri a beitzt. 1. Shritt: Suhen eine a A \ C( 0 ). Der erüllt g( a) g( b) ür jeden Angri b A. 2. Shritt: Einügen de geundenen a A in C(. 3. Shritt: Enternen der Kante e in G, all D( e) = a Page 11 o 13

12 4. Shritt: Wiederholen von 1.Shritt bi 3.Shritt, bi G keine Kanten mehr hat. Der Algorithmu ieht olgendermaßen au[1]: Inut: G = (S, E, 0,, D) - attak grah A - Menge von Angrien Outut: C( - minimale kritihe Menge von Angrien ür G Algorithm GREEDY-CRITICAL-SET(G, A ) C( 0 ), G G do Pik a A \ C( 0 ) that maximize g( a ) C( ) = C( ) a 0 0 Remove all edge labeled with a rom G until G i emty; return C( 4.3 Algorithmu zur minimalen kritihen Menge von Siherheitmaßnahmen Der Algorithmu it ähnlih wie oben[1]. Inut: G = (S, E, 0,, D) - attak grah A - Menge von Angrien M - Menge von Maßnahmen Outut: M ( - minimale kritihe Menge von Maßnahmen ür G Algorithm GREEDY-CRITICAL-SET(G, A ) M ( 0 ), G G do Pik m M \ M ( 0 ) that maximize v( m ) M ( ) = M ( ) m 0 0 Remove all edge labeled with a rom G until G i emty; Page 12 o 13

13 return M ( Die Funktion v( m) = { A over(m) A und A Re l( G) gibt die Anzahl der auührbaren A an. Mindeten ein Angri in verhindert werden. A kann von den Maßnahmen m 5. Zuammenaung Der Attak Grah tellt alle unerwünhten Zutandübergänge eine Sytem dar und maht da Angri-Szenario ihtbar. Mit Hile de Attak Grah kann man ih vortellen, welhe Angrie da Sytem zu welhen Zutänden ühren, wo Siherheitmaßnahmen durhgeührt werden ollen, welhe Angrie unbedingt verhindert werden müen. Die minimale kritihe Menge von Angrien und Siherheitmaßnahmen erleihtert die Siherheitanalye. Der vorgetellte Algorithmu ermögliht die hnelle Erzeugung de Attak Grah, inbeondere ür ein große Sytem. 6. Literatur [1] Oleg Sheyner. Senario Grah and Attak Grah: a Summary [2] Roberto Cavada, Aleandro Cimatti,Emanuele Olivetti, Mar Pitore, and Maro RoveriNuSMV 2.1 Uer Manual [3] J.Wing and S.Jha. Two Formal Analye o Attak Grah [4] Oleg Sheyner. Automated Generation and Analyi o Attak Grah Page 13 o 13