Graphical models for security second international workshop gramsec 2015 verona italy july 13 2015 r

Page 1


Verona Italy July 13 2015 Revised

Visit to download the full and correct content document: https://textbookfull.com/product/graphical-models-for-security-second-international-wo rkshop-gramsec-2015-verona-italy-july-13-2015-revised-selected-papers-1st-edition-s jouke-mauw/

More products digital (pdf, epub, mobi) instant download maybe you interests ...

Brain Inspired Computing Second International Workshop

BrainComp 2015 Cetraro Italy July 6 10 2015 Revised Selected Papers 1st Edition Katrin Amunts

https://textbookfull.com/product/brain-inspired-computing-secondinternational-workshop-braincomp-2015-cetraro-italyjuly-6-10-2015-revised-selected-papers-1st-edition-katrin-amunts/

Graphical Models for Security Third International Workshop GraMSec 2016 Lisbon Portugal June 27 2016 Revised Selected Papers 1st Edition Barbara Kordy

https://textbookfull.com/product/graphical-models-for-securitythird-international-workshop-gramsec-2016-lisbon-portugaljune-27-2016-revised-selected-papers-1st-edition-barbara-kordy/

Graphical Models for Security 4th International Workshop GraMSec 2017 Santa Barbara CA USA August 21 2017 Revised Selected Papers 1st Edition Peng Liu

https://textbookfull.com/product/graphical-models-forsecurity-4th-international-workshop-gramsec-2017-santa-barbaraca-usa-august-21-2017-revised-selected-papers-1st-edition-pengliu/

Graphical Models for Security 6th International Workshop GraMSec 2019 Hoboken NJ USA June 24 2019 Revised Papers Massimiliano Albanese

https://textbookfull.com/product/graphical-models-forsecurity-6th-international-workshop-gramsec-2019-hoboken-nj-usajune-24-2019-revised-papers-massimiliano-albanese/

Enterprise Security Second International Workshop ES 2015 Vancouver BC Canada November 30 December 3 2015 Revised Selected Papers 1st Edition Victor Chang

https://textbookfull.com/product/enterprise-security-secondinternational-workshop-es-2015-vancouver-bc-canadanovember-30-december-3-2015-revised-selected-papers-1st-editionvictor-chang/

Worldwide Language Service Infrastructure Second International Workshop WLSI 2015 Kyoto Japan January 22 23 2015 Revised Selected Papers 1st Edition Yohei Murakami

https://textbookfull.com/product/worldwide-language-serviceinfrastructure-second-international-workshop-wlsi-2015-kyotojapan-january-22-23-2015-revised-selected-papers-1st-editionyohei-murakami/

Computer Assisted and Robotic Endoscopy Second International Workshop CARE 2015 Held in Conjunction with MICCAI 2015 Munich Germany October 5 2015 Revised Selected Papers 1st Edition Xiongbiao Luo

https://textbookfull.com/product/computer-assisted-and-roboticendoscopy-second-international-workshop-care-2015-held-inconjunction-with-miccai-2015-munich-germanyoctober-5-2015-revised-selected-papers-1st-edition-xiongbiao-luo/

E Learning E Education and Online Training Second International Conference eLEOT 2015 Novedrate Italy September 16 18 2015 Revised Selected Papers 1st Edition Giovanni Vincenti

https://textbookfull.com/product/e-learning-e-education-andonline-training-second-international-conferenceeleot-2015-novedrate-italy-september-16-18-2015-revised-selectedpapers-1st-edition-giovanni-vincenti/

Software Technologies 10th International Joint Conference ICSOFT 2015 Colmar France July 20 22 2015 Revised Selected Papers 1st Edition Pascal Lorenz

https://textbookfull.com/product/software-technologies-10thinternational-joint-conference-icsoft-2015-colmar-francejuly-20-22-2015-revised-selected-papers-1st-edition-pascallorenz/

Sjouke Mauw · Barbara Kordy

Sushil Jajodia (Eds.)

Graphical Models for Security

Second International Workshop, GraMSec 2015 Verona, Italy, July 13, 2015

Revised Selected Papers

LectureNotesinComputerScience9390

CommencedPublicationin1973

FoundingandFormerSeriesEditors: GerhardGoos,JurisHartmanis,andJanvanLeeuwen

EditorialBoard

DavidHutchison

LancasterUniversity,Lancaster,UK

TakeoKanade

CarnegieMellonUniversity,Pittsburgh,PA,USA

JosefKittler UniversityofSurrey,Guildford,UK

JonM.Kleinberg

CornellUniversity,Ithaca,NY,USA

FriedemannMattern

ETHZurich,Zürich,Switzerland

JohnC.Mitchell

StanfordUniversity,Stanford,CA,USA

MoniNaor

WeizmannInstituteofScience,Rehovot,Israel

C.PanduRangan

IndianInstituteofTechnology,Madras,India

BernhardSteffen TUDortmundUniversity,Dortmund,Germany

DemetriTerzopoulos UniversityofCalifornia,LosAngeles,CA,USA

DougTygar UniversityofCalifornia,Berkeley,CA,USA

GerhardWeikum

MaxPlanckInstituteforInformatics,Saarbrücken,Germany

Moreinformationaboutthisseriesathttp://www.springer.com/series/7410

SjoukeMauw • BarbaraKordy

SushilJajodia(Eds.)

GraphicalModels forSecurity

SecondInternationalWorkshop,GraMSec2015

Verona,Italy,July13,2015

RevisedSelectedPapers

Editors SjoukeMauw

UniversityofLuxembourg

Luxembourg

Luxembourg

BarbaraKordy

INSARennesandIRISA

Rennes

France

ISSN0302-9743ISSN1611-3349(electronic) LectureNotesinComputerScience

ISBN978-3-319-29967-9ISBN978-3-319-29968-6(eBook) DOI10.1007/978-3-319-29968-6

LibraryofCongressControlNumber:2016931195

LNCSSublibrary:SL4 – SecurityandCryptology

© SpringerInternationalPublishingSwitzerland2016

Thisworkissubjecttocopyright.AllrightsarereservedbythePublisher,whetherthewholeorpartofthe materialisconcerned,specificallytherightsoftranslation,reprinting,reuseofillustrations,recitation, broadcasting,reproductiononmicrofilmsorinanyotherphysicalway,andtransmissionorinformation storageandretrieval,electronicadaptation,computersoftware,orbysimilarordissimilarmethodologynow knownorhereafterdeveloped.

Theuseofgeneraldescriptivenames,registerednames,trademarks,servicemarks,etc.inthispublication doesnotimply,evenintheabsenceofaspecificstatement,thatsuchnamesareexemptfromtherelevant protectivelawsandregulationsandthereforefreeforgeneraluse.

Thepublisher,theauthorsandtheeditorsaresafetoassumethattheadviceandinformationinthisbookare believedtobetrueandaccurateatthedateofpublication.Neitherthepublishernortheauthorsortheeditors giveawarranty,expressorimplied,withrespecttothematerialcontainedhereinorforanyerrorsor omissionsthatmayhavebeenmade.

Printedonacid-freepaper

ThisSpringerimprintispublishedbySpringerNature TheregisteredcompanyisSpringerInternationalPublishingAGSwitzerland

Preface

ThepresentvolumecontainstheproceedingsoftheSecondInternationalWorkshopon GraphicalModelsforSecurity(GraMSec2015).TheworkshopwasheldinVerona, Italy,onJuly13,2015,inconjunctionwiththe28thIEEEComputerSecurityFoundationsSymposium(CSF2015).

Graphicalsecuritymodelsprovideanintuitivebutsystematicmethodologyto analyzesecurityweaknessesofsystemsandtoevaluatepotentialprotectionmeasures. Formalmethodsandcomputersecurityresearchers,aswellassecurityprofessionals fromindustryandgovernment,haveproposedvariousgraphicalsecuritymodeling schemes.Suchmodelsareusedtocapturedifferentsecurityfacets(digital,physical, andsocial)andaddressarangeofchallengesincludingsecurityassessment,risk analysis,automateddefensing,secureservicescomposition,policyvalidation,and veri fication.

TheobjectiveoftheInternationalWorkshoponGraphicalModelsforSecurityisto contributetothedevelopmentofwell-foundedgraphicalsecuritymodels,effi cient algorithmsfortheiranalysis,aswellasmethodologiesfortheirpracticalusage.The workshopbringstogetheracademicresearchersandindustrypractitionersdesigning andemployingvisualmodelsforsecurityinordertoprovideaplatformfordiscussion, knowledgeexchange,andcollaborations.

ThesecondeditionoftheGraMSecworkshopreceived13submissionsandeach ofthemwasreviewedbyatleastfourreviewers.Basedontheirqualityandcontributiontothe field,sixpapers,amongwhichoneshorttoolpaper,wereacceptedfor presentationattheworkshopandinclusioninthe fi nalproceedingsofGraMSec2015. Inadditiontotheacceptedpapers,weinvitedChristianProbst,JanWillemson,and WolterPietersfromtheTREsPASSconsortiumtodescribetheAttackNavigator,a graphicalapproachtosecurityriskassessmentinspiredbynavigationsystems.The workshop’sprogramwascomplementedbyaninvitedlecturebyMarcBouissouon “DynamicGraphicalModelsforSecurityandSafetyJointModeling.”

Wewouldliketothankallthepeoplewhovolunteeredtheirtimeandenergyto makethisyear ’sworkshophappen.Inparticular,wethanktheauthorsforsubmitting theirmanuscriptstotheworkshopandalltheattendeesforcontributingtotheworkshopdiscussions.WearealsogratefultothemembersoftheProgramCommitteeand theexternalreviewersfortheirworkinreviewinganddiscussingthesubmissions,and theircommitmenttomeetingthestrictdeadlines.Further,wewouldliketothankRavi Jhawar(publicitychair),PiotrKordy(webchair),andLucaViganò (GeneralChairof CSF2015)fortheirsupportinorganizingourworkshop.

Finally,ourthanksgototheEuropeanCommission’sSeventhFrameworkProgrammefortheirpartialsponsorshipoftheworkshop(EUFP7grantno. 318003TREsPASS)andtotheUniversityofLuxembourg,theFondsNationaldela RechercheLuxembourg(FNR-COREgrantADT2P),theInstitutNationaldesSciences

Appliquées(INSARennes),andtheInstitutdeRechercheenInformatiqueetSystèmes Aléatoires(IRISA)fortheirinkindcontributiontoGraMSec2015.

July2015SjoukeMauw

BarbaraKordy SushilJajodia

Organization

ProgramCommittee

MathieuAcherUniversityRennes1andIRISA,France

MassimilianoAlbaneseGeorgeMasonUniversity,USA

LudovicApvrilleTélécomParisTech,France

ThomasBauereissDFKIGmbH,Germany

GiampaoloBellaUniversityofCatania,Italy

StefanoBistarelliUniversityofPerugia,Italy

AhtoBuldasCybernetica,Estonia

JasonCramptonRoyalHollowayUniversityofLondon,UK

FrédéricCuppensTélécomBretagne,France

MathiasEkstedtKTHRoyalInstituteofTechnology,Sweden

OlgaGadyatskayaUniversityofLuxembourg,Luxembourg

PaoloGiorginiUniversityofTrento,Italy

ErlendAndreasGjæreSINTEF,Norway

DieterGollmannTUHamburg-Harburg,Germany

OlivierHeenTechnicolor,France

SivHildeHoumbSecure-NOKASandGjøvikUniversityCollege, Norway

SushilJajodiaGeorgeMasonUniversity,USA RaviJhawarUniversityofLuxembourg,Luxembourg

HenkJonkersBiZZdesign,TheNetherlands

JanJürjensTechnicalUniversityDortmund,Germany

DongSeongKimUniversityofCanterbury,NewZealand

BarbaraKordyINSARennesandIRISA,France

Jean-LouisLanetInria,France

GurvanLeGuernicDGAMaîtrisedel’Information,France

SjoukeMauwUniversityofLuxembourg,Luxembourg

PerHåkonMelandSINTEF,Norway

JogeshMuppalaHKUST,HongKong,SARChina

FlemmingNielsonTechnicalUniversityofDenmark,Denmark

StevenNoelMITREandGeorgeMasonUniversity,USA

AndreasL.OpdahlUniversityofBergen,Norway

StéphanePaulThalesResearchandTechnology,France

WolterPietersDelftUniversityofTechnology,TheNetherlands

SophiePinchinatUniversityRennes1andIRISA,France

VincenzoPiuriUniversityofMilan,Italy

LudovicPiètre-Cambac édèsEDF,France

NicolasPrigentSupélec,France

CristianPrisacariuUniversityofOslo,Norway ChristianW.ProbstTechnicalUniversityofDenmark,Denmark

