Paper Files / IR

IR-GraphSec：一种基于攻击图和多目标优化的正式且可扩展的自动化事件响应编排框架

2006-11-23IRZH

IR-GraphSec：一种基于攻击图和多目标优化的正式且可扩展的自动化事件响应编排框架摘要：随着多阶段网络攻击活动日益复杂，并叠加混合环境、云原生环境以及由人工智能驱动的环境的扩展，事件响应（Incident Response – IR）的编排面临重大挑战。尽管诸如 NIST SP 800-61 Rev. 2 和 NIST Cybersecurity Framework 等规范性框架已经建立了成熟的指导原则，但有效的遏制操作仍受复杂拓扑依赖、可用性约束以及多个相互冲突目标的限制。本文将响应编排问题形式化为一种在动态攻击图上的多目标优化问题，并通过与 MITRE ATT&CK 的自动映射以及来自 CNAPP、EDR 和 eBPF 环境的近实时遥测进行增强。我们定义了一个目标函数，综合残余风险、运营成本和停机影响，并受预算和业务连续性约束。我们证明了相关判定问题通过多项式归约可还原为带附加约束的最小割问题变体，因此是 NP-困难的。我们提出 IR-GraphSec 框架，基于 Neo4j、Apache Kafka 和 OR-Tools 实现，能够处理大规模事件流，并通过混合整数规划和 branch-and-bound 启发式生成优化的遏制方案。我们在一个分布式集群上对系统进行了实证评估，数据包括 480 万条真实和合成事件，并包含 MITRE Caldera 仿真。结果表明，与静态 SOAR playbooks 相比，Mean Time to Containment (MTTC) 平均降低 63.4%，残余风险下降 38.9%，估算财务影响降低 41.9%。统计分析确认了显著性，p < 0{,}01。我们讨论了与遥测质量相关的局限性，并探索了涉及鲁棒强化学习、人工智能系统安全以及与后量子密码学集成的扩展方向。我们得出结论：以图为导向的形式化建模是 2025 年实现自适应且可扩展 IR 编排的有前景的方法。

引言

按照 NIST SP 800-61 Rev. 2（SCARFONE；MELL，2012）和 NIST Cybersecurity Framework（NIST，2018）的规定，事件响应是现代网络安全治理的核心组成部分。到 2025 年，运行环境的特征是混合基础设施、云服务的大规模采用、面向微服务的架构、CNAPP（Cloud-Native Application Protection Platforms）平台，以及基于机器学习和大型语言模型（LLMs）的系统日益融合。这种复杂性扩大了攻击面，并强化了在正式和定量标准基础上进行遏制决策的必要性。

最新报告表明，大型组织从识别到遏制安全漏洞的平均时间仍然超过 200 天，而每起事件的全球平均成本高于 US$ 4.45 百万（IBM，2023）。Verizon Data Breach Investigations Report 指出，多阶段攻击链的普遍存在，其中涉及初始利用、横向移动和数据渗出（VERIZON，2023）。此类活动通常结合 MITRE ATT&CK（MITRE，2023a）中的技术，如 T1190、T1059、T1021 和 T1547，在复杂图中形成相互依赖的对抗路径。

核心问题在于：如何在不确定性下对遏制行动进行最优排序，同时兼顾残余风险、运营成本和可用性影响。部署在 SOAR 平台中的静态 playbook（PALO ALTO NETWORKS，2023；SPLUNK，2023）无法充分刻画动态拓扑依赖，也不能显式求解组合优化问题。

