УДОСКОНАЛЕННЯ ПІДХОДУ ДО ПОБУДОВИ УНІФІКОВАНОГО ГРАФУ ЗНАНЬ НА ОСНОВІ ВІДОМИХ ПУБЛІЧНИХ КАТАЛОГІВ В СФЕРІ БЕЗПЕКИ ПРОГРАМНОГО ТА АПАРАТНОГО ЗАБЕЗПЕЧЕННЯ ДЛЯ ЗАДАЧ ВАЛІДАЦІЇ

Анотація

Існує чотири відомі публічні каталоги, які описують безпеку програмного та апаратного забезпечення: CVE List реєструє вразливості, CWE узагальнює вразливості через типові слабкі місця (слабкості) проєктування та реалізації інформаційних систем, CAPEC описує шаблони атак, а ATT&CK – техніки зловмисників. Побудова уніфікованого графу знань, що поєднує їх, дозволяє пройти від запису про вразливість до техніки виконання атаки, зумовленою цією вразливістю. Проте більшість відомих підходів до побудови графів не враховують додаткової інформації, яку публікують каталоги: автора мітки вразливості, тип контейнера запису, напрямки зв’язків між каталогами, ієрархію звʼязків CWE та версію релізу. Мета статті – побудувати онтологію узагальненого графу знань цих каталогів, яка максимально точно відображає наявну інформацію та зв’язки між різними сутностями. В основу підходу покладено принцип семантичного перенесення (lifting): кожне міжкаталогове посилання конвертується в RDF із повним збереженням напрямку, авторства, версії релізу та супутніх полів джерела, без генерації штучних фактів. Зазначений принцип реалізується через наступні правила. Звʼязок, який описується додатковими метаданими в каталозі, є вузлом, а не ребром. Забороняється автоматична генерація зворотнього симетричного зв’язку у випадку його відсутності в оригінальних каталогах. Технічна реалізація зазначених вимог забезпечується інструментами SHACL через чотири перевірки: форми, тотожність знімка, перевірка повноти відтворення, контроль неперенесених даних, що верифікують коректність перенесення. Удосконалена модель графу знань дозволяє виявляти різного роду неузгодженості: у частині записів власник і авторизований публікатор даних призначають різні вразливості; зіставлення CAPEC з ATT&CK і посилання ATT&CK на CAPEC не мають жодної спільної пари; частина вразливостей має різних батьків у різних поданнях (view) CWE, що дозволяє її використання для задач валідації. В той самий час існуючі моделі графу знань, побудовані на даних тих самих каталогів дозволяють виконувати лише обхід. Код, онтологія, форми та запити опубліковані у відкритому репозиторії.