DavidPymUniversityCollegeLondon,UK

SašaRadomirović ETHZürich,Switzerland

IndrajitRayColoradoStateUniversity,USA ArendRensinkUniversityofTwente,TheNetherlands

YvesRoudierEURECOM,France

PierangelaSamaratiUniversityofMilan,Italy

GuttormSindreNorwegianUniversityofScienceandTechnology, Norway

KetilStølenSINTEFandUniversityofOslo,Norway

AxelTannerIBMResearchZürich,Switzerland KishorS.TrivediDukeUniversity,USA

LucaViganò King’sCollegeLondon,UK

LingyuWangConcordiaUniversity,Canada

JanWillemsonCybernetica,Estonia

AdditionalReviewers

Aslanyan,Zaruhi Erdogan,Gencer

Ivanova,MarietaGeorgieva Pouly,Marc

TheAttackNavigator.......................................1

ChristianW.Probst,JanWillemson,andWolterPieters

IntegratedVisualizationofNetworkSecurityMetadatafromHeterogeneous DataSources.............................................18 VolkerAhlers,FelixHeine,BastianHellmann,CarstenKleiner, LeonardRenners,ThomasRossow,andRalfSteuerwald

SysML-SecAttackGraphs:CompactRepresentationsforComplexAttacks...35 LudovicApvrilleandYvesRoudier

HowtoGenerateSecurityCameras:TowardsDefenceGeneration forSocio-TechnicalSystems...................................50 OlgaGadyatskaya

GuidedSpecificationandAnalysisofaLoyaltyCardSystem............66 LaurentCuennet,MarcPouly,andSašaRadomirović

TransformingGraphicalSystemModelstoGraphicalAttackModels.......82 MarietaGeorgievaIvanova,ChristianW.Probst,René RydhofHansen, andFlorianKammüller

ATSyRa:AnIntegratedEnvironmentforSynthesizingAttackTrees: (ToolPaper)..............................................97 SophiePinchinat,MathieuAcher,andDidierVojtisek

AuthorIndex

TheAttackNavigator

ChristianW.Probst1(B) ,JanWillemson2 ,andWolterPieters3

1 TechnicalUniversityofDenmark,KongensLyngby,Denmark cwpr@dtu.dk

2 Cybernetica,Tallinn,Estonia janwil@cyber.ee

3 DelftUniversityofTechnology,Delft,TheNetherlands w.pieters@tudelft.nl

Abstract. Theneedtoassesssecurityandtakeprotectiondecisionsis atleastasoldasourcivilisation.However,thecomplexityanddevelopmentspeedofourinterconnectedtechnicalsystemshavesurpassedour capacitytoimagineandevaluateriskscenarios.Thisholdsinparticular forrisksthatarecausedbythestrategicbehaviourofadversaries.Therefore,technology-supportedmethodsareneededtohelpusidentifyand managetheserisks.Inthispaper,wedescribetheattacknavigator:a graph-basedapproachtosecurityriskassessmentinspiredbynavigation systems.Basedonmapsofasocio-technicalsystem,theattacknavigator identifiesroutestoanattackergoal.Specificattackerpropertiessuchas skillorresourcescanbeincludedthroughattackerprofiles.Thisenables defenderstoexploreattackscenariosandtheeffectivenessofdefense alternativesunderdifferentthreatconditions.

1Introduction

Theneedtoassesssecurityandtakeprotectiondecisionsisasoldasourcivilisation,andmaybeevenolder.Lookingaroundinnature,weseethatanimals trytobuildtheirlairsinsafeplacesandthatsomeplantsgrowprickles.These kindsofdecisionsarenottakeninaconsciousway,butareratheraresultofa longevolutionarytrialanderrorprocess.

Whatdifferentiateshumansfromotherspeciesisthehighlycomplextechnicalenvironmentweoperatein.Thespeedofdevelopmentofthisenvironment exceedsthecapabilitiesofnaturalevolutionbyseveralordersofmagnitude, whichmeanswecannotrelyonevolutiontodevelopsafeguards.Instead,we needsecurityassessmentmethodstoidentifypotentialthreats,andtoallowus tocopewiththehighlysophisticatedattacksbeingenabledbyourenvironment.

Ontheotherhand,ourperceptionofsurroundingsisstillverymuchlimited bywhatevolutionhasprovidedforus.Humansareaveragelygoodatperceiving visualimages,sounds,andsmells,butnotsomuchatgraspingallthesmall detailsandimplicationsoflargeinfrastructures.Yet,inordertoutilizesuch infrastructuresefficiently,weneedsuchabilitiesinonewayoranother.

c SpringerInternationalPublishingSwitzerland2016 S.Mauwetal.(Eds.):GraMSec2015,LNCS9390,pp.1–17,2016. DOI:10.1007/978-3-319-29968-6 1

Evenifhumansmanagetocollectadequateenvironmentaldata,theirrisk comprehensionmaybeseverelybiasedduetoeducational,cultural,psychological,political,andotherreasons[1–3].Hence,thereisaclearneedfortools thatprovideavisual,easytocomprehendoverviewoftheenvironment,butat thesametimebeingrationalandunambiguous.ThetargetoftheTRES PASS project[4]istoachieveexactlythat–assisthumansintakingsecuritydecisions aboutlarge,complexinfrastructuresinawaythatiseasytoperceivegivenour limitedcapabilities.

Insecurityrisks,wedealwithstrategicattackerswhoplantheiractions. Thismeansthatwemustbeableto“thinkthief”,andpredictpossibleattack scenariosbyimaginingattackerbehaviour.Thecentralinnovationtoachieve thisgoalistheintroductionofthenotionof attacknavigatormap.Itcanbe seenasanefforttobridgethegapbetweencomplexityofrealsystemsandlimits ofhumanperceptionbyutilisingaconceptfamiliartoallofus,namelyspatial navigation.Thisapproachgivesusseveralbenefits:

–Movingtowardsanattacker’sgoalcorrespondsintuitivelywelltonavigating throughcomplexterrain,togetherwiththeneedtotakedecisions,achieve subgoals,etc.

–Navigationoptimisationisratherwellstudiedandunderstood,asopposedto complexsystemsecurity.

–Navigationcanbehandledondifferentlevelsofabstraction.Therecanbea bird-eyeversionforexecutive-level,grass-rootversionfortechnicallevel,and anarbitrarynumberofintermediatelevelsasneeded.

Alltheseaspectsmakenavigationagoodmetaphorforstudyingsecurityassessmentofcomplexinfrastructuresandforcommunicatingassessmentresults. Theremainderofthispaperisorganisedasfollows.InSect. 2 weoutlinethe mainstepsoftheTRES PASSprocessthatprovidesanalystswiththetoolsetand methodologyformingthebasisoftheattacknavigator,whichthenisdescribed inSect. 3.Sections 4 and 5 explainhowtomovefromahigh-levelabstractview oftheenvironment(thesatelliteview)toafine-grainedsystemmodel(themap) andhowtofindroutes(theattacks).Finally,Sect. 6 discusseshowtoselectcountermeasuresbasedonTRES PASSanalysis,andSect. 7 drawssomeconclusions.

2TheTRES PASSProcess

Ofcourseittakesmorethanjustagoodmetaphortobuildausableriskassessmentsystem.Inpractice,theanalystneedsaworkingtoolsetandmethodologythatwouldbeabletosupportthenavigationapproachonvariouslevels ofabstraction.ThemainresultoftheTRES PASSprojectarethetoolsetand methodologythattogethersupporttheTRES PASSprocess,whichwedescribe inthissection.

Inordertoachievethenavigationeffect,oneneedsananalogueofamapto navigateon.Intherealworld,mapsrepresentcitiesandstreets,andtoacertain

extentartefactssuchaspointsofinterest.Thesemapsareproducedbygeographersbasedonsatelliteimagesandinspectionoftheterrainunderconsideration.

IntheTRES PASSapproach,theroleofamapisplayedbythe systemmodel,a formalrepresentationofthesocio-technicalenvironmenttobeanalysed.System modelscontainanumberofcomponentsfromsuchenvironments:

– Actors representhumanplayersorprocessesinvolvedinthesystem; – Assets canbeeither items or data;

– Locations representwhereactorsoritemsmaybesituatedeitherphysically ordigitally;

Edges describepossiblerelocationpathsbetweenlocations;

– Policies describeaccesscontrolandspecifyallowedactions, e.g.,getsome dataitemfromalocationormovebetweenlocations;and

– Processes formalizecertainstatetransitionmechanisms, e.g.,computerprogramsorvirtualmachines.

Unlikeintherealworld,thereisnosatellitetoprovidepicturesoftheenvironment.Themodelcreationisinsteadtheresultofacollectionofprocessesthat resemblethecombinationofsatelliteandgeographer.Beforetheactualmodel creationcanstart,informationaboutthesystemneedstobegathered.This happensinseveralparallelprocesses,bothviaaspeciallycrafteduserinterface andautomateddataacquisition, e.g.,incaseoflargeITinfrastructures.

Whenusingarealmapfornavigation,thegoalistoreachacertainlocation undercertainconstraints, e.g.,asfastaspossible,aseconomicalaspossible,or withoutusingfreeways.Onceasystemmodelisbuilt,theattacknavigatorneeds an attackergoal toexplorethewaystoachievethisgoalbymovingthroughthe model.Thegoalitselfisstatedasapolicyviolation, e.g.,illegitimateaccessto adataasset,andassuchcanserveasatriggerforanautomatednavigation procedure.

Atthispoint,navigationthroughasystemmodelandorienteeringacrossa terrainstarttodiffer.Asmentionedabove,findingone’swayinnatureorurban environmentusuallyhasawell-setoptimisationgoal,typicallypathlengthor timethatitwouldtaketofollowthispath.

Navigationthroughasystemmodelisrelativelylessunderstoodandthe methodsofalong-the-pathoptimisationaremuchlessmaturethanshortestpath algorithmsonterraingraphs.Hence,theoutputofanattacknavigator,interms ofpossibleattackscenarios,hastocontainmoreinformationandoptimisation itselfhastohappenatalaterstage.

IncaseofthecurrenttoolsetimplementationofTRES PASS,thisoutput containsformalattackvectordescriptionsintheformofattacktrees[5].This isnottheonlypossibleoption,butattacktreeswerechosensincetheyare ratherwellestablishedandacceptedintheriskassessmentcommunity[6].Also, computationalmethodshavebeendevelopedforvariousoptimisationtargets thatcanbestatedforattacktrees[7–10].

Aftertheanalysisoftheattacktreeshasbeenfinished,theresultsaredisplayedtotheenduseronavisualfront-end.Theusercanthentakedecisions

concerningoverallsecuritylevel,requiredadditionalcontrolsandpossiblemodel updates.Afterthemodelhasbeenupdated,theanalysiscanberunagainto studytheeffectsofthechangesonthesecuritylevel.

3TheAttackNavigator

Wewillnowlookcloserattheattacknavigatoritself.Carnavigationsystems areindependentofthecartheyareusedin, i.e.,propertiesofthecarareoften ignoredsincetheytypicallyarethesameforeachcar.Thenavigatormayhave optionstoavoid,forexample,unpavedroadsinnon-4WDcarsbuttheseoptions arenotexplicitlylinkedtotypesofcars.

Intheattacknavigator,theimportantpropertiesthatinfluencethepossible attacksarepropertiesoftheattacker.Justasincarnavigationsystems,inmany currentmodelsofsecurityrisk,theseattackerpropertiesareimplicit.Therisks andidentifiedattacksbysuchmethodsareannotatedwithprobability,time, andcostvalues,whicharebasedonassumptionsontheattackerthattriesto performtheattack.

Threatagentmodelling[11–13]aimsatspecifyingexplicitthreatagentsas abasisforsecurityriskassessment,withpropertiessuchasskill,resources,and objectives.Thismayleadtoprofilessuchasactivists,terrorists,orspiesallwith specificproperties.

TheTRES PASSattacknavigatorconcepttakesanimportantstepbeyond currentmodelsofsecurityriskbyleveragingthreatagentsasattackerprofiles. Theattacknavigatoranalysisusesacombinationofanavigatormapandan attackerprofiletoderive

–suitablegoalsfortheattackerbasedonattackermotivation,and –feasibleroutestothatgoalandpropertiesoftheseroutesbasedonskilland resourcesfromtheattackerprofile.

