With enormous vulnerability discovered and Internet prevailing in the word, users confront with the more dangerous environment. As a result, the users have to understand the system risk necessarily. The vulnerability scanner provides the functionality that could check if the system is vulnerable. Nessus is a vulnerability scanner. It provides the customization capability that users could defined the security check. It develops a attack language called NASL. By use of NASL, users could write the security check by themselves. But before writing the security check, the users must know the architecture of Nessus and study how to write the security check by NASL. Different vulnerabilities have different the detection approach and communications method. If users don't know about above knowledge, they couldn¡¦t write the security check. In this research, we develop a automatic mechanism of generating code for the Nessus scanner and produce a security check. And we also provide two approaches to produce the security check. The one is the modularization. It takes part of function codes into a module, and combines the modules into a security check. The other one is package. The users can't involve the attack code and just only fill in some of parameters to produce the security check. This research proposes the design above and actually implements a system to generate attack codes. It attempts to decrease the needs of knowledge to users about security check, reduce the error rates by human typos, and enhance the efficiency and correctness for writing the security check

Substations are important components for transforming voltage and distributing power in electrical infrastructure. Modern substations are usually automated by substation automation systems, which offload the work of operators and reduce potential human error. The IEC 61850 standard was released in 2003 to address the compatibility of electronic devices with substation automation systems. However, it exposed more attack surfaces with the adoption of Ethernet, the wide use of digital devices, and the connection to the Internet. Therefore, it is necessary to analyze the security threats of modern substations. This master thesis investigated the common design options of IEC 61850 substations, then used the graph-based threat modeling method to explore the security weaknesses of those options and compare the effectiveness of security mechanisms. The construction of threat models is carried out with SecuriCAD and several domain-specific modeling languages that developed from the Meta Attack Language framework. Through the analysis of the results, we conclude that the evaluated security mechanisms can bring security benefits and mitigate security threats in the area of substation automation. / Transformatorstationer är viktiga komponenter för att transformera spänning och distribuera kraft i elektrisk infrastruktur. Moderna transformatorstationer automatiseras vanligtvis av transformatorstationsautomationssystem, som avlastar operatörernas arbete och minskar potentiella mänskliga fel. IEC 61850-standarden släpptes 2003 för att ta itu med kompatibiliteten hos elektroniska enheter med automationssystem för transformatorstationer. Men det exponerade fler attackytor med antagandet av Ethernet, den breda användningen av digitala enheter och anslutningen till Internet. Därför är det nödvändigt att analysera säkerhetshoten för moderna transformatorstationer. Denna masteruppsats undersökte de vanliga designalternativen för IEC 61850-transformatorstationer, och använde sedan den grafbaserade hotmodelleringsmetoden för att utforska säkerhetssvagheterna hos dessa alternativ och jämföra effektiviteten hos säkerhetsmekanismer. Konstruktionen av hotmodeller utförs med SecuriCAD och flera domänspecifika modelleringsspråk som utvecklats från ramverket Meta Attack Language. Genom analysen av resultaten drar vi slutsatsen att de utvärderade säkerhetsmekanismerna kan ge säkerhetsfördelar och mildra säkerhetshot inom området för automatisering av transformatorstationer.

Många utvecklare förlitar sig på moderna utvecklingsmiljöer med stöd för språkspecifika funktioner som underlättar utvecklingsprocessen. Nyutvecklade språk saknar ofta denna möjlighet, Meta Attack Language (MAL) är ett av dessa. Syftet med denna avhandling är att undersöka betydelsen av en integrerad utvecklingsmiljö i MAL med avseende på användarupplevelsen genom att utveckla en prototyp av en integrerad utvecklingsmiljö för MAL. Avhandlingen inleds med en litteraturstudie inom de relevanta områdena MAL, utvecklingsverktyg och kodanalys. Utifrån den insamlade informationen fastställs det att prototypen utvecklas som en Visual Studio Code-extension med en language server i enlighet med Language Server Protocol (LSP). För att mäta användarupplevelsen av en utvecklingsmiljö för MAL används User Experience Questionnaire (UEQ) som mäter användarupplevelsen utifrån sex perspektiv: attraktivitet, tydlighet, effektivitet, pålitlighet, stimulering och innovativitet. Mätningarna sker i forma av två likadana enkäter där MAL-utvecklare besvarar frågor angående användarupplevelsen av att utveckla i MAL. Den första enkäten undersöker användarupplevelsen utan prototypen och den andra undersöker användarupplevelsen med prototypen. För att