Automated Identification of Cyber Threat Scenarios

Mgr. Lukáš Sadlek

Advanced ('rigorózní') thesis

Abstract:

Identifikácia kybernetických hrozieb je jedna z hlavných aktivít operácií v kyberbezpečnosti. Súčasné kyberbezpečnostné nástroje generujú upozornenia pri detekcii uskutočnenia kybernetickej hrozby. Avšak, identifikácia scenárov kybernetických hrozieb obsahujúcich sekvencie viacerých kybernetických hrozieb je komplikovanejšia. Z tohto dôvodu sa teze sústredia na zlepšenie identifikácie scenárov kybernetických hrozieb za použitia grafov útoku, spravodajstva o kybernetických hrozbách a dát o aktívach. Najprv popisujeme súčasný stav spravodajstva o kybernetických hrozbách, verejne dostupné bezpečnostné enumerácie a dáta o aktívach. Následne popisujeme použitie grafov útoku pre vytváranie scenárov kybernetických hrozieb a ich nedostatky. Tieto nedostatky zahŕňajú nereálne cesty útoku, modelovanie sekvencií zneužití zraniteľností namiesto sekvencií kybernetických hrozieb a manuálny vstup cieľov útoku pre generovanie grafov útoku. Takisto popisujeme súčasný stav identifikácie kľúčového kybernetického terénu a jej metódy. Na základe súčasného stavu sú navrhnuté dve výskumné otázky. Prvá sa zaoberá automatizovanou identifikáciou scenárov kybernetických hrozieb použitím dát o kybernetických hrozbách a aktívach. Jej výsledkom bude metodológia pre identifikáciu scenárov kybernetických hrozieb za použitia grafov útoku. Spravodajstvo o kybernetických hrozbách obsahujúce verejne dostupné bezpečnostné enumerácie a bázy znalostí, ako napríklad taktiky a techniky z bázy znalostí MITRE ATT&CK, a taxonómia aktív budú použité na generovanie grafov útoku. Druhá výskumná otázka je venovaná automatizovanej identifikácii kľúčového kybernetického terénu na logickej vrstve kyberpriestoru, ktorý by mal byť použitý ako ciele útoku v grafoch útoku. K tomuto účelu použijeme miery centrality siete a predikcie hrán aplikované na zachytené sieťové IP toky. Naším prínosom bude prispôsobenie týchto mier pre rozlišovanie medzi rozdielnych typmi zachytenej komunikácie, napríklad vzhľadom k cieľovým portom.

Abstract:

Identification of cyber threats is one of the core activities in cybersecurity operations. Current cybersecurity tools generate alerts upon detecting the materialization of cyber threats. However, identifying cyber threat scenarios containing sequences of multiple cyber threats is more complicated. Therefore, this thesis proposal focuses on improving cyber threat scenario identification using attack graphs, cyber threat intelligence, and data about assets. At first, we describe the current state of cyber threat intelligence, public security enumerations, and data about assets. Then we describe how attack graphs are used to create cyber threat scenarios and their shortcomings. These shortcomings include unrealistic attack paths, modeling sequences of vulnerability exploits instead of cyber threats, and manual input of attack goals for the attack graph generation. We also describe the current state of cyber key terrain identification and its methods. Based on the current state, we propose two research questions. The first question deals with the automated identification of cyber threat scenarios using data about cyber threats and assets. Its result will be a methodology for cyber threat scenario identification using attack graphs. Cyber threat intelligence containing public security enumerations and knowledge bases, such as tactics and techniques from MITRE ATT&CK, and asset taxonomy will be used for generating the attack graphs. The second research question is dedicated to the automated identification of cyber key terrain at the logical layer of cyberspace that should be used as attack goals in attack graphs. For this purpose, we will use network centrality and link prediction measures applied to captured IP network flows. Our contribution will be to adjust these measures to distinguish between different types of captured communication, e.g., according to destination ports.

Keywords

cyber threat scenario, cyber key terrain, MITRE ATT&, CK, CVE, attack graph, cyber kill chain

Language used: English

Date on which the thesis was submitted / produced: 21. 9. 2022

Thesis defence

• Date of defence: 19. 1. 2023
• Reader: doc. RNDr. Petr Švenda, Ph.D., Ing. Martin Žádník, Ph.D.

Masaryk University

Faculty of Informatics

Advanced ('rigorózní řízení') programme / field:
Computer systems, communication and security / Computer systems, communication and security