Theattackerprofilesalsoimplyalinkbetweenattacknavigatorsandsecurity economics[14].Bothattackersanddefendershavecostsfortheiractions,and utilityfunctionsassociatedwiththepossibleoutcomes,butonlyalimitedbudget.Theutilityofattackersmaybedifferentbasedontheirmotivation,andthis canbeusedintheanalysisofattacktrees[15].Theattacknavigatoraimsat optimisingdefenderinvestments,assumingthat –attackersoptimisetheirinvestmentsaswell, –thedefendermovesbeforetheattacker,and –theattackerknowswhatthedefenderhasdone.

Thisamountstoasimpletwo-stepgamewithminimaxoptimisation[16].One canalsoconsiderattackerbehaviourovertimeinordertogetfrequencymetrics forriskanalysis[17].

Thesimilaritywitheconomicmodelsalsomeansthatthereisquiteabit ofuncertaintyintheresultsofcomputations.Theassumptionsmademaynot alwayshold,andtheavailabledataisfragile.Theclaimofattacknavigatorsis

thereforenotaprecisepredictionofwhatwillhappen,butratheraprediction ofwhatispossibleorlikely,andtowhatextentcountermeasuresimprovethe situation.Evenifresultsarenottheexactnumberswewouldliketohave,they canbeusefulforcomparingoptions,orevenasthinkingtoolsforimagining possibleattacks.

4FromSatelliteViewtoMaps

Anessentialcomponentofanavigatoristheunderlyingmap,onwhichroutesare computed.Assuchtheyalsoformanimportantcomponentoftheattacknavigator.Mapsoftherealworldarecreatedbasedonsatelliteimagesandthework bygeographers.Thisapproachisonlypartlyfeasibleforcreatingmapsoforganisations:whiletheoverallbuildingstructurecanbeassessedfromtheoutside, elementssuchasaccesscontrolpoliciesornetworkandsocialstructurescannot.Theseelements,however,formanessentialpartofattacknavigatormaps, sincetheycanbeenablingfactorsofattacks, i.e.,routesthroughthenavigator map.Satellitesarenottherighttoolforanotherreason:theorganisationsunder scrutinyaretypicallyrathersmallandconsequentlyalsoonlycoveralimited area.Iftheattacknavigatormapcoversabiggerarea,thispartofrealitycan usuallyberepresentedbypartsofarealmap.

4.1ModelsofReality

Whencreatingmapsasmodelsofreality,oneneedstoabstracttherealworldby aconceptthatissuitedforautomateddetectionofroutes.Forrealnavigation systems,mapsarestoredasgraphswithnodesconnectedbyedges;bothnodes andedgescanhaveproperties, e.g.,sizeofacity,sizeofastreet,orwhetherit isopenfortrafficornot.

Modelsforattacknavigatorsfollowthesameapproach:organisationsare abstractedtographs,nodesinthegraphrepresentlocationsintheorganisation,

Table1. Anoverviewofcomponentsintheattacknavigatormapandthetoolsand processestoidentifythem.

Realworld Modelcomponent Tool

Relevantarea Locationsandedges Maps

Computer networks Assetsandedges Networkexplorationtoolssuchas nmap toexplorenetworkinfrastructure.

Humanactors Actors Demographicsurveys,personnelprofiles

Physicalaccess control Policiesandprocesses Documentsandinterviews

Computeraccess control Policiesandprocesses Documents,extractiontools,interviews

Softwareprocesses Processes Documents,extractiontools,interviews

andedgesbetweennodesrepresentconnectivitybetweentheselocations.The constructionofattacknavigatormapsfollowsadifferentapproachthanforreal maps,though.Asmentionedabove,satellitesarenotreallyapplicable.They can,however,serveasametaphor.Wheresatellitepicturesgiveaviewofthe realworldthatneedstobeinterpretedtocreateamap,toolscanbeusedto obtainasimilarviewoforganisations.

Forcreatingattacknavigatormaps,acollectionoftoolsorprocessesare requiredtocollectinformationaboutthedifferentpartsofanorganisationand itssurroundingsasnecessaryforthemap.Table 1 showscomponentsofattack navigatormapsandtoolsandprocessestocollectthem.Ingeneral,whenever addinganewcategorytoberepresentedinattacknavigatormaps,onewillalso needtoaddanewtoolorprocesstocollectthenecessaryinformation.

AsshowninTable 1,quiteanumberofcomponentsareobtainedthrough interviewsorbyrunningtools.Thisiswherethe modeller,theattacknavigator map’sequivalentofthegeographer,becomesimportant.Likethegeographeris inchargeofassemblingthemap,andinterpretingpartsofthesatelliteimage, themodellerisinchargeofintegratingthebitsandpiecesofinfrastructureand data.Especiallytheinterviewpartsrequirespecialattention,sinceextracting andinterpretingtheinformationobtainedthroughinterviewsisdifficult.

IntheTRES PASSproject,asetoftoolsforphysicalmodellinghavebeen developed[18]tostructuretheinterviewprocess;physicalmodellingenables employeestocontributetothemapcreationasdomainexpertswithinsideknowledgeoftheirorganisationanditspolicies,assetsandvalues.Physicalmodelling providesawaytoengageemployeesintothemapcreation,andtogivethema creativeprocesstoprovideinput.

Theattacknavigatormapisconstructedaroundthemappingoflocations together.Thelocationsinthedifferentinfrastructuresestablishtheconnection pointsbetweenthedifferentlayersoftheorganisation.Accesscontrolpoliciesare associatedwithlocationsinthebuildinglayerandassetsinthenetworklayer.Locationsinthenetworklayercancoincidewithlocationsinthebuildinglayer.Assets arelocatedatotherassetsoratlocationsofthenetworkorbuildinglayer.Attack navigatormapsarestructuredusingtheseco-locations.

Figure 1 showsasmallexampleforanavigatormapwithdifferentlocations, actors,andassets.Intheofficethereisasafewithasecretinit,andBobhas akeytoopenthesafe.Thereisanotherkeyontheshelfinthereception.Alice wantstoobtainthesecretfromthesafe,butthesafehasapolicythatrequires actorstohavethematchingkeyinordertoopenthesafeandaccessitscontent. Accessingcontentisrepresentedasinputinsystemmodels.

4.2Policies

Policiesplayanimportantroleinattacknavigatormaps,sincetheydescribe howaccesstocertainnodesisrestricted,andwhatanactorinthemodelneeds tofullfiltoaccesstheannotatedlocationorasset.Examplesincludekeycards orkeysthatarerequiredtoaccessadoor.Besidesthese local policies,therealso existsystem-wideor global policies[19].Globalpoliciesidentifytheassetsof

Fig.1. Exampleforasmallsystemmodelwithseveralactors,locations,andassets.

anorganisationthatshouldbeprotectedagainstattackers.Forexample,they mightspecifythatacertainfiletypeisnotallowedtoleavetheorganisation, orthatacertainlocationmayonlybeenteredatcertaintimesorwithasetof credentials.Section 5 discusseshowtheseglobalpoliciesguidethecomputation ofattackerroutes.

4.3ModelPatterns

Likerealmaps,attacknavigatormapstendtocontaincomponentsthatare similartoeachother;theysharethesamestructure,butmightbedifferentwith respecttosomeproperties.Forcreatingmaps,thereexiststandardsofsuch patternsusedbymapeditors.

Forattacknavigatormaps,patternsareequallyimportantsincemanyelementsoccurrepeatedly.Toeasethemodeller’stask,modelpatternsareprovided inalibrary.Modelpatternsaresub-graphsthatcanbeputintotheattacknavigatormap.Whensuchapatternisputintothemap,itisinstantiatedandcan beconfiguredtomatchtheelementoftherealworlditrepresents.

Modelpatternsalsoincludepoliciesandprocesses,whichrepresentaccess controlrestrictionsandfunctionalityatnodesinthemodel.Foraccesscontrol orformodelling, e.g.,networkinfrastructure,policiesandprocessescanbecombinedtomodelquitecomplexscenarios.Forexample,role-basedaccesscontrol canbemodelledbyallowingdifferentrolestooutputdifferentmessagestoa location,whereeachmessagetriggersaprocessthatimplementstheassigned functionality.

5FromMapstoRoutes

Onceanorganisationhasbeenrepresentedusingagraphicalmodel,theattack navigatorcanidentifypossibleroutesonthemapfortheattackertoreacha goal[20, 21].Inthissectionwediscussthedifferentstepsindoingso.Afterintroducingtherepresentationofattackerroutesinthenextpart,wediscusstheactual

attacknavigationandattackpatterns,whichcanbeusedtoextendidentified attackinasimilarwayasthemodelpatternsdiscussedintheprevioussection.

Likerealnavigation,attacknavigationiswhite-boxtestingofamap. Weassumethattheattackerhasperfectknowledgeoftheorganisationand knows, e.g.,whereassetsarelocated,whatthelayoutoftheorganisationis,or howemployeescanbesocialengineered.Scenarioswithincompleteknowledge canbeconsideredaswell, i.e.,anattackerwhoneedstoexploretheorganisation, butthentheimpactofattackscanbeexpectedtobelowerthanforanattacker withperfectknowledge.

5.1AttackerRoutes

Beforepresentingtheactualroutingmechanismonattacknavigatormaps,we brieflydiscusstherepresentationofroutes.Inanavigationsystem,routesare seriesofcoordinates,oftenwithinformationaboutpotentialcongestiononthat partoftheroute.Anavigationsystemassumesthatitsuserisrationalandwill followthesuggestedroute.Onlyoncedeviationsfromthatrouteareobserved, itwillstarttorecalculateanewroutefromthepositionwheretheuserisatthis point.

Attackerroutesarecomputedslightlydifferently,andconsequentlyneed anotherrepresentation.Forattackerroutes,weareinterestedinallpossible attacks.Asdescribedabove,theresultoftheattacknavigatoristhesetofall attacksthatarepossibleinthemodel,quantifiedbysomeproperty,andranked accordingly.Thisissimilartotheregularnavigator:fornavigation,onlythe shortest,fastest,ormosteconomicrouteisdisplayed.Duethecomplexityof attacks,thisselectionisfarfromeasyfortheattacknavigator;theresultis thereforepresentedtoahumandefenderwhowilldismissimpossibleornegligibleattacks.

Toenablethisselectionprocess,attacktrees[5, 6]aretheidealrepresentation, sincetheycombinedifferentpossibleattacksthatleadtothesamegoal.Theroot ofanattacktreerepresentsthisgoal,andthesubtreesrepresentsub-attacksthat eitherneedalltobefulfilled,orwhereoneissufficienttoreachthegoal.For representingattackerroutes,theformerwouldrepresentthatseveralstepsneed tobetaken,andthelatterwouldrepresentdifferentpossibleroutes.Wepresent examplesforattacktreesinFig. 5

5.2AttackIdentification

Attackidentificationistheactualnavigationontheattacknavigatormap.Like realnavigation,ittakesanattackerlocationandidentifiesapossibleroutefrom thislocationtothedesiredgoal.

FortheattacknavigatormapshowninFig. 1,thegoalisclear:Alicewants toobtainthesecretfromthesafe.Oncethegoalisidentified,thepathstothe goal(onlyoneintheexample)andthemissingassetsareidentified.Alicelacks thekey,whichisavailablefromBoborfromtheShelf.TheupperpartofFig. 5 showspartoftheattacktreegeneratedforthisscenario.

GoalIdentification: Asdiscussedabove,thegoalinattacknavigatormapsis identifiedbasedonglobalpoliciesofthemodelledorganisation.Thesepolicies representagoaloftheorganisationthatshouldnotbeviolated.Examplesinclude thatemployeesshouldnotsendsecretfilesbyemail,thatingeneralsecretfiles shouldnotleavetheorganisation,orthatthepasswordfileonacomputermay notberead.Intheattackerroute,thisgoalwouldbetherootnode,andits childrenwouldrepresentdifferentattacksthatenableanattackertoreachthis goal.

Theresultofthegoalidentificationisanaction,whichtheattackertriesto perform,oranasset,whichtheattackertriestopossess.Animportantobservationisthatthelatterisavariantoftheformer;topossessanasset,theattacker needstoperformanactiontoobtainit.Intheattacknavigator,thisisrepresentedasinputtingtheasset.

AttackPaths: Foreachoftheidentifiedattackergoals,theremayexistnumerouspathstoreachthegoallocation,wherethegoalactioncanbeperformed,or wherethegoalassetcanbeobtained.Theattacknavigationconsidersallthese paths,sincetheymayresultindifferentimpactormayotherwisehavedifferent propertiesthatthedefenderdeemsimportant.