undersöka om skillnaden med och utan prototypen är av statistisk signifikant utförs t-test för varje perspektiv. Avhandlingen har resultaterat i en Visual Studio Code-extension som tillhandahåller intelligent kodifyllning, diagnostics, go to definition och syntaxmarkering för MAL. Resultaten av enkäterna visar på en ökning på alla mätta perspektiv med en statistisk signifikant förbättring på attraktivitet, tydlighet och effektivitet. För att utveckla arbetet och dra större slutsatser skulle prototypen behöva utvecklas mer samt att svarsunderlaget till enkäterna vara större. / Many developers rely on modern development environments with support for language-specific features that facilitate the development process. Newly developed languages often lack this possibility, Meta Attack Language (MAL) is one of these. The purpose of this dissertation is to investigate the importance of an integrated development environment in MAL with regard to the user experience by developing a prototype of an integrated development environment for MAL. The dissertation begins with a literature study in the relevant areas consisting of MAL, development tools and code analysis. Based on the information gathered, it is determined that the prototype is developed as a Visual Studio Code-extension with a language server adhering to the Language Server Protocol (LSP). To measure the user experience of a development environment for MAL, the User Experience Questionnaire (UEQ) is used, which measures the user experience from six perspectives: attractiveness, perspicuity, efficiency, dependability, stimulation and novelty. The measurements take the form of two surveys of the same kind where MAL developers answer questions regarding the user experience of developing in MAL. The first survey examines the user experience without the prototype and the second examines the user experience with the prototype. To investigate whether the difference with and without the prototype is statistically significant, t-tests are performed for each perspective. The dissertation has resulted in a Visual Studio Code-extension that provides intelligent code completion, diagnostics, go to definition and syntax highlighting for MAL. The results of the surveys show an increase in all measured perspectives with a statistically significant improvement in attractiveness, perspicuity and efficiency. In order to develop the work and draw greater conclusions, the prototype would need to be developed more and the response basis to the questionnaires greater.

In our ever evolving society security becomes more and more important as a lot of our lives move online. Performing security analysis of IT-systems is a cumbersome process requiring extensive domain knowledge and tailored analysis per system. Research shows that manual tasks are error prone. In this thesis we have implemented an automation of performing security analysis of integration flows, building on an earlier project between KTH and SAP. To perform the analysis Common Vulnerability and Exposure-records containing information about vulnerabilities are connected to relevant parts of the system utilizing Meta Attack Language. The vulnerabilities are weighted according to their impact and then attack simulations are performed in the program SecuriCAD. Automating the input for the attack simulations removes an earlier manual task. Utilizing coreLang which is an implementation of MAL that is generally applicable means that the automated process can be used to perform analysis on integration flows in general. Domain knowledge is still needed to configure the automated process. More work can be done in the future to continue automating further tasks in the process. More work can also be done on visualizing security analysis to make the results more available to a general audience / I dagens ständigt expanderande värld som snabbt utvecklas blir säkerhet allt viktigare allteftersom mer av våra liv flyttar in på Internet. Att utföra säkerhetsanalyser av IT-system är en omständlig process som kräver extensiv kunskap om domänen och ofta skräddarsydda lösningar per system. Forskning visar att manuella arbetsuppgifter leder till fler fel än automatiserade processer. I det här examensarbetet har vi implementerat automatisering av säkerhetsanalyser baserade på integrationsflöden. Examensarbetet bygger vidare på ett tidigare projekt mellan KTH och SAP. För att utföra analysen används sårbarheter dokumenterade genom Common Vulnerability and Exposure. Dessa sårbarheter kopplas till relevanta delar av systemet genom användning av Meta Attack Language. Sårbarheterna är viktade i relation till deras påverkan och attacksimuleringar utförs sedan i verktyget SecuriCAD. Automatiseringen av indata i denna process eliminerar en tidigare manuell arbetsuppgift. Användandet av coreLang vilket är en generellt applicerbar implementation av MAL betyder att den automatiserade processen kan appliceras på generalistiska integrationsflöden. Kunskap om domänden behövs fortfarande för att konfigurera den automatiserade processen. I framtiden kan processen utvecklas genom att automatisera andra delar i processen av en säkerhetsanalys. Mer jobb kan även göras för att utveckla visualiseringen av analyserna för att tillgängliggöra resultaten för en bredare publik.