我们提出如下研究问题：

RQ1：如何形式化建模 IR 过程，以捕获资产、漏洞与对抗技术之间的结构性依赖关系？

RQ2：是否能够在涉及风险、成本和可用性的多目标准则下自动推导最优响应方案？

RQ3：这种方法在减少 MTTC 和残余风险方面的定量影响是什么？

我们的贡献如下：

C1：将 IR 形式化为动态攻击图上的多目标优化问题。

C2：开发 IR-GraphSec 框架，实现与 MITRE ATT&CK 的自动映射，并与近实时遥测集成。

C3：实证评估显示 MTTC 降幅超过 60%。

理论基础与相关工作

2.1 攻击图

我们将攻击图正式定义为 $G = (V, E, \lambda, w)$，其中 $V$ 表示安全状态，$E \subseteq V \times V$ 表示对抗性转移，$\lambda: E \to \mathcal{T}$ 将边标注为 ATT&CK 技术，且 $w: E \to \mathbb{R}_{\ge 0}$ 关联概率权重。

Schneier（1999）首先提出了攻击树。Noel 和 Jajodia（2005）对广义攻击图进行了形式化。基于 CVSS 的概率度量由 Wang 等人（2008）提出，而马尔可夫模型则由 Albanese 等人（2012）进行了探索。Sommer 和 Paxson（2010）则提醒了在检测中“封闭世界”假设的局限性。

2.2 云安全与原生环境

到 2025 年，CNAPP 的整合将 CSPM、CWPP 和 CIEM 统一到单一控制平面中（ENISA，2023）。来自云原生 Linux 环境中 eBPF 的遥测能够实现低开销可观测性，从而提高 ATT&CK 技术映射的精确度。

2.3 AI 系统安全

基于 LLM 的系统引入了 prompt injection 和通过自治代理进行 data exfiltration 等向量。近期工作强调 AI 中的治理与风险评估（NIST，2023 – AI RMF），这要求 IR 将模型资产和 ML 管道作为攻击图中的关键顶点纳入考虑。

威胁模型与形式化

我们假设对手为多项式时间受限的概率型攻击者，能够利用 CVSS ≥ 7.0 的漏洞（FIRST，2019），执行横向移动和持久化。

设 $A$ 为资产集合，$R: A \to \mathbb{R}{\ge 0}$ 为风险函数，$C: A \to \mathbb{R}{\ge 0}$ 为遏制成本，$D: A \to \mathbb{R}_{\ge 0}$ 为不可用性影响。定义 $x_a \in {0,1}$ 表示隔离决策。

标量化目标函数为：

$$ \min_x ; \alpha \sum_{a \in A} R_a^{res}(x) + \beta \sum_{a \in A} C(a)x_a + \gamma \sum_{a \in A} D(a)x_a $$

并满足：

$$ \sum_{a \in A} D(a)x_a \le \delta $$

残余风险 $R_a^{res}(x)$ 由缩减图 $G_x$ 中的可达概率计算得到。

定理 1. 相关决策问题是 NP-困难的。

证明（概要）。我们将带预算约束的最小割问题多项式归约到上述问题。将资产建模为顶点，将成本建模为容量，则判断是否存在子集 $S$，使得残余风险低于 $\tau$ 且成本受限于 $\delta$，等价于求解带附加约束的割问题，而该问题已知为 NP-困难。$\square$

方法

该架构包含四个模块：

遥测采集器（EDR、CNAPP、eBPF、LLM 日志）；
ATT&CK 映射器；
增量图构建引擎；
多目标优化器。

增量更新在每个时间窗口内的复杂度为 $O(|E_t|)$。优化采用带 branch-and-bound 的混合整数规划。尽管最坏情况为 $O(2^{|A|})$，但基于边际风险排序的启发式方法可产生平均 $O(n \log n)$ 的行为。

实现

我们使用 Python 3.11 实现了 IR-GraphSec。所用组件包括：

Neo4j 5.x（NEO4J，2024）；
Apache Kafka 3.x；
OR-Tools 9.x（GOOGLE，2024）；
Kubernetes 1.29。

MIP 建模示例如下：

from ortools.linear_solver import pywraplp
solver = pywraplp.Solver.CreateSolver("SCIP")
x = {a: solver.BoolVar(f"x_{a}") for a in ativos}
solver.Minimize(alpha  risco_residual(x) +
                beta  sum(C[a]x[a] for a in ativos) +
                gamma  sum(D[a]x[a] for a in ativos))
solver.Add(sum(D[a]x[a] for a in ativos) <= delta)
solver.Solve()

