模型调研

1、威胁情报模型(STIX、TAXII、CybOX)。国内外威胁情报模型的建立多以 STIX 作为情报框架,以 TAXII 作为共享与传输规范的情报表达模式,以 CybOX 作为情报构件内容的表达规范。

2、Microsoft 安全性工程和通信小组(Security Engineering and Communications)的 Shawn Herman 提出的 STRIDE 模型,是用于威胁建模的工具,或者说是一套方法论。该模型将信息系统安全威胁分为如下六种类型。

威胁 定义 对应的安全属性
Spoofing 冒充他人身份 认证
Tampering 修改数据或代码 完整性
Repudiation 否认做过的事 不可抵赖性
Information Disclosure 机密信息泄露 机密性
Denial of Service 拒绝服务 可用性
Elevation of Privilege 未经授权获得许可 授权

随着全球对隐私保护重视程度的加大,隐私安全也成了产品的一个重要威胁,因此STRIDE的6个威胁也添加了一项隐私(Privacy),也就变成了 ASTRIDE,A 代表 Advanced。

3、Microsoft 提出的 DREAD 威胁评级模型,用于评估单次攻击造成的威胁严重程度。该模型有如下五个指标,每个指标的评级分为高中低三等,最终威胁的危险评级由这五个指标的加权平均算出。

等级 高(3) 中(2) 低(1)
潜在的损失 Damage Potential 获取完全验证权限,执行管理员操作,非法上传文件 泄露敏感信息 泄露其他信息
重现性 Reproducibility 攻击者可以随意再次攻击 攻击者可以重复攻击,但有时间限制 攻击者很难重复攻击过程
可利用性 Exploitability 初学者短期能掌握攻击方法 熟练的攻击者才能完成这次攻击 漏洞利用条件非常苛刻
受影响用户 Affected users 所有用户,默认配置,关键用户 部分用户,非默认配置 极少数用户,匿名用户
可发现性 Discoverability 漏洞很显眼,攻击条件很容易获得 在私有区域,部分人能看到,需要深入挖掘漏洞 发现漏洞极其困难

4、CVSS(Common Vulnerability Scoring System),即“通用漏洞评分系统”,是一个“行业公开标准,其被设计用来评测漏洞的严重程度,并帮助确定所需反应的紧急度和重要度”,可以说是一种风险评估的方法,通常 CVSS 同 CVE 一同由美国国家漏洞库(NVD)发布并保持数据的更新。

5、MITRE 在2013年推出了 ATT&CK™ (Adversarial Tactics, Techniques, and Common Knowledge)模型,它是一个以攻击者的视角来描述攻击中各阶段用到的技术的模型。将已知攻击者行为转换为结构化列表,将这些已知的行为汇总成战术和技术,并通过几个矩阵以及结构化威胁信息表达式(STIX)、指标信息的可信自动化交换(TAXII)来表示。由于此列表相当全面地呈现了攻击者在攻击网络时所采用的行为,因此对于各种进攻性和防御性度量、表示和其他机制都非常有用。多用于模拟攻击、评估和提高防御能力、威胁情报提取和建模、威胁评估和分析。

评价指标

基于以上模型及相关综述,提出如下网络空间安全攻防效能评价指标。

CyberSecIndicator

参考

[1]肖岩军.RSAC 2019 威胁建模模型ATT&CK[EB/OL].http://blog.nsfocus.net/threat-modeling-model-attck/,2019.

[2]Luis Lubeck.What is MITRE ATT&CK and how is it useful?[EB/OL].https://www.welivesecurity.com/2019/09/03/what-is-mitre-attck-useful/,2019-9-3.

[3]石志鑫,马瑜汝,张悦,王翔宇.威胁情报相关标准综述[J].信息安全研究,2019,5(07):560-569.

[4]杨沛安,武杨,苏莉娅,刘宝旭.网络空间威胁情报共享技术综述[J].计算机科学,2018,45(06):9-18+26.

[5]360安全监测与响应中心.STRIDE威胁建模漫谈.https://www.secrss.com/articles/3298,2018-06-13.

[6]First.Common Vulnerability Scoring System version 3.1: Specification Document[EB/OL].https://www.first.org/cvss/specification-document,2019-6.

[7]Schneier B.Attack Trees:Modeling Security Threats[J].Dr Dobbs Journal,1999,24(12):21-29.

[8]Wood B., “An Insider threat model for adversary simulation, “SRI International, Research on Mitigating the Insider Threat to Information Systems, 2000.2:1-3

[9]Parker D.B., “Fighting Computer Crime:A New Framework for Protecting Information, ”John Wiley&Sons, Inc.1998.

[10]高见,王安.面向网络攻击的能力评估分类体系研究[J/OL]:1-7[2019-11-12].https://doi.org/10.19734/j.issn.1001-3695.2019.01.0075.