Thispropertyisessentiallydifferentfromstandardnavigation,whereitis asafeassumptionthatonecanignoreroutesthataretooslowcomparedto theoptimalroutesatanygivenpointduringrouting.Attackerroutesareonly evaluatedinthenextstepandadefendermightusedifferentcriteriaforevaluatingtrees;asaresult,thereisnodecisionbasisforignoringattackroutesor forevaluatingthemonthefly.Oneimportantevaluationcriteriaisanattack route’simpact,whichdoesnotincreasecontinuously,butmayhavediscontinuouschangesbased, e.g.,ontheassetsobtained.

Everystepinanattackpathconsistsofastepinthemodel,beitmoving fromonelocationtoanother,orbeitobtainingsomeasset—eitherthefinalone, oronethatisneededtoperformsomeotheraction.Forexample,iftheattacker goalistoreadthepasswordfileonacentralserver,thentherootpasswordof thatmachineisanassetthatneedstobeobtained.

RequiredResources: Theserequiredresourcesareacquiredonthefly.Whenevertheattackerencountersanactioninanattackpaththatrequiresanasset suchasthepasswordfortheservermachine,anewattackisspawned,attheend ofwhichtheattackerhasobtainedthatasset.Itisimportanttonotethatthe routesalwaysassumesuccess,eventhoughanattackmightbeprohibited.From theattacker’sviewpointtheassethasbeenobtained,andtheoriginalattack cancontinueasplanned.Thisshouldalsobethedefender’spointofview—the interestingcaseisnotadefeatedattack,butasuccessfulone.

MovingAssets: Finally,attackerroutescandiffersignificantlyfromnormal routesthroughthefactthatthegoalassetinattackermodelscanmoveorbe

moved,resultinginnovelattacks.Inaregularnavigationsystemthiswould meanthatthegoalcouldbemoved,resultinginashorter,faster,orlongertrip.

Whilethisisnotpossibleforrealgoals,itisacommonattackstrategyin attackermaps:Theattackconsistsinmakingtheassetmove,andthenfinding attackstoallthoselocationsthattheassetcanreach.Themeansofmakingan assetmovedifferdependingonthekindofasset.Datausuallymovesthrough processes,whicharetriggeredbytheattacker;assetsusuallymovewithactors, whichanattackermustsocialengineer.

Anexampleforanattackthatmadethedatamoveisacloudserviceadministratorwhoattachedanetworksniffertothelocalnetworkintheserverroom, andthenmadeavirtualmachinemigratefromoneservertoanother;asaresult, theadministratorhadacopyofthenetworktrafficthathecouldplaybackto obtainacopyofthevirtualmachine.

5.3DetailednessofModels

Onegeneralissuewithmapsandroutes,bothforrealmapsandattacknavigator maps,isthelevelofdetailinthemaps.Inbothcases,ifthemapsaretoodetailed, itisverydifficulttoidentifyaclose-to-optimalroute;ifthemapshoweveraretoo imprecise,theroutesarenotrealisticeither,andmaylackimportantinformation neededtofollowtheroute.

Inattacknavigatormaps,thelevelofdetailrelatestohowdetailedtheidentifiedattacksare.Comingbacktothecloudadministratorexample,modelling thebitsandbytesofthevirtualmachineandtheOSInetworkstackislikelytoo muchdetail.Ontheotherhand,inasystemthatmodelsonlythetwoservers notincludingthenetworkinfrastructure,itwillnotbepossibletoidentifythe attackatall.

Thelevelofdetailisthereforeanimportantdesigncriteriawhendesigning (attacknavigator)maps.Agoodguidingprincipleistoincludeonlythoseelementsthatareessentialforthefunctionalityoftheoverallsystem,butexclude internalworkingsofthesystem.ThemodellingworkintheTRES PASSproject hasshownthatitisbettertoexcludesomedetailsandtorelyonattackpatterns toaddpossibleattackstepstothegeneratedattackroute.

5.4AttackPatterns

Todealwithdetailednessofmodels,andtheresultingdetailednessofattacks, weintroduceattackpatterns,whicharesimilartothemodelpatternsdiscussed intheprevioussection.Fortoodetailedmodelsitisdifficulttodealwiththe resultingoverlydetailedattacktrees.Formodelswithtoofewdetails,thisis equallydifficult.However,itiseasiertoadd“standard”attackpattenstoan attacktree,thanitistoremovesuperfluousnodes.

Attackpatternsidentifytypicalapproachestoperforminganattack.Since theyareusedtoextendtheattackerroutesorattacktreesintroducedearlier, attackpatternsarerepresentedassubtreesaswell.

1 labelmatch{ 2 caseINattackeritemcontainer: 3 //gettypeattackerfromattackerprofile 4 //gettypeitemfromknowledgebase 5 //gettypecontainerfromknowledgebase 6 //insertAPLattacksthatallowtoextractitemfromcontainer

7 caseMAKEattackeractoraction: 8 //gettypeattackerfromattackerprofile 9 //gettypeactorfromattackerprofile 10 //insertAPLattacksbasedontypesandaction 11 //... 12 }

Fig.2. Codefortheexpansionofgeneralattacktreesinacontext-unawarefashion.The expansionalgorithmiteratesoverallleafnodesandmatchesleafnodelabelsagainst theknowncases.Ifaleafnodelabelmatchesapatternintheattackpatternlibrary, itisinsertedintothegeneralattacktree.Figure 5 illustratesthisprocess.

Attackpatternsareappliedbyinspectingtheactionsinanattacktree,and byexploringwhetheracertainactionrealisationsofthisactionareknown.The overallstructureofthisexplorationisshowninFig. 2:Theexpansionalgorithm iteratesoverallleafnodesandmatchestheactionatthisleaf(representedas leafnodelabels)againsttheknowncases.Ifaleafnodelabelmatchesapattern intheattackpatternlibrary,itisinsertedintothegeneralattacktree.

Thisapproachhasanumberofbenefitsbeyonditcontributingtoclearingout modelsandkeepingthemfreeofclutter.Attackpatternlibrariescanbeshared betweenorganisationstodisseminatefindingsaboutpossibleattacks.Oncean attackpatternisavailableintheattacknavigator,wheneveramatchingaction workingonmatchingtypesofassetsoractorsisfound,thepatternwillbe instantiated.

TwoattackpatternsareshowninFigs. 3 and 4.ThepatterninFig. 3 replaces obtaininganitemfromanactorwitheitherstealingtheitemorsocialengineering theactortogiveittotheattacker.Therootofthepatternspecifiestheaction andthetypesoftheargumentsfortheactorAobtaininganitemIfromanactor C,representedasAinputingIfromC:

INAitem : Iactor : C

Thisinformationiscrucialforapplyingthepattern,alsobecausethesearguments A(attacker),I(item),andC(actor)occuragainintheattackpattern,andmust bereplacedwiththematchingvaluesfromtheattacktree.

ThepatterninFig. 4 isabitmorecomplicated;itdescribesthatAmakes Bperformsomeactionforhim.Asbefore,therootofthepatternisreplaced withnodesthatrepresentdifferentalternativesintheattack.Itshouldbenoted thatlaterphasesmaydiscardsomeofthegeneratedattackssincetheymightbe infeasible.

Fig.3. Anattackpatternthatreplacestheactionofobtaining(inputting)anitem fromanactorwithtwoattacks,onestealingtheitemfromtheactor,andtheother onesocialengineeringtheactortohandovertheitem.

Fig.4. AnattackpatternthatreplacessocialengineeringanactorAtoobtain(input) anitemfromanotheractorB.Thealternativesinsertedarethreatening,blackmailing, bribing,andsocialengineeringactorAtoperformtheaction.

SocialEngineering:

Atypicalexampleforattackstepsthatshouldbeadded throughattackpatterns,notthroughaddingmoredetailstothemodel,issocial engineering.Socialengineeringisanimportantfactorofattackingorganisations throughexploitingtheknowledgeandtheaccessrightsofemployeesorinsiders[22–24].Socialengineeringusuallyrequirescreatingapretext,whichispart ofbringingthevictimintoasituationwhereiteitherisnotawareofcontributing toanattack,orwhereithassufficientreasontobelievetodotherightthing.

Duetoitsdependencyonhumanbehaviour,socialengineeringisdifficultto dealwithinformalmethods.Sincethechoiceofpretext,forexampleapplying authority,dependsheavilyonthevictim,thiskindofattackisbestdealtwith throughattackpatterns.ThepatternsshowninFigs. 3 and 4 introducesocial engineeringnodes,wheretheattackersocialengineersanotheractortoperform anaction.

5.5AttackerandActorProfiles

Thesuccessofbothattackersanddefendersdependsonthetypeofactorand theskillsconsidered.Intheattacknavigator,differentprofilesareconsidered basedonthreatagentmodelling[11–13],whichprovidesskills,resources,and objectivesofactors.Theattacknavigatoranalysisusestheseprofilestoidentify attacksandcountermeasuresonasystemmodel,andtopredictthelikelihood ofsuccessandimpactoftheattack.

Actorprofilesseparatetheplanningofaroutefromitsassessment:routesin theattacknavigatorare all possibleattackswithrespecttothemodel.Notall oftheseattacksarefeasibleforallattackers,buttheyarestillattacks.Forcar

Fig.5. Theexpansionofapartofageneralattacktree.Thepatterns(Figs. 3 and 4) mayhaveholes,whicharefilledwithattributesfromtheleafnodethatisexpanded. Forconjunctivenodes,theoutgoingedgesareconnectedwithanarc,indicatingthat allchildnodesarerequiredtobeexecutedtoreachthegoal.

key
key from Bob get key from shelf
IN Alice key Bob
SocENG Alice Charlie IN Charlie key Bob get key
get key from Bob get key from shelf
IN Alice key Bob
MAKE Alice Charlie IN Charlie key Bob
Alice steals key from Bob
Alice social engineers Bob to give her key
Alice threatens Charlie to execute IN Charlie key Bob
Alice blackmails Charlie
Alice collects intel about Charlie
Alice blackmails Charlie to execute IN Charlie key Bob
Alice bribes Charlie to execute IN Charlie key Bob
Alice social engineers Charlie
Alice impersonates authority
Alice orders Bob to execute IN Charlie key Bob

navigationthiswouldmeantoshowallpossiblepathsfromthestartingpointto thegoal,butroutesthatrequirea4WDcarwouldnotbefeasibleforallcars.

Realnavigationcannotconsiderallroutes,sinceitrequiresthedriverto decide,whichofthemanypossibleroutesisthebestwithrespecttoanoptimizationgoal.Forattacknavigationitisthereverse:asinglerouteorattack outofmanyisnotuseful;considering all attacksenablesthetoolstoidentify countermeasuresthatdisableasmanyattacksaspossiblewithacertaineffort, anditalsoenablesanalysisofwhichkindofattackertowatchoutfor.

6Countermeasures

Ariskassessmentwouldbeuselessifitwouldnotcomewithawaytoincorporatecountermeasureeffectanalysis.Therearetwomajorwaysinwhichthe TRES PASSmethodologysupportsthis.

Thefirstapproachisgenericandcaninprinciplebeappliedtoanyrisk assessmentframework.Itusestheframeworkasablackboxwhichtakessome inputs(inthecaseofTRES PASS,thesystemmodel)andgivessomeoutput(in ourcase,prioritizedattackvectors).Assumingtheenduserisabletochange themodelandruntheanalysisagain,weobtainafulloperationalloopwith humaninvolvement,wheretheuserisexpectedtointerprettheanalysisresults andactivelyparticipateinthemodeldevelopment.

EventhoughTRES PASSaimsatautomatingtheriskanalysisprocess,we donotthinkthatfullautomationispossibleorevenneeded.Againcomingback totheterrainnavigationanalogue–thehumanisnotexpectedtofollowGPS blindly.Infact,severalcaseshavebeenreportedwhenpeoplebeingoverconfident intheGPSreadinghaveendedupinseriousaccidents[25, 26].Andevenifthe model, i.e.,themap,usedbytheGPSdeviceiscorrect,theusermaystillhave optimizationpreferencesthedeviceisunawareof.

Insomesense,thesituationisevenbetterwiththeattacknavigator.Here theuserhasmoreoptionsthanjustselectingbetweentheroutesofferedbya machine.Theusercanactuallychangethemapbyimplementingadditional controls,increasingefficiencyoftheexistingones,etc.Allthesechangeswould hopefullychangetherisklandscape,andrunningtheanalysistoolagainonan updatedmapistheprimewayofverifyingthis.

