Efficiently Weaponizing Vulnerabilities and Automating Vulnerability Hunting

Abstract

Cybersikkerhet har aldri vært viktigere, spesielt med hensyn til den økende avhengigheten av informasjonsteknologi. Cybersikkerhetsindustrien opplever en rask vekst i mengden rapporterte sårbarheter; en trend som forventes å fortsette. For å effektivt kunne håndtere den økende mengden sårbarheter, er det nødvendig å benytte et rammeverk, eller en metodikk, for å evaluere og demonstrere risiko. Det finnes få studier innen fagfeltet som definerer en metodikk for å demonstrere risikoen av sårbarheter.

I denne oppgaven definerer vi en metodikk som består av elleve steg. Disse stegene beskriver prosessen for å gå fra en sårbarhet, til å automatisk skanne etter denne sårbarheten periodisk. Dette ble oppnådd ved å definere en generell metodikk, teste den i praksis, og deretter sammenligne hvordan våre individuelle tilnærminger var forskjellige. Vi lagde deretter en raffinert metodikk basert på disse funnene. Med denne metodikken er det mulig for offensive sikkerhetsteam å iverksette tiltak og demonstrere potensiell risiko på en mer effektiv og strukturert måte.

Cybersecurity has never been more important, especially considering the increasing reliance on information technology. The cybersecurity industry is experiencing a rapid growth in the quantity of vulnerabilities reported; a trend which is expected to continue. To efficiently handle the increasing amount of vulnerabilities, it is necessary to utilize a framework, or a methodology, for evaluating and demonstrating their risk. There exist few studies in the field outlining methodologies for demonstrating the risk of vulnerabilities.

In this thesis, we outline a methodology consisting of eleven steps. These steps describe the process of going from a vulnerability, to an automated periodic scan for this vulnerability. This was accomplished by defining a general methodology, testing it in practice, and then comparing how our individual approaches differed. We then created a refined methodology based on those findings. With this methodology, it is possible for offensive security teams to respond and demonstrate potential risk in a more efficient and structured manner.