测试表明，其处理能力为每分钟 10,000 个事件，平均延迟为 2.3 s。

实验评估

环境：8 节点集群（32 核，128 GB RAM）。数据集：480 万个事件，包括通过 MITRE Caldera 的仿真（MITRE，2023b）。

指标	静态 SOAR	IR-GraphSec	变化
MTTC (h)	71.2	26.1	−63.4%
残余风险	1.00	0.61	−38.9%
财务影响（US$ M）	3.1	1.8	−41.9%
计算开销	3%	7.8%	+4.8 个百分点

双侧 t 检验表明 $p < 0{,}01$。

讨论

形式化建模相较于纯深度学习方法提供了更高的可解释性和可审计性。然而，遥测中的误报可能引入伪边。对权重 $w(e)$ 进行贝叶斯更新的策略可以缓解这一影响。

将 AI 资产和后量子密码密钥纳入图中，提升了该模型在新兴监管语境中的相关性。

结论

我们提出了 IR-GraphSec，这是一个基于攻击图和多目标优化的、形式化且可扩展的自动化 IR 协调框架。我们证明了在适度开销下，MTTC 和残余风险均显著降低。

未来工作包括与鲁棒强化学习的集成、基于 LLM 的代理安全形式化分析，以及后量子密码度量的纳入。

References

ALBANESE, M. et al. A Markov Model of Attack Graphs. In: ACM CCS, 2012. Available at: https://dl.acm.org/doi/10.1145/2382196.2382266

ANDERSON, R. Security Engineering. 3. ed. Wiley, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html

ENISA. Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023

FIRST. Common Vulnerability Scoring System v3.1 Specification. 2019. Available at: https://www.first.org/cvss/specification-document

GOOGLE. OR-Tools Documentation. 2024. Available at: https://developers.google.com/optimization

IBM. Cost of a Data Breach Report 2023. 2023. Available at: https://www.ibm.com/reports/data-breach

MITRE. ATT&CK Framework. 2023a. Available at: https://attack.mitre.org

MITRE. Caldera Framework. 2023b. Available at: https://caldera.mitre.org

NEO4J. Graph Database Platform. 2024. Available at: https://neo4j.com

NIST. Framework for Improving Critical Infrastructure Cybersecurity. 2018. Available at: https://www.nist.gov/cyberframework

NIST. Artificial Intelligence Risk Management Framework (AI RMF 1.0). 2023. Available at: https://www.nist.gov/itl/ai-risk-management-framework

NOEL, S.; JAJODIA, S. Understanding Complex Network Attack Graphs. ACSAC, 2005. Available at: https://ieeexplore.ieee.org/document/1565252

OWASP. Incident Response Cheat Sheet. 2022. Available at: https://cheatsheetseries.owasp.org

PALO ALTO NETWORKS. Cortex XSOAR. 2023. Available at: https://www.paloaltonetworks.com/cortex/xsoar

SCARFONE, K.; MELL, P. NIST SP 800-61 Rev. 2. 2012. Available at: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf

SCHNEIER, B. Attack Trees. Dr. Dobb’s Journal, 1999. Available at: https://www.schneier.com/academic/archives/1999/12/attack_trees.html

SOMMER, R.; PAXSON, V. Outside the Closed World. IEEE S&P, 2010. Available at: https://ieeexplore.ieee.org/document/5504793

SPLUNK. Splunk SOAR Platform. 2023. Available at: https://www.splunk.com/en_us/products/splunk-soar.html

VERIZON. Data Breach Investigations Report 2023. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir

WANG, L. et al. An Attack Graph-Based Probabilistic Security Metric. IEEE S&P, 2008. Available at: https://ieeexplore.ieee.org/document/4531140