AsmentionedinSect. 2,attacktreesarenottheonlypossibleattackdescriptionlanguagethatcanbeusedinTRES PASS.Attack-defencetreesbyKordy etal. [27]areanalternativeapproachtocountermeasureselection.Inprinciple,thisformalismallowsforintegratingcountermeasuresintotheriskassessmentprocessonalowerlevelthanthegenericmodelupdateapproachdescribed above.Itispossiblealreadyattheattackgenerationstagetoalsogeneratecertaindefencenodesintothetreeortoobtainthosefromstandardlibraries.The optionofchangingthemodelandrunningtheanalysisagainofcourseremains,so theattack-defencetreeapproachispotentiallymoreflexiblethantheonebased onclassicalattacktrees.However,sinceattack-defencetreesareconsiderably morerecentandaccordinglylessstudied,thecurrentversionoftheTRES PASS toolset(asof2015)doesnotyetsupportthis.

7Conclusions

Thenavigationmetaphorisanewapproachtosecurityassessmentofcomplex systemsthataimsatbeingmoreaccessibletoahumanenduserthanother computer-assistedframeworks.However,nometaphorcanmaketheinherent challengesofriskassessmenttogoaway,itcanonlytrytopresentthemonthe levelwherehumandecisionscanbemademoreintuitively.

TheTRES PASSprojecthasbeenbuildingatoolsetsupportingsuchaworkflow.Wehavepublishedkeyinnovationsinforexampletheattacknavigation metaphor[14],makingattackerprofilesexplicit[28],attackgeneration[20, 21], quantitativeanalysis[29, 30],andvisualisationofmapsandpaths[31, 32].Our practicalandtheoreticaldevelopmentsopenupformanynewandinteresting researchquestionsintheareaofattacknavigationandgraphicalmodelsfor security,forexample:

–Whatisthecorrectabstractionlevelforasystemmodelsandmapsthat wouldbehumanlycomprehensibleandatthesametimewouldallowformal analysis?

–Arethereadditionalopportunitiesforusingthepropertiesofattackerprofiles insecurityanalysis?Canweusemoreadvancedcalculationsorstatistics?

–ArethecurrentTRES PASSmodelcomponentsgeneralisableenoughtoperformrealisticsecurityassessmentsonawideclassofsystems,orareextensions neededfordifferenttypesofsystems?

–Howcanweshareattackpatternsandwhataretherequirementsonthe patternsharingauthorisationinfrastructure?

Acknowledgment. Theresearchleadingtotheseresultshasreceivedfundingfrom theEuropeanUnionSeventhFrameworkProgramme(FP7/2007–2013)undergrant agreementno.318003(TRES PASS).Thispublicationreflectsonlytheauthors’views andtheUnionisnotliableforanyusethatmaybemadeoftheinformationcontained herein.

References

1.Fischhoff,B.:Riskperceptionandcommunicationunplugged:twentyyearsof process.RiskAnal. 15(2),137–145(1995)

2.Jasanoff,S.:Thepoliticalscienceofriskperception.Reliab.Eng.Syst.Saf. 59(1), 91–99(1998)

3.Weinstein,N.D.:Whatdoesitmeantounderstandarisk?evaluatingriskcomprehension.J.Nat.CancerInst.Monogr. 25,15–20(1999)

4.TheConsortium:Projectwebpage,31October2015. https://www. trespass-project.eu

5.Schneier,B.:Attacktrees:modelingsecuritythreats.Dr.Dobb’sJ.Softw.Tools 24(12),21–29(1999). http://www.ddj.com/security/184414879

6.Kordy,B.,Pi`etre-Cambac´ed`es,L.,Schweitzer,P.:DAG-basedattackanddefense modeling:don’tmisstheforestfortheattacktrees.Comput.Sci.Rev. 13–14, 1–38(2014)

7.J¨urgenson,A.,Willemson,J.:Computingexactoutcomesofmulti-parameter attacktrees.In:Meersman,R.,Tari,Z.(eds.)OTM2008,PartII.LNCS,vol. 5332,pp.1036–1051.Springer,Heidelberg(2008)

8.J¨urgenson,A.,Willemson,J.:Serialmodelforattacktreecomputations.In:Lee, D.,Hong,S.(eds.)ICISC2009.LNCS,vol.5984,pp.118–128.Springer,Heidelberg (2010)

9.J¨urgenson,A.,Willemson,J.:Onfastandapproximateattacktreecomputations. In:Kwak,J.,Deng,R.H.,Won,Y.,Wang,G.(eds.)ISPEC2010.LNCS,vol.6047, pp.56–66.Springer,Heidelberg(2010)

10.Arnold,F.,Hermanns,H.,Pulungan,R.,Stoelinga,M.:Time-dependentanalysis ofattacks.In:Abadi,M.,Kremer,S.(eds.)POST2014(ETAPS2014).LNCS, vol.8414,pp.285–305.Springer,Heidelberg(2014)

11.Casey,T.:ThreatAgentLibraryHelpsIdentifyInformationSecurityRisks.Intel WhitePaper,Houston(2007)

12.Casey,T.,Koeberl,P.,Vishik,C.:Threatagents:anecessarycomponentofthreat analysis.In:ProceedingsoftheSixthAnnualWorkshoponCyberSecurityand InformationIntelligenceResearch,CSIIRW2010,pp.56:1–56:4.ACM,NewYork (2010)

13.Rosenquist,M.:PrioritizingInformationSecurityRiskswithThreatAgentRisk Assessment.IntelWhitePaper,Houston(2010)

14.Pieters,W.,Barendse,J.,Ford,M.,Heath,C.P.,Probst,C.W.:Thenavigation metaphorinsecurityeconomics.IEEESecur.Priv. 14,Scheduledforpublication inMay/June2016

15.VanHolsteijn,R.:Themotivationofattackersinattacktreeanalysis.Master’s thesis,TUDelft(2015)

16.CoxJr,L.A.:Gametheoryandriskanalysis.RiskAnal. 29(8),1062–1068(2009)

17.Pieters,W.,Davarynejad,M.:Calculatingadversarialriskfromattacktrees: controlstrengthandprobabilisticattackers.In:Garcia-Alfaro,J.,HerreraJoancomart´ı,J.,Lupu,E.,Posegga,J.,Aldini,A.,Martinelli,F.,Suri,N.(eds.) DPM/SETOP/QASA2014.LNCS,vol.8872,pp.201–215.Springer,Heidelberg (2015)

18.TheConsortium:FinalrequirementsforvisualisationprocessesandtoolsDeliverableD4.1.2(2015)

19.Pieters,W.,Dimkov,T.,Pavlovic,D.:Securitypolicyalignment:aformalapproach.IEEESyst.J. 7(2),275–287(2013)

20.Kamm¨uller,F.,Probst,C.W.:Invalidatingpoliciesusingstructuralinformation. In:2ndInternationalIEEEWorkshoponResearchonInsiderThreats(WRIT 2013).IEEECo-locatedwithIEEECSSecurityandPrivacy2013(2013)

21.Kamm¨uller,F.,Probst,C.W.:Combininggenerateddatamodelswithformal invalidationforinsiderthreatanalysis.In:3rdInternationalIEEEWorkshopon ResearchonInsiderThreats(WRIT2014).IEEECo-locatedwithIEEECSSecurityandPrivacy2014(2014)

22.Winkler,I.S.,Dealy,B.:Informationsecuritytechnology?don’trelyonit.acase studyinsocialengineering.In:USENIXSecurity(1995)

23.Thornburgh,T.:Socialengineering:the”darkart”.In:Proceedingsofthe1st AnnualConferenceonInformationSecurityCurriculumDevelopment,InfoSecCD 2004,pp.133–135.ACM,NewYork(2004)

24.Mitnick,K.D.,Simon,W.L.,Wozniak,S.:TheArtofDeception:Controllingthe HumanElementofSecurity.Wiley,Hoboken(2002)

25.Holley,P.:DriverfollowsGPSoffdemolishedbridge,killingwife,police say,15October2015. https://www.washingtonpost.com/news/morning-mix/wp/ 2015/03/31/driver

26.Knudson,T.:’DeathbyGPS’indesert,Lastvisited15October2015(2011). http://www.sacbee.com/entertainment/living/travel/article2573180.html

27.Kordy,B.,Mauw,S.,Radomirovi´c,S.,Schweitzer,P.:Attack-defensetrees.J.Log. Comput. 24(1),55–87(2014)

28.Lenin,A.,Willemson,J.,Sari,D.P.:Attackerprofilinginquantitativesecurity assessmentbasedonattacktrees.In:Bernsmed,K.,Fischer-H¨ubner,S.(eds.) NordSec2014.LNCS,vol.8788,pp.199–212.Springer,Heidelberg(2014)

29.Buldas,A.,Lenin,A.:Newefficientutilityupperboundsforthefullyadaptive modelofattacktrees.In:Das,S.K.,Nita-Rotaru,C.,Kantarcioglu,M.(eds.) GameSec2013.LNCS,vol.8252,pp.192–205.Springer,Heidelberg(2013)

30.Lenin,A.,Willemson,J.,Charnamord,A.:Geneticapproximationsforthefailurefreesecuritygames.In:Khouzani,M.H.R.,etal.(eds.)GameSec2015.LNCS,vol. 9406,pp.311–321.Springer,Heidelberg(2015).doi:10.1007/978-3-319-25594-1 17

31.Hall,P.,Heath,C.,Coles-Kemp,L.,Tanner,A.:Examiningthecontributionofcriticalvisualisationtoinformationsecurity.In:Proceedingsofthe2015NewSecurity ParadigmsWorkshop.ACM(2015)

32.Heath,C.H.P.,Coles-Kemp,L.,Hall,P.A.,etal.:Logicallego?co-constructed perspectivesonservicedesign.In:DS81:ProceedingsofNordDesign2014,Espoo, Finland,27–29thAugust2014

IntegratedVisualizationofNetworkSecurity MetadatafromHeterogeneousDataSources

VolkerAhlers(B) ,FelixHeine,BastianHellmann,CarstenKleiner, LeonardRenners,ThomasRossow,andRalfSteuerwald

FacultyIV,DepartmentofComputerScience,UniversityofAppliedSciencesand ArtsHannover,P.O.Box920251,30441Hannover,Germany volker.ahlers@hs-hannover.de,trust@f4-i.fh-hannover.de http://trust.f4.hs-hannover.de/

Abstract. Incomputernetworksmanycomponentsproducevaluable informationaboutthemselvesorotherparticipants,especiallysecurity analysisrelevantinformation.Althoughsuchinformationisintrinsically relatedascomponentsareconnectedbyanetwork,mostofthemstill operateindependentlyanddonotsharedataamongsteachother.Furthermore,thehighlydynamicnatureofanetworkhampersaprofound understandingofsecurityrelevantsituations,suchasattackscenarios. Hence,acomprehensiveviewofthenetworkincludingmultipleinformationsourcesaswellastemporalnetworkevolutionwouldsignificantly improvesecurityanalysisandevaluationcapabilities.Inthispaper,we introduceacomprehensiveapproachforanintegratedvisualization,coveringallaspectsfromdataacquisitioninvarioussourcesuptovisual representationoftheintegratedinformation.Weanalyzetherequirementsonthebasisofanexemplaryscenario,proposesolutionscovering thesedemandsbasedontheIF-MAPprotocol,andintroduceoursoftwareapplicationVisITMetaasaprototypicalimplementation.Weshow howthegraph-basedIF-MAPprotocolprovidesagraphicalmodelfor anintegratedviewofnetworksecurity.

1Introduction

Inrecentyearsseveralvisualizationapproacheshavebeenproposedfornetwork securitycomponentslikeIntrusionDetectionSystem(IDSandflowcontrollers, whichmonitordifferentaspectsofnetworktrafficorthebehaviorofsystemsand users[11].Foracomprehensiveviewontheoverallnetworkstate,however,an integratedvisualizationofsecurityinformationgatheredfrommultipleseparate componentsisdesirable.Incontrasttoexistingdashboarduserinterfaces,which visualizeinformationfromdifferentsourcesinseparateviewsonthesamescreen, weaimatthevisualizationofhomogenizeddatawithinasinglerepresentationto emphasizetheirinterrelations.Inthisway,theusercangetathoroughunderstandingofwell-definedaspectsofthenetworkbyfocusingonitsimmediate surroundings,whilestillbeingabletogainabroadoverviewofthenetworkby includingmoregenerallyrelateddata,e.g.infrastructureinformation.Anintegratedvisualizationtherebyfacilitatesadetailedassessmentofthesecuritystate andthedetectionofpotentialsecuritythreatsorattacks.

c SpringerInternationalPublishingSwitzerland2016 S.Mauwetal.(Eds.):GraMSec2015,LNCS9390,pp.18–34,2016. DOI:10.1007/978-3-319-29968-6 2

1.1ExemplaryRealWorldScenario

Thefollowingscenarioclarifiesthenecessityofthoseadvancedmonitoringand visualizationapproachesandservesasabasisfortherequirementswederivefor ourapproach.Givenisatypicalenterpriseenvironmentwithseveralemployees, eachwithapersonalcomputerorsmartphone.Theyarepartofanetwork, whichincludesservices,likemailandSSHservers,internalstoragedevices,and databases.AnIDSisusedtodetectunwantedbehaviorandfirewallsregulate thetrafficandenforcethesecuritypolicy.

