Learning Policies for Path Selection in Attack Graphs

IT systems are indispensable nowadays. With thousands of hacking attempts happening daily, cyber defense mechanisms are crucial for maintaining a working state of those systems. Simulating an attacker is a means of preparing for future hacking attacks by determining the most likely vulnerabilities where an attack could be attempted. In previous work, the simulated attacker had full knowledge over the cyber system that is being compromised and could efficiently select a path that leads to valuable assets. However, a realistic attacker would only see a subset of the system. In this novel scenario, traditional path selection methods are not applicable anymore and the question arises: how well can a path selection policy be learned and correctly applied in a subset of an attack graph? Several graph neural networks (GNNs) were examined as candidates for learning the path selection policy. The chosen GNN, a graph attention network (GAT), was then implemented and trained on generated attack graphs of simple cyber systems. The predicted actions from the approximated policy were compared against the optimal actions in an unseen test set to determine the approximation capabilities of the network. GAT was found to predict the optimal actions almost always. However, the high complexity of the graph generation process resulted in limited variation between graphs, a small number of graphs overall and thus in overfitting to the train set. Nonetheless, we showed that GAT is able to utilize attack graph data of a cyber system to learn a path selection policy and apply it in a subset of an attack graph. IT-system är idag oumbärliga för hela samhället. När tusentals intrångsförsök sker dagligen är cyberförsvarsmekanismer avgörande för att säkerställa att systemen fungerar. Att simulera en angripare är ett sätt att förbereda sig för framtida hackningförsök, genom att avgöra vilka sårbarheter som mest sannolikt kan komma att utnyttjas i en eventuell attack. I tidigare forskning har den simulerade angriparen haft fullständig kunskap om det angripna cybersystemet och således kunnat hitta effektiva vägar till värdefulla tillgångar. En realistisk angripare skulle dock endast se en delmängd av systemet. I detta nya scenario är traditionella vägvalsmetoder inte längre tillämpliga och frågan uppstår: hur bra kan en vägvalspolicy läras in och korrekt tillämpas på en delmängd av en attackgraf? Flera olika graph neural networks (GNN) undersöktes som potentiella kandidater för att lära sig vägvalspolicyn. Det valda nätverket, ett graph attention network (GAT), implementerades sedan och tränades på genererade attackgrafer av enkla cybersystem. För att bestämma approximationsförmågan hos nätverket jämfördes de predicerade valen från den approximerade policyn med de optimala valen från ett testset som nätverket aldrig sett tidigare. GAT-nätverket visade sig nästan alltid förutsäga de optimala åtgärderna. Den höga komplexiteten i grafgenereringsprocessen resulterade emellertid i begränsad variation mellan grafer, ett lågt antal grafer i allmänhet och därmed även till s.k. overfitting på träningsdata. Trots detta visade vi att GAT kan använda attackgrafdata av ett cybersystem för att lära sig en vägvalspolicy och tillämpa den på en delmängd av en attackgraf