Power systems in the industry today are adopting automated substations because of a growing trend of digitization. Substation automation has greatly reduced intervention from human as well as operation and maintenance costs. Although it has brought benefits, new challenges arise regarding security vulnerabilities, which can be opportunities for attackers to damage whole systems and eavesdrop communication. To keep the automated substations secure and free from attackers, threat modeling is one of the alternative methods that can be used to do attack simulation and assess the security of systems. KTH has developed Meta Attack Language, a framework for constructing domain specific languages in which threat models can be produced, based on which attack graphs will be created and attacks can be simulated. It is a framework for developers that eases them to generate attack graphs with new languages. Meta Attack Language has been applied to various of domains by now, such as In-vehicle Network and Amazon Web Services. This thesis is carried out in ABB, extending the previous work of SCLLang and ABB’s existing security assessment tool, and doing threat modeling specifically for substation automation. The final threat model is used to assess the security of products in ABB, which will also serve as a basis for further extension for the company. / Energisystemen i industrin i dag antar automatiserade transformatorstationer på grund av en växande tendens till digitalisering. Automatisering av transformatorstationer har väldigt minskat interventionen från såväl mänskliga som drifts-och underhållskostnader. Även om det har medfört fördelar uppstår nya utmaningar när det gäller säkerhetsmässiga sårbarheter, vilket kan ge möjligheter för angripare att fördärva hela system och tjuvlyssna kommunikation. För att hålla de automatiserade transformatorstationerna säkra och fria från angripare är hotmodell en av de alternativa metoder som kan användas för att utföra attacksimulering och bedöma systemens säkerhet. KTH har utvecklat Meta Attack Language, en ram för att konstruera domänspecifika språk där hotmodeller kan framställas, på grund av vilka attackgraf kommer att skapas och angrepp kan simuleras. Det är en ram för utvecklare som underlättar för dem att skapa attackgraf med nya språk. Meta Attack Language har tillämpats på olika dömäner vid det här laget, såsom fordons-IT och Amazon Web Services. Avhandlingen genomförs hos ABB, som utvidgar SCLLang och ABB:s tidigare arbete med det befintliga säkerhetsbedömningsverktyget, och gör hotmodeller särskilt för automatisering av transformatorstationer. Den sista hotmodellen används för att bedöma säkerheten av produkter hos ABB, som också kommer att tjäna som grund för ytterligare utvidgning av företaget.

Cyber-attacks are an increasing problem for organizations across the world. The attacks on systems are getting more and more sophisticated and thereby more and more difficult to protect against. The security of systems is crucial to protect your data from unauthorized access. One approach for testing the resilience of these systems is the use of threat modelling and attack simulations. The use of threat models also enables you to identify vulnerabilities in your infrastructure. The overall resilience of the system can then be increased by implementing protection against these vulnerabilities which can take many forms. There can be security issues regarding a single component in the infrastructure and more structural issues concerning more than one component in the system. Meta Attack Language (MAL) is a meta language to write threat languages of different systems. In MAL there exits different components called assets, these assets can have defenses. The problem is that structural weaknesses cannot be identified in the current state of the language. This thesis work will provide a solution to identify vulnerable patterns in a threat model and translate these pattern to secure patterns. A prototype has been created that take a threat model as input and outputs a new updated threat model. The prototype will translate the input to a graph database and run a series of predefined queries on the database that will identify and replace vulnerable patterns. A formal logic for finding vulnerable patterns is suggested and an API to change these patterns is implemented. The result shows that by running a model through the prototype, structural vulnerabilities can be identified and mitigated. This could potentially increase the overall resilience of the system. / Attacker på IT system är ett ökande problem för organisationer runt om i världen. Attackerna blir mer och mer sofistikerade och därmed svårare att skydda sig emot. Säkerheten av systemen är väldigt viktigt för att skydda data från obehörig åtkomst. Ett tillvägagångssätt för att testa säkerheten mot attacker är att använda hotmodeller och attack-simuleringar. Resultatet av en sådan simulering kan sedan användas för att göra systemet säkrare genom att implementera skydd mot kända sårbarheter. Dessa sårbarheter kan komma i många olika former. De kan finnas på en enskild komponent i arkitekturen eller så kan de bero på mer strukturella svagheter där flera komponenter berörs. Meta Attack Language (MAL) är ett meta-språk som kan användas för skapa hot-språk. I MAL så finns det olika komponenter som kan ha försvar associerat till sig. Problemet är att i det nuvarande stadiet av MAL så går det inte att identifiera strukturella svagheter där fler än en komponent är en del av problemet. Det här arbetet föreslår en lösning till att identifiera skadliga mönster och översätta dessa mönster till säkra mönster. En prototyp har tagits fram som tar en hotmodell som in-data och returnerar en uppdaterad hotmodell. Prototypen översätter hotmodellen till en grafdatabas och exekverar en serie av sökningar som identifierar och uppdaterar skadliga mönster. En logik för att hitta mönster föreslås och ett API av funktioner för att ändra mönster har utvecklats. Resultaten visar att genom körning av en modell genom prototypen så skulle detta potentiellt kunna öka systemens säkerhet.