Onepossibleattackscenarioisauserdownloadinganinfectedfile(notrecognizedbytheIDS),whichresultsincompromisinghisaccountanddevice.The malwarenotonlystartstospreadacrosstheinternalnetwork,butalsotries tocompromisefurtheraccountsbyconductingbrute-forceloginattemptsonto availableserviceswithinthenetwork(thisfinallyisdetectedbytheIDS).Subsequentlysystemssuccessfullyinfectedstartdoingthesame.

Thedesiredprocessforanetworksecurityadministratoristo:(1)Quickly detectnotonlysingleincidents,butrecognizethecombinationoffailedlogin attemptsonmultipleservicesbythesameusers.(2)Findthesourcesofthe attacksandtherebytheinfectedsystemsandusers(theymightusedifferentlogin informationorspoofedaddresses).(3)Discovertheinitialsecuritybreachby identifyingtheinitiallyinfectedcomponentanddeterminethewaythemalware enteredthenetwork.(4)Reactasfastaspossible(e.g.,shutdownaccountsor lockoutdevices)topreventfurtherharm,likesuccessfulbrute-forceattempts. (5)Returnthenetworkaswellasitscomponentsanduserstowardsaproductive stateaftertheproblemhasbeenhandledappropriately.

1.2Requirements

AtoolwhichhelpsthesecurityadministratorperformtasksasinSect. 1.1 has tofulfillthreemainrequirements,eachofwhichwithsuitablevisualsupport.

(I) Real-timeMonitoring. Duetothehighlydynamicnatureofnetworks,time isacrucialfactorwhenanalyzingthenetworkstate.Fastreactionscanpreventothersystemsfromgettingcorruptedorvaluableinformationfrom gettingstolen.Furthermore,analysisresultsmayonlybeaccuratefora certaintimeframe,anditiscrucialtoacquireknowledgebeforeitisoutdated.

(II) DataIntegration. Thedifferentnetworkcomponentsgenerallyperform theirrespectivetaskswithoutcommunicatingwitheachotherorsharing theiravailableinformation,mostofthemusingproprietarydatamodels. Toovercometheseisolatedviews,anintegrationofthedifferentpartsof informationisfundamental.Nevertheless,thesourceofeachdatumshould stillberetained,inordertocorrelateachievedknowledgeonasemantically higherlevelwiththetriggeringlowlevelevents.

(III) RetrospectiveAnalysis. Inordertounderstandthecurrentstateofanetworkitisnecessarynotonlytoperceiveanddetectcurrentsituations,but

Another random document with no related content on Scribd:

beveiligd door een dijk, zig strekkende van de uitwatering van de Vecht in de Zuiderzee af, tot aan Muiderberg, en van daar tot Naarden toe.

N A A M S O O R S P R O N G .

Deeze wordt gevonden in de ligging der stad, zijnde, gelijk boven gezegd is, aan de Zuiderzee, bepaaldlijk ter plaatse alwaar de mond van de Vecht is: het woord Mond nu, was weleer Muden, zijnde door klankverbastering in Muiden veranderd; de oude naam Amuden, zegt men, bevestigt zulks nog nader; het eerste gedeelte deezes zamengestelden woords, Aa naamlijk, betekende toen, gelijk nog, een rivier, waarvan de Mond mede ter deezer plaatse is: in oude geschriften komt het steedjen dikwerf voor onder den gezegden naam van Amuden.

S T I C H T I N G G R O O T T E S T E R K T E .

Wanneer Muiden gesticht zij, is niet te bepaalen, alzo het van een visschers dorp of vlek, tot den rang der steden verheven is: onbetwistbaar is het intusschen dat men deeze stad den toenaam van grijs of oud mag geeven; want in den jaare 953 wordt reeds van dezelve gewaagd.

Wat de grootte betreft, vòòr den jaare 1632 vinden wij er 146 huizen voor aangetekend; en honderd jaaren laater, telde men er 205; anderen geeven er negen minder op, naamlijk slechts 196: de verpondingen welken dezelven opbrengen, beloopen weinig meer dan zeven honderd guldens.

Behalven wegens de gemelde groote sluis, is Muiden onder de sterke steden van Nederland te plaatsen: het heeft drie van boven open poorten; behalven de zogenaamde Sortiepoorten van het beruchte slot, ’t welke aldaar gevonden wordt, (hier van nader;) de vestingwerken [3]der stad zijn zodanig dat men dezelve weerbaar mag noemen, en weleer wilde men dat Muiden, behoorelijk versterkt, en met tweeduizend man bezet, geen hond in of uit de stad zoude kunnen komen: in den

beginne der zestiende eeuw, getuigt men, had Muiden noch poorten noch muuren; daarna heeft het beiden gekregen, en van tijd tot tijd is het noodig bevonden om ’t steedjen te versterken, en de versterking te verbeteren, vooral ook het slot: in 1629, toen de Spanjaarden in de Veluwe stroopten, was men desaangaande met ernst bedacht, echter is tot de daad zelve geen besluit genomen; in onze jongstledene troublen, toen menig dapper patriot naar Muiden getrokken is, om zijn hoofd voor de zaak, die toen van dien kant gedreven werd, ten pande te stellen, is het steedjen in volkomenen staat van tegenweer gebragt, schoon het zig aan de Pruissen heeft moeten overgeeven.

’T W A P E N

Is een blaauw veld, met een zilveren dwarsbalk er door.

KERKLIJKE

GODSDIENSTIGE GEBOUWEN.

Hier omtrent is in de eerste plaats de Kerk te noemen: verscheidene schrijvers willen dat zij de oudste van geheel Holland zij; intusschen heeft zij niets bijzonders, ten ware men als eene bijzonderheid wilde aanmerken, dat zij, gelijk ook haaren dikken en laagen toren geheel van duifsteen opgemetzeld is: van binnen is zij voorzien van een zeer goed orgel: de gemeente aldaar, ruim 300 leden sterk, wordt bediend door twee Predikanten, behoorende onder de Classe van Amsteldam: vóór den jaare 1632, had Muiden maar één’ Predikant.

De Roomschen hebben ter deezer stede mede eene statie, welke bediend wordt door één’ wereldsch Priester

Voords is er een Weeshuis, zijnde het gewezene Catharijneklooster, dat door Nonnen bewoond werd: het bestuur over dit huis is toebetrouwd aan twee Vaders, en even zo veele moeders[4]—weleer was er nog een overblijfsel van de Kloosterkerk te bezichtigen; doch hetzelve nu geheel nutloos geworden, is tot een pakhuis herbouwd.

Onder de

W E R E L D L IJ K E G E B O U W E N .

Behoort het slot, boven reeds genoemd, zijnde hetzelve zonder tegenspraak het voornaamste gebouw der stad, gelijk het ook voor een der voornaamste gebouwen van Holland mag gehouden worden: M S, verhaalt ons dat het gesticht is door Graaf F V, het rampzalig slagtoffer der vroege staatsverschillen, waardoor Nederland reeds in zijn begin geschokt is geworden, en die van tijd tot tijd door anderen vervangen zijn, ja zelfs tot op den tijd dien wij beleefd hebben, nog voordduurden, en gave God dat zij nog heden geheel gesmoord waren!—de tijd der stichting van het slot stelt men te zijn omtrent den jaare 1290.

Het zwaare gebouw rust op sterke gewelven, is rondsom met een gracht omvangen, en pronkt van buiten, met vier stevige ronde torens, een van welken voor eene gevangenis van misdadigers, of gyzelplaats voor minschuldigen gebruikt wordt: ’t heeft ook een sterke poort, een ruim binnenplein, en veele vertrekken, waaronder die vrij aanzienlijk zijn; (zie nader van dit slot onder het artijkel der bijzonderheden van Muiden:) oudtijds hadden de Drossaarden van Muiden op dit slot hun verblijf, waardoor zij den naam van Castelein verkregen hebben, doch zij zijn tegenwoordig niet verpligt er op te woonen, gelijk zij het dan ook meest voor een zomerverblijf houden: het wordt bewaard door een burgerman met zijn huishouden; dat des zomers aanmerkelijk voordeel trekt uit de giften der vreemdelingen, en inborelingen, onder welken laatsten voornaamlijk de Amsteldammers te tellen zijn, welken het slot komen bezichtigen.

„Vóór de laatste verbeteringen der vestingwerken,” leezen [5]wij desaangaande verder: „waren de aardene wallen van dit kasteel of slot, met twee reien boomen beplant, die toen werden uitgerooid, gelijk mede voor het grootst gedeelte de tuinen, doch naderhand zijn de wallen weder beplant geworden.”

Voor de brug van het slot is een Corps-de-garde gebouwd.

Veel deels heeft dit beroemde gebouw in de lotgevallen van Nederland gehad; voornaamlijk, en dit spreekt van zelf, voor zo verre de stad Muiden zelve betreft: bijzonderlijk is het door de Kennemers, die opgekomen waren om den dood van Graaf F V te wreeken, belegerd, en ook in hunne handen gevallen.

Zeer beroemd is dit gebouw geworden door de schriften van den onvergelijkelijken Drost, P C. H, die hij op hetzelve vervaardigd heeft.

Het Stadhuis is zekerlijk dien naam naauwlijks waardig; het is echter voorzien van een torentjen, maar zeer klein: in hetzelve hangt een klokjen, ’t welk bij het afleezen van vonnissen of openbaare afkondigingen geluid wordt; voor het gebouw staat een uitstek of soort van balcon, met een hek er rondom; het pronkt tevens met het beeld der Gerechtigheid, tusschen twee leeuwen, houdende het wapen der stad, en dat van Holland—anderen willen dat de twee leeuwen, twee meerminnen zijn, tot plaatsing van welken aanleiding zoude gegeven hebben, het vangen van zulk een wezen, door de visschers van Muiden, wanneer, wordt niet gezegd: deeze Meermin zoude als eene Waterprofetesse gezegd hebben: Muden zal Muden bliven, Muden sal noit becliven: als er eenig ongeval in de stad ontstaat, wordt deeze Prophetie door de inwooners nog wel eens herdacht, en herhaald.

Onder de Wereldlijke Gebouwen van Muiden behoort ook de Waag, ofschoon dezelve almede niet veel vertoning maakt, [6]en bijna van geheel geen gebruik is: zij staat benevens de sluis, en dient ook tot een wachthuis voor de burgerij.

V O O R R E C H T E N .

Heeft Muiden niet veel; wèl heeft het steedjen ’t recht dat de schelvisch, (die voorheen aldaar plagt afgeslagen te worden, doch ’t welk nu niet

meer geschiedt,) er twee uuren moet blijven liggen, eer zij vervoerd mag worden; ook is een burger van Muiden te Utrecht niet aristabel.

R E G E E R I N G .

Deeze vinden wij dus beschreven.

„De Regeering der stede Muiden bestaat uit den Drossaart, die eenen stedehouder heeft, welke door hem gekozen wordt, en tevens Officier der stad is; wijders uit den Schout, twee Burgemeesteren en vijf Schepenen, drie Weesmeesters en één Armmeester, welken een’ Secretaris is toegevoegd: de Drossaart wordt door de Staaten van Holland en Westfriesland aangesteld: het doen van den eed door deezen, werd oudtijds met eene bijzondere plechtigheid verricht: de verkorene Drossaart kwam te Muiden aan de brug, bij rijzende zonne onder den blaauwen hemel, zettede zijn rechter voet in een beugel aan een grooten witten steen vastgemaakt, en zwoer, ten overstaan van gemagtigden van Muiden, Naarden, en de dorpen van Gooiland, Weesp, en Weesperkerspel, in handen van voorzittende Burgemeesteren van Muiden, Naarden en Weesp, met opzicht tot ieder van zijne bijzondere waardigheden; beloofde de Staaten van Holland en Westfriesland gehouw en getrouw te zullen zijn; het kasteel tot eer en dienst derzelven te bewaaren; de Steden en Dorpen, ieder in het hunne niet te verhinderen in hunne Voorrechten, [7]handvesten, vaststellingen, en gewoonten; maar hen daarin te sterken, stijven, en handhaven; den Godsdienst, zo als die tegenwoordig geoefend wordt, mede te oefenen; Weduwen en Weezen, en andere elendigen, onder zijn rechtsgebied behulpzaam te zullen zijn, en in hun goed recht te beschermen, en voords in het algemeen te doen, dat een goed vroom kastelein van Muiden en Bailluw van Gooiland, behoort en schuldig is te houden en te doen: deeze plechtigheid,” voegt de schrijver wiens geleide wij in deezen volgen, er bij, „is ten aanzien der twee laatste Drossaarden niet geschied; doch de steen en de beugel wordt nog op de aangewezen plaats gezien:”

De Drossaard is tevens Colonel over de Schutterij.

