Деревья атак

Дерево атак — это многоуровневая диаграмма, состоящая из корневого узла, ветвей и дочерних узлов. Снизу вверх дочерние узлы определяют условия, необходимые для захвата родительского (или корневого) узла. Доступ к узлу возможен только при выполнении условий хотя бы одного из его нижестоящих узлов. Если достигается корневой узел, атака считается завершённой.

Один узел может быть дочерним по отношению к нескольким другим; таким образом, атака может описываться как последовательность множества шагов. Например, рассмотрим помещение с прикреплёнными к столам компьютерами. Чтобы забрать один из них, нужно либо перерезать фиксирующий кабель, либо открыть замок. Замок можно открыть силой или с помощью ключа. Ключ, в свою очередь, можно получить, угрожая владельцу, подкупив его или просто забрав откуда он хранится. Таким образом, можно нарисовать дерево атаки из четырёх шагов: подкупить владельца ключа — получить ключ — открыть замок ключом — забрать компьютер.

Кроме того, для реализации атаки могут потребоваться одновременное выполнение условий нескольких дочерних узлов. В приведённом выше примере рассматривались только случаи с ИЛИ, но могут быть и условия с И (AND): например, чтобы получить компьютер, нужно как обезвредить сигнализацию, так и снять фиксатор. Тогда путь атаки будет описан как (выключить сигнализацию, снять фиксатор, забрать компьютер).

Деревья атак тесно связаны с методологией деревьев отказов^[6]. В анализе деревьев отказов условия между дочерними и родительскими узлами выражаются логическими операториями. Используя априорные вероятности, связанные с каждым узлом, можно по формуле Байеса вычислить вероятность достижения более высоких (родительских) узлов. Однако на практике корректные априорные значения зачастую неизвестны или слишком дорого обходятся в получении. В области компьютерной безопасности, где принимается во внимание активный противник (например, взломщик), вероятности событий не считаются независимыми и равномерно распределёнными — поэтому байесовский анализ для деревьев атак в целом не подходит.

В связи с этим для определения, какие атаки будут выбраны злоумышленником, применяют другие методы^[7][8]. Они могут включать в себя сопоставление необходимых для атаки ресурсов с возможностями злоумышленника (время, деньги, навыки, оборудование). Атаки, требующие превышающих возможности злоумышленника ресурсов, менее вероятны по сравнению с простыми и доступными вариантами. Также предпочтение даётся тем атакам, которые наиболее близки к целям злоумышленника. Вероятность того или иного действия определяется тем, насколько хорошо оно соответствует намерениям и возможностям противника.

В некоторых случаях деревья атак становятся настолько большими и сложными, что могут содержать сотни или тысячи путей, ведущих к цели. Несмотря на сложность, такие диаграммы чрезвычайно полезны для принятия решений по противодействию существующим угрозам.

Деревья атак могут использоваться в стратегиях информационной безопасности. При этом важно учитывать влияние политик, определяющих эти стратегии, на сами деревья атак. Например, вместо лишения системных администраторов доступа к программам и файлам — для защиты от компьютерных вирусов — может быть введено обязательное использование системы управления пакетами. В таком случае в дерево атак необходимо включить и возможные уязвимости или эксплойты в самой системе управления пакетами.

Можно предположить, что наиболее эффективный способ нейтрализации угрозы — устранить её как можно ближе к корневому узлу дерева атак. Однако на практике зачастую невозможно сделать это без негативного влияния на функциональность остальной системы. Например, чтобы снизить угрозу заражения вирусом в системе Microsoft Windows, можно использовать стандартный (не административный) аккаунт и файловую систему NTFS вместо FAT, чтобы запретить пользователям возможность изменять файловую систему. Такой подход устраняет (или затрудняет) большинство известных атакующих сценариев, однако вынуждает пользователей обращаться к учётным записям с административными правами для выполнения ряда задач, породив новые угрозы и управленческие сложности. Кроме того, пользователи всё равно могут заразить вирусом те файлы и документы, к которым у них есть права записи.

Существуют системы, строящие дерево атак на основе агентов, способных динамически выявлять и определять цепочки угроз. Такие работы реализуются с 2000 года^[9].

В устройствах, подключённых к компьютерной сети (сетевые устройства, серверы, пользовательские компьютеры), могут присутствовать аппаратные и программные уязвимости. Программные уязвимости вызывают больший интерес у злоумышленников и администраторов, поскольку встречаются чаще и легче эксплуатируются. Программные уязвимости в системе выявляются при помощи инструментов сканирования уязвимостей (Nessus, OpenVAS, Nexpose и др.), а их классификация и варианты можно изучать через базы данных уязвимостей. Одной из наиболее известных открытых баз данных уязвимостей является National Vulnerability Database (NVD — Национальная база данных уязвимостей)^[10].

Использование уязвимостей программного обеспечения позволяет организовывать сложные, многошаговые атаки в компьютерных сетях, охватывающие многочисленные устройства. В связи с этим разрабатываются подходы к построению деревьев атак на основе программных уязвимостей компьютерных сетей. Такой подход даёт по сравнению с классическими инструментами сканирования уязвимостей следующие преимущества:

1. С помощью деревьев атак можно проанализировать, какие из обнаруженных уязвимостей реально подвержены эксплуатации, и принять защитные меры только для эксплуатируемых уязвимостей, экономя ресурсы.
2. Путём анализа последовательности шагов, необходимых для эксплуатации той или иной уязвимости с целью захвата целевого объекта в сети, можно определить, на каком этапе применение защитных мер будет наиболее эффективным с точки зрения затрат.
3. Определяя количество шагов и другие параметры эксплуатации уязвимостей, можно проводить вероятностный анализ и расчёт рисков.
4. Анализируя как количество шагов, так и параметры уязвимостей, можно оценивать примерное время достижения смоделированной угрозой цели в сети.
5. Создание моделей угроз с учётом типа (внешний/внутренний нарушитель) позволяет оценить, какие угрозы, исходя из их типа и расположения в сети, наиболее опасны.
6. Деревья атак позволяют определить минимальные технические возможности (знания, права и др.), необходимые для реализации конкретной угрозы.

Существуют три основных подхода к построению деревьев атак с использованием программных уязвимостей в компьютерных сетях:

1. Модели предпосылок и возможных последствий: для определения эксплуатируемости уязвимости сравниваются права и возможности атакующего с условиями эксплуатации, после чего полученные на предыдущем этапе возможности добавляются к текущим, и моделируется следующий шаг. Примеры — NETSPA^[11] (Network Security Architecture) и TVA^[12] (Topological Analysis of Network Attack Vulnerability).
2. Модели на основе искусственного интеллекта: примером такой модели служит MULVAL^[13], получающая данные о сети в виде Datalog и строящая дерево атак при помощи логического анализатора.
3. Модели на основе онтологии: строятся на формализации информации об угрозах, уязвимостях, эксплойтах, топологии сети и т. д. на языке онтологий. Пока такие модели разрабатываются только теоретически и полноценные реализуемые решения отсутствуют.

Основные данные, необходимые для построения деревьев атак любым из этих методов:

1. Топология информационной сети и перечень устройств в этой сети (сетевые устройства, серверы, пользовательские рабочие станции).
2. Данные о доступности устройств в сети: информация о том, с каких устройств возможно подключение к другим (с учётом настройки межсетевых экранов, IDS/IPS, коммутаторов, распределителей и т. д.).
3. Информация о программных уязвимостях устройств (выявленная сканерами).
4. Информация о расположении угрозы, а также о её правах и возможностях.

Существует множество коммерческих и открытых решений.