Cyber threat modeling and attack simulations arenew methods to assess and analyze the cybersecurity of ITenvironments. The Meta Attack Language (MAL) was createdto formalize the underlying attack logic of such simulationsby providing a framework to create domain specific languages(DSLs). DSLs can be used in conjunction with modeling softwareto simulate cyber attacks. The goal of this project was to examinehow MAL can be integrated in a wider cybersecurity context bydirectly combining attack simulation results with other tools inthe cybersecurity ecosystem. The result was a proof of conceptwhere a small DSL is created for Amazon EC2. Informationis gathered about a certain EC2 instance and used to create amodel and run an attack simulation. The resulting attack pathwas used to perform an offensive measure in Pacu, an AWSexploitation framework. The result was examined to arrive atconclusions about the proof of concept itself and about integratingMAL in the cybersecurity ecosystem in a more general sense. Itwas found that while the project was successful in showing thatintegrating MAL results in such manner is possible, the CADmodeling process is not an optimal route and that other domainsthan the cloud environment could be targeted. / Cyberhotsmodellering och attacksimuleringar är nya metoder för att bedöma och analysera cybersäkerheten i en IT-miljö. Meta Attack Language (MAL) skapades för att formalisera den underliggande attacklogiken för sådana simuleringar genom att tillhandahålla ett ramverk för att skapa domain-specific languages (DSL). En DSL kan användas tillsammans med modelleringsprogramvara för att simulera cyberattacker. Målet med detta projekt var att undersöka hur MAL kan integreras i ett bredare sammanhang genom att direkt kombinera MAL-resultat med andra verktyg inom IT-säkerhet. Resultatet blev ett koncepttest där en mindre DSL skapades för Amazon EC2. Information samlades in om en viss EC2-instans och användes för att skapa en modell och genomföra en attacksimulering. Den resulterande attackvägen användes för att utföra en offensiv åtgärd i Pacu, ett ramverk för AWS-exploatering. Resultatet undersöktes för att nå slutsatser om konceptet i sig och om att integrera MAL i IT-säkerhetens ekosystem i allmänhet. Det visade sig att även om projektet lyckades visa att det är möjligt att integrera MAL-resultat på ett sådant sätt, är CAD-modelleringsprocessen inte en optimal metodik och lämpar sig illa för syftet. Det visade sig också att andra domäner än molnmiljön skulle vara en givande riktning. / Kandidatexjobb i elektroteknik 2022, KTH, Stockholm

Cybersecurity is still one of the main challenges of the digital era for organizations and individuals alike. Threat modeling is an important tool for building systems that are reliable and secure. The research question for this study is to create a domain specific language (DSL) with the Meta Attack Language (MAL), STRIDE and DREAD. One of the main challenges is to choose a DSL that is suitable for threat modeling. The purpose of the study is to provide people with threat modeling with additional tools that can be used in attack simulations. MAL is a meta language used for creating DSL that can be used for attack simulations. An example of a MAL project that usually serves as a template for other DSL is coreLang, which models the general IT infrastructure. STRIDE is a model used in threat modeling to enumerate and categorization of cyberthreats. DREAD is a model used for risk assessment that scores each threat by a value between one and ten. The proposed method for answering the research question is the Design Research Science Method (DRSM), which is often used for creating artifacts. Evaluation of the results is done with tests written in Java using the Junit framework. The result of the study is the creation of strideLang that maps attack steps in coreLang (MAL implementation of the general IT infrastructure DSL) to STRIDE and DREAD models. The primary source of error in the investigation is the risk assessment with DREAD, which can be somewhat inaccurate depending on what specific DSL is used. It would have been valuable if the study incorporated feedback from domain experts specifically with risk assessment. The nature of the STRIDE and DREAD models is that the models are very subjective in practice. However, this study does provide insights in how a DSL can be created based on DREAD and STRIDE. Future work might investigate a different DSL, incorporate tools such as SecuriCAD and compare different threat models. / Cybersäkerhet är fortfarande en av de främsta utmaningarna i den digitala eran för såväl organisationer som individer. Hotmodellering är ett viktigt verktyg för att bygga tillförlitliga och säkra system. Huvudmålet för denna studie är att skapa ett domänspecifikt språk (DSL) med Meta Attack Language (MAL), STRIDE och DREAD. En av de främsta utmaningarna för att nå målet med studien är att hitta ett domänspecifikt språk som är lämpligt för denna typ av hotmodellering. Syftet med studien är att förse personer som arbetar med hotmodellering med ytterligare verktyg för att kunna använda i sina attacksimuleringar. MAL är ett metaspråk som används för att skapa domän-specifika språk och utföra attacksimuleringar. Ett exempel på ett MAL projekt som oftast används som en mall för att skapa nya domänspecifika och modellerar den generella IT infrastrukturen. STRIDE modellen används för att lista och kategorisera digitala hot. DREAD brukar användas tillsammans med STRIDE och används för att risk bedöma digitala hot genom att betygsätta hoten med ett värde mellan ett och tio. Den valda metoden för att lösa forskningsfrågan är Design Research Science Method (DSRM), som används oftast i samband med skapandet av artefakter. Evaluering av resultatet gjordes med tester skrivna i Java med ramverket JUnit. Studien resulterade med skapande av strideLang som mappar attack steg i coreLang till STRIDE och DREAD modellerna. Den främsta felkällan i denna studie är riskbedömningen med DREAD eftersom noggrannheten på riskbedömningen kan variera från specifika domän i IT infrastrukturen. Det hade varit värdefullt om studien integrera domänexperters bedömning i studien främst för DREAD bedömningen. STRIDE och DREAD modellerna är subjektiva vilket betyder att olika experter kan komma till olika slutsatser för samma hot. Däremot så kan studien förse med intressanta insikter om hur ett domän-specifikt språk kan skapas baserat på DREAD och STRIDE modellerna. Framtida studier kan undersöka en mer specifik domän inom IT infrastrukturen, integrera verktyg som SecuriCAD och jämföra olika modeller som används inom hotmodelleringen

ICT systems are part of the vital infrastructure in today’s society. These systems are under constant threat and efforts are continually being put forth by cyber security experts to protect them. By applying modern AI methods, can these efforts both be improved and alleviated of the cost of expert work. This thesis examines whether a reinforcement learning (RL) algorithm can be applied to a cyber security modelling of ICT systems. The research question answered is that of how well an RL algorithm can optimise the resource cost of successful cyber attacks, as represented by a cyber security model? The modelling, called Meta Attack Language (MAL), is a meta language for attack graphs that details the individual steps to be taken in a cyber attack. In the previous work of Manuel Rickli’s thesis, a method of automatically generating attack graphs according to MAL aimed at modelling industry-level computer networks, was presented. The method was used to generate different distributions of attack graphs that were used to train deep Q-learning (DQN) agents. The agents’ results were then compared with a random agent and a greedy method based on the A∗ search algorithm. The results show that attack step selection can be achieved with a higher performance than the uninformed choice of the random agent, by DQN. However, DQN was unable to achieve higher performance than the A∗ method. This may be due to the simplicity of the attack graph generation or the fact that the A∗ method has access to the complete attack graph, amongst other factors. The thesis also raises questions about general representation of MAL attack graphs as RL problems and how to apply RL algorithms to the RL problem. The source code of this thesis is available at: https://github.com/KTH-SSAS/sandor-berglund-thesis. / IT-system är i dagens samhälle en väsentlig del av infrastrukturen som är under konstant hot av olika personer och organisationer. IT-säkerhetsexperter lägger ner beständigt arbete på att hålla dessa system säkra och för att avvärja illvilliga auktioner mot IT-system. Moderna AI-metoder kan användas för att förbättra och lätta på kostnaden av expertarbetet inom området. Detta examensarbete avser att undersöka hur en förstärkningsinlärningsalgoritm kan appliceras på en cybersäkerhetsmodell. Det görs genom att besvara frågeställningen: Hur väl kan en förstärkningsinlärningsalgoritm optimera en cyberattack representerat av en cybersäkerhetsmodell? Meta Attack Language (MAL) är ett metaspråk för attackgrafer som beskriver varje steg i en cyberattack. I detta examensarbete användes Manuell Ricklis implementation av MAL samt attack grafs generation för att definiera ett förstärkningsinlärningsproblem. Förstärkningsinlärningsalgoritmen deep Q-learning (DQN) användes för att träna ett attention baserat neuronnät på olika fördelningar av attackgrafer och jämfördes med en slumpmässig agent och en girig metod baserad på sökalgoritmen A∗ . Resultaten visar att DQN kunde producera en agent som presterar bättre än den oinformerade slumpmässiga agenten. Agenten presterade däremot inte bättre än den giriga A∗ metoden, vilket kan bero på att A∗ har tillgång till den fulla attack grafen, bland andra bidragande faktorer. Arbetet som läggs fram här väcker frågor om hur MAL-attackgrafer representeras som förstärkningsinlärningsproblem och hur förstärkningsinlärningsalgoritmer appliceras där av. Källkoden till det här examensarbetet finns på: https