„Burgemeesteren worden jaarlijks op den 2 Februarij, door Schepenen verkozen: Schepenen plagten van ouds zonder nominatie verkoren te worden; zo lang er geene stadhouderlijke regeering was,” gelijk men het noemt, „is door Schepenen en Burgemeesteren eene nominatie van tien persoonen gemaakt, en aan de Staaten van Holland en Westfriesland, overgeleverd, om er vijf Schepenen uittekiezen; onder de stadhouderlijke regeering, levert de Drost de nominatie over aan den Stadhouder: de vijf Schepenen kiezen de nieuwe Burgemeesteren, en deeze gezamentlijk de Weesmeesteren, en de Armmeester, welke voor dat jaar de dertien Leden der Vroedschap uitmaaken; alle de Collegiën worden door denzelfden Secretaris bediend, die door de Staaten van Holland en Westfriesland is aangesteld.”

Wat het opzicht over den zwaaren zeedijk, waarvan wij boven spraken, betreft: dezelve staat volgends resolutie van de Staaten van Holland en Westfriesland, dato 7 Mei 1678, aan een Collegie van Dijkgraaf en zeven Hoogheemraaden met hunnen bijgevoegden Secretaris: de Dijkgraaf is de Drost in [8]der tijd; drie van de Hoogheemraaden worden gemagtigd door de steden, Amsteldam, Muiden en Naarden, en één door de Schout en Schepenen van Weesper-kerspel: deeze vier Hoog-Heemraaden, benevens de Dijkgraaf kiezen de overigen, te weeten uit Muiden, Naarden, en Weesp, of Weesperban, ieder één: de Secretaris wordt door het gezamentlijke Collegie aangesteld: „Dijkgraaf en Hoogheemraaden,” leezen wij, „moeten in den ring van deezen dijk, voor zesduizend guldens, of twaalf morgen lands gegoed weezen.”

Men kan niet met zekerheid bepaalen hoe de beheering van deezen dijk, in vroegeren tijde geweest is; vóór den jaare 1650 schijnen er noch Dijkgraaf noch Hoogheemraaden geweest te zijn, daarna werd er door het Hof een’ Dijkgraaf aangesteld.

Dijkgraaf en Hoogheemraaden, doen jaarlijks in de maand April, schouwing over den gantschen dijk: twee uit de Hoogheemraaden, welken hier toe, en tot alle gemeene voorvallende zaaken gemagtigd

worden, hebben het bestuur om het gebreklijke te doen herstellen bij openbaare aanbesteedinge, aan de minst aanneemende, gelijk zij ook gelast worden, om nategaan dat alles behoorelijk gemaakt worde, ten welken einde een opzichter van den dijk is aangesteld, die dagelijks bij den arbeid tegenwoordig moet weezen: de gebreken van den dijk volgends het oordeel van gemagtigden in behoorelijke orde hersteld zijnde, wordt het volle Collegie beschreven om aan den dijk te komen, ten einde de gemaakte werken opteneemen, en verder te besluiten wat na tijds gelegenheid noodig geoordeeld mogt worden.

Het Collegie van Heemraaden wordt te Amsteldam beschreven, tot het opneemen van de rekeningen en het sluiten van de boeken.

Sedert ’s Lands Zeeweeringen van het zo zonderling als schadelijk, paalgewormte doorknaagd is geworden, heeft men [9]ongemeene moeite gedaan, om deezen dijk te versterken, door het aanbrengen van vreezelijk groote steenen aan de glojing of helling naar den zeekant toe; deeze versterking gaat van het Muiderslot af, tot aan Muiderberg toe, het geen den dijk niet weinig verbeterd heeft, waarvan het gemelde schadelijk gewormte de aanleidende oorzaak mag genoemd worden, en derhalven heeft dat zogenaamd kwaad, waartegen in de tempelen zelfs smeekingen naar den Hemel gezonden werden, in dit geval, en in andere gevallen meer, tot een zegen verstrekt.

Het bovengemelde Collegie heeft ook opzicht op de groote sluis, waarvan wij reeds gesproken hebben.

Het Collegie van Commissarissen van het zandpad, tusschen Amsteldam, Muiden, Naarden, en Weesp, bestaande uit gedeputeerden van gemelde steden, hebben om de vier jaaren hunne zittingsbeurt te Muiden, tot het doen opneemen en sluiten van de boeken.

B E Z I G H E D E N .

De Zoutkeeten, welken in Muiden gevonden worden, maaken er veelal de nering en bronnen van bestaan uit; zij zijn drie in getal, naamlijk, De Paauw, Het Anker, en De blaauwe Wereld, er woonen ook veele visschers, die hun werk maaken van bot, baars, snoek, enz. te vangen, ja zelfs somtijds haaring: deeze visch wordt meerendeels in de Zuiderzee gevangen, hoewel de bot en baars, welke van Muiden komt, bekend zij onder den naam van Y-bot en Y-baars—er worden in Muiden alle die handwerken en ambachten geoefend, welken in de zamenleeving onvermijdelijk zijn—de militie die er thans in guarnisoen ligt, brengt het steedjen mede eenige woelingen bij: de doorvaart, waarvan wij boven Bladz. 1. reeds spraken, behoort hier vooral gedacht te worden: dit jaar verstrekt ten voorbeelde van de bezigheid, welke daardoor veroorzaakt wordt, door de Pruissische Magazijnen, die van over Hamburg, Stettin, enz. tot Muiden aangevoerd, en aldaar in Rhijnschepen overgeladen worden: dit gaf zulke eene aanmerkelijke [10]drokte, en grove winst voor allen die maar wilden werken, dat het niet vreemd was dat een gildewerker tot ƒ 30, in een’ week kon verdienen: dit zelfde geeft ook groot vertier bij bakkers, brouwers, en in de herbergen.

Men vindt te Muiden ook goede Scheepstimmerwerven, alwaar welëer van 100 tot 130 man plag te werken; dan sedert 1787 is deeze tak merkelijk verloopen.

S C H U T T E R IJ .

Deeze bestaat in twee Compagniën, naamlijk het Blaauwe en Oranje vendel, waarover de Drossaard Colonel is; de overige Officieren, zijn twee Capiteinen, twee Lieutenanten, twee Vendrigs, en zes Sergeanten: deezen vergaderen in bijzondere gelegenheden, „althans,” zegt onze geëerde correspondent „in deezen, meer dan ééns in een jaar.”

G E S C H I E D E N I S S E N .

In den jaare 953 werd Muiden, door Keizer O E, aan de Kerke van Utrecht in eigendom gegeven, het welk naderhand door Keizer O T, in 975 geschiedde; zijnde deeze gift in den jaare 1171, door Keizer F, nog nader bevestigd;

Meer dan éénmaal heeft Muiden voor den aanval van vijanden blootgestaan; en is zelfs door hen verbrand: in den jaare 1197, onderging het dit lot door de Kennemers; weinige jaaren laater, naamlijk in 1204, werd Muiden in koolen gelegd, door W E en A B, ten tijde der inlandsche beroerten in Holland tusschen Graaf Willem, en Graave L L: dit onheil viel de stad en niet minder het slot andermaal te beurt in den jaare 1356, door J A, Bisschop van Utrecht, toen hij met Graave W in oorlog gewikkeld was: die van Utrecht, in 1374 in twist geraakt zijnde met A B, over de betaaling van het [11]huis te Vredeland, en over zekeren hoon daarbij geleden, beslooten hunne schaden te verhaalen door schatting te vorderen van eenige Hollandsche plaatsen, waaronder ook Muiden zig bevond; in het jaar 1507 werd deeze stad door Hertog K G in brand gestoken, gelijk hij zig ook Meester van het slot maakte; doch bij den zoen tusschen de Hertog en K V, toen Koning van Castiliën, werd het slot zo wel als de stad zelve aan hem, als Graave van Holland weder ingeruimd: de uitvoering van welke inruiming echter nog aanliep tot den jaare 1509: in de Spaansche beroerten heeft Muiden langen tijd de zijde des Konings gehouden, en des zelfs gelegenheid om hier door Amsteldam en Haarlem, welken mede noch Spaanschgezind waren, te benaauwen, ondernam Hopman D S, met goedvinden van den Prins van Oranje, in den jaare 1576, een aanslag te waagen om het voor de Staaten te bemagtigen; dat ten deele ook gelukte door het inneemen der stad die zeer schielijk vermeesterd werd; maar om het slot intekrijgen zag men geen kans zonder grof geschut, dat ontboden werd: intusschen kwamen de Amsteldammers te water, en eenig ander volk te lande zo schielijk aan, dat S moeite genoeg had om het geschut, volk, ja zelfs zijn eigen persoon aan boord te krijgen, en met verlies van twee honderd man, Muiden en de Schans Diemerdam, niet zonder

verwijt van te hooren, dat hij het gevaar te groot gesteld en zelf de schrik onder zijne troupen gebragt had, te verlaaten: met den eersten dag des jaars 1577 gaf Muiden zig bij verdrag over aan den Prins van Oranje: toen de Staaten van Holland en Zeeland zig ontsloegen van de Landvoogdije des Graaven van L, en Prins M als hun algemeenen Landvoogd aanstelden, veranderden zij tevens de bezettingen in verscheidene steden, met nieuw geworven Krijgsvolk; maar het duurde nog al een geruimen tijd aleer zij dien in Muiden konden uitwerken, nadien den Capitein J B, die er het gebied voerde, weigerde van het slot te verhuizen; waaruit men kan begrijpen dat dit slot niet gering van kracht moet [12]geweest zijn: L noemde het daarom ook de toom van het groote paard; dat is van Amsteldam.

Toen in 1672 het land wegens den inval der Franschen door een algemeenen schrik bevangen werd, werd deeze stad, hoe onweerbaar ten dien tijde, door hen niet bemagtigd; ofschoon zij zeer nabij haaren overgang was: want na dat Naarden overrompeld was, waren vijf Dragonders stout genoeg om eenige vlugtelingen tot binnen Muiden te vervolgen, ’t welk, wel verre dat die stoutheid henzelven ten nadeele zoude verstrekt hebben, die van Muiden in tegendeel zo verschrikt maakten, dat zij terstond Gemagtigden tot een verdrag afzonden: terwijl deezen tot het volbrengen van hunnen last afwezig waren, had Prins M van Nassau, te Muiden post gevat, met voorneemen om de stad te verdedigen, het geen de Afgevaardigden, toen zij terug keerden, onder het vrijgeleiden van drie honderd Franschen ter dood deed verschrikken; zij dorsten niet nader komen uit vrees voor de ongenade van den dapperen M, en aan den anderen kant vreesden zij van door de Franschen gehouden te zullen worden, tot men de geslotene overeenkomst voldaan zoude hebben; het geen de Franschen nu te zekerder zouden vorderen, nu zij zagen dat M voorneemens was de stad te verdedigen: dit was zekerlijk een hachelijke omstandigheid voor hen; echter werden zij daar uit gered door den Franschen Predikant te Naarden, J L G, wiens voorspraak bij de Franschen zo veel ten wege bragt dat deeze het gemaakte verdrag vernietigden,

waardoor Muiden derhalven nog aan de zijden der Staaten bleef, hoewel zulks niet lange ongestoord duurde, want ten volgenden jaare, 1673, deed C er weder eenen aanslag op, hoewel al mede vruchtloos; men ging hem met het water te keer, waarom hij het zelve poogde aftetappen; doch niet genoeg kundig zijnde van de gesteltenis des Lands, moest hij zijn oogmerk laaten vaaren.

In de daarop volgende honderd jaaren, verschijnt Muiden [13]niet op het staatstooneel; doch in onze jongstledenen troubelen heeft het al mede zijn deel gehad, ’t geen als een voormuur, of sterkte van Amsteldam, om welke hoofdstad het voornaamlijk te doen was, onmogelijk anders heeft kunnen weezen: desaangaande hebben wij van een waardige hand het volgende ontvangen.

Na dat Muiden bij het trekken van het Hollands Cordon, circa een jaar, eerst door het tweede, daarna door het eerste batt. van D bezet, en deszelfs fortificatien eenigzins in staat van defensie gebragt waren, kwamen bij deezen militaire bezetting een detachement van Amsteldamsche Burgers, circa 300 man sterk, aldaar in bezetting die alle twee weeken wierden afgelost: in ’t laatste van Augustus 1787, kwam een detachement van 18 Kanoniers, met twee Officieren van Amsteldam, weinig dagen daarna het corps van M, toen circa 20 sterk, ’t welk in Muiden tot bij of over de 200 gebragt wierd, nog een detachement Kanoniers sterk als boven; na het overgaan van Utrecht en andere steden, aan de Pruissen, kwamen veel defferente bataillons en detachementen, als Waardgelders, Utrechtsche Garde, Vriessche en Geldersche Brigadiersch, Fransche Artilleriste, enz. tot het getal zo men zeide 2100 man sterk wierd.

Het eerste tooneel dat eenigzins aanmerklijk was, was behalven den toestel, het in den eed nemen van de militaire Officieren: door twee gecommitteerde uit het defensieweezen van Woerden, deeze Heeren geleid wordende door den Generaal V R; en geëxcorteerd door een detachement Dragonders, reden te Muiden in den doelen op; requirerende de militaire Officieren voor zig, en stelden haar den eed

voor, die door alle (exept den Capitein Commandant N,) werd geweigerd, en ontvingen hunne demissie.

De nacht na deezen dag, werd Muiden door eenigen onverlaaten, die zig onder de Amsteldamsche Burgerij mengden, met eenig ongeval gedreigd, ’t welk wel voorgekomen werd; hoewel er naderhand nog onzinnigheid gepleegd is.

Eindelijk kwam dien noodlottigen nacht tusschen den 26 en 27 September: den 26 in de achtermiddag, werd er een begin [14]gemaakt met plunderen, bij Burgemeester A S, dan dit werd, en wel voornamentlijk door tusschenkomst van eene H, Officier bij het corps van M, nog gelukkig in deszelfs begin gestut, en dat huis bezet en bewaard; dog des avonds om 11 uuren, ging men veel sterker aan ’t woelen, die troep zo men zeide, 15 à 16 man sterk, wilde plunderen, het koste wat het wilde, zij hadden in de Bank van Leening de glazen ingeslagen, en kwamen met een woest geschreeuw, dat haar troep grooter deed schijnen dan ze in der daad was, en ook wezenlijk grooter maakte, om dat zij die er ook lust toe hadden er zig bij voegden, de brug over, hier werden zij wel door den Officier van de wacht, die tot de Geldersche Brigade behoorde met nog een Officier tegengegaan; maar dreigen hielp zo weinig als goede woorden: daar moest en zou geplunderd worden, zij drongen door, sloegen over de wacht eenige huizen de glazen in stukken, toen ze hier mede bij den Bakker op den hoek over de wacht bezig waren, kwam eenige huizen van daar een kogel van tusschen de pannen, die men nooit recht geweten heeft van wien; trof een man in den onderbuik, dat er de dood op volgde; een eenvoudig man, een schoenmaker, werd van deeze daad beschuldigd, maar behalven dat die man zo eenvoudig was, dat hij geen geweer zoude hebben durven afschieten, woonde hij ook te verre om het te kunnen doen: evenwel dit huis werd in die diep woeste drift geplonderd, (woeste drift moet men het noemen, en geen partijsche, want het huis van een zeer bekende Prinsgezinden werd gespaard, terwijl bij zijn twee buuren, waar van ten minsten een voor Patriottisch bekend stond, niet alleen de glazen ingeslagen, maar ook verscheide kogels door het huis

gejaagd wierden;) de man met zijn huisgezin meende achter door de tuin uittevluchten, maar werd door een kogel in ’t been gekwetst, en viel; toen wierden zij door een troep raazenden overvallen; de man werd getrapt, geslaagen, en na de hoofdwacht gesleept, alwaar hij in den morgen van den tweden dag aan zijn bekomen wonden overleed, de vrouw had zich losgeworsteld niet zonder deerlijk gehavend te zijn; men hoorde in dit tumult na gissing wel 400 snaphaanschooten, door partijen elkander toegezonden, want er was onder het guarnizoen zo wel militair als burgers, een zeer groote partij die zich tegen het plunderen verzette, de kogels snorden van rondsom, en in den morgen telde men tot 26 gekwetsten, behalven die zich uit het oog hielden: M deed zijn Dragonders optrekken, en in den hoop inrukken om dezelve uit elkander te drijven, het corps van M, zo verre het gewapend was, deed onder aanvoering van H, ook hun best, dan het ging zo gemaklijk niet of een Dragonder werd aan het hoofd [15]gekwetst, H werd door een kogel zijn rechter lok aan het hoofd weggenomen, en M kreeg een kogel door de hoed: den dag daar aan volgende, kwam een Pruissisch Officier de stad sommeere, deeze werd geblind na het kwartier van M geleid, ’t welk elf maal hervat is: die achtermiddag kwam er bevel om uittemarcheeren.

Den 1 October, werd men in Muiden door het losbranden van het kanon, ’s morgens circa half vijf uuren gewekt: men zag de Pruissische granaten door de lucht snorren: een viel en barstten op straat, sloeg vier der digst bij staande huizen bijna alle de glazen in stukken, en maakte nog eenige andere schaden; een viel in een bed dat in een kribbe op een solder lag, waaronder twaalf menschen zaten koffij te drinken, sloeg bed en kribbe uit elkander, en het dak in den brand, doch dit werd schielijk geblust; een viel bij de Emeritus Predikant J, door het dak; maar barstte tusschen dak en vliering; op verscheide plaatsen vielen nog anderen, aan de kant van Weesp, was men ook niet stil, met een vijfde schot werd een wiel van een der Pruische wagens weggeschooten, en circa negen uuren trof een Muiderkogel, een Houbitser juist in zijn gapende mond, terwijl hij geladen was, en barstte.

Eenige Pruissische Dragonders van de kant van Naarden, dagten uit het bijderzijds ophouden van schieten, dat Muiden het hadde opgegeven, en naderde tot digt bij de poort; dit wierd gezien en hun eenige kogels toegezonden: een van dezelve trof een Wagtmeester, scheide zijn been even beneden de heup, bijna van het lichaam, en doode zijn paart: de anderen zetteden het spoorslaags op ’t loopen, en men haalde terstond den gewetsten na binnen, scheidde het been vervolgens geheel van het lighaam, en deed wat men kon, maar de man overleed aan zijn wonden: ondertusschen had dat over en weder schieten vooral ook de Pruissische Houbitsers zodanig de schrik in het hart van den burger gebragt, dat een menigte huis en haven verlatende, tot vijf zeer vol geladen schepen Muiden vaarwel zeiden en na Durgerdam overstaken, intusschen kwam nog een Battaillon van de Amsteldamsche Soldaaten binnen; Muiden wierd weder opgeëischt, M eischte daarentegen Naarden en Weesp op, en Muiden wierd op den 8 October bij verdrag overgegeven, het Battaillon Pruissische Grenadiers, dat bezit van de stad nam, verbleef aldaar drie dagen kreeg toen patent na de Diemermeer, en vertrok terstond, het wierd vervangen van een Battaillon van Orange Nassau, dit bleef drie weeken en wierd toen afgelost, door het Battaillon Grenadiers van R, die 26 weeken bezet bleeven houden, dus de winter [16]over, intusschen was ieder weder na zijn huis gekeerd, en thans leeft men stiller: eenige Casteleins die zeer geleden hadden, kregen ƒ 50: den burger van ƒ 20: tot ƒ 12: gulden, zoogenaamde schadevergoeding.

B IJ Z O N D E R H E D E N .

De Kerk en verdere gebouwen boven gemeld, komen hier weder in de eerste plaats, en onder dezelven wel voornaamlijk het slot: voor een geringen penning kan het zelve van onderen tot boven bezichtigd worden; en die de Vaderlandsche Historie slechts ingezien heeft zal moeten lagchen over het bloed van Graaf F, ’t welk men nog op den houten vloer ziet, en dat er, miraculeuslijk! nooit afgaat, ja er zelfs weêr op komt als de vloer vermaakt word: men vertelt dan daarbij dat

F in die zelfde kamer waarin zijn bloed nog zit, door V V vermoord is, schoon de historiën leeren dat hij in de open lucht omgebragt is geworden: ’t is intusschen waar dat zij die hem opgeligt hadden om hem naar Engeland overtevoeren, hem op dat slot gebragt hebben; de kamer of het gat, waarin men hem tot den naderen aftogt smeet, word ook nog aangeweezen: een onzer dichters schijnt den grouwzaamen moord mede op het slot te plaatsen, daar hij zegt:

Maar aan den oosterkant, verheft zig ’t Muiderslot

Befaamd door F dood, hier van zijn kroon geknot, Toen V, heet op wraak, met zijne vloekgenooten, Den Graaf, zijn’ wettig vorst, den dolk in ’t hart dorst stooten

En Gooiland verwen met het bloed van zijn Heer, Dat wraak riep, daagende heel Holland in ’t geweer.

De gevangenis van V V, is allerakeligst: in de andere gevangenis leeze men de onderscheidene versjens, als andere inscripties, welken door de gevangenen aldaar geplaatst zijn; men vindt in de onderscheidene kamers nog verscheidene dingen waarvan de vertellingen geloofd moeten worden.

De Steen en beugel, waarvan wij Bladz. 6 spraken, moeten vooral ook gezocht worden.

L O G E M E N T E N

.

Het Hof van Holland.

De Doelen.

De Bruinvisch

De Gooische boer. en eenigen anderen van minderen rang.

De drie eerstgemelde zijn ook Uitspanningen.

R E I S G E L E G E N H E D E N

Deezen zijn dezelfde als die van Naarden, zie ook ons blad over die stad. [1]

[Inhoud]

De stad Naarden.

De G H, ’t sterke NAARDEN, Leed door de S werd door het S , Schier overstroomd van burgerbloed Moest P, (die het meê geen groot genoegen baarden ) Ontfangen, is des steeds Verdrukt door zo veel leeds.

D E

S TA D

N A A R D E N .

Onder de Nederlandsche Steden, welken in de geschiedenissen des Lands met smart gedacht worden, behoort zekerlijk het grijze steedjen Naarden, ’t welk, hoe weinig betekenende in zig zelf, echter nog op zijne waarde, met betrekking tot deszelfs aanzienlijke sterkten, roem mag draagen; en slaan wij ’t oog op vroegere gebeurtenissen, vooral van dien tijd, toen de Spaansche dwingelandij de geweetens der vrij-geborene

Nederlanders onder het ijzeren juk der Inquisitie wilden krommen, dan zullen wij niet kunnen nalaaten een krans voor het steedjen, dat thans met zulke onverschillige oogen aangezien wordt, te vlechten; en met zekeren historiedichter uitteroepen:

——daar elk het hart ontzonk in ’t nijpen van den nood, Waart gij ’t, ô Naarden! die den vijand spitse bood, Als met een’ leeuwenmoed, en boven uwe krachten, Wijl onvermijdelijk uw val nu was te wachten, Doe u de hoop ontschoot van ’t ingebeeld ontzet, Terwijl het moordmes reeds werd voor uw’ hals gewet.

In dien tijd ondervond de Spanjaard, en heeft het meermaals ondervonden, hoe de vrije Nederlanders een dwingeland onder [2]de oogen durven zien—„wel kunnen zij gedwongen worden hunne halzen onder een jok te buigen, maar om hunne van Natuure vrije halzen daaronder gebogen te houden, is ’t gewigt van een Vorstlijken schepter te weinig”—de vrijheid is ook, om zo te spreeken, het element der ziele: indien zij daar buiten gevoerd wordt, kan zij niet anders dan een kweinend leven lijden; wat ook de voorstander der slaavernije, of pijnigende onderwerping, moge zeggen, en trachten te toonen, dat zijne ziel niet lijdt, zij lijdt zekerlijk; zij wordt uit haar element, uit haar’ staat van

Turn static files into dynamic content formats.

Create a flipbook
Issuu converts static files into: digital portfolios, online yearbooks, online catalogs, digital photo albums and more. Sign up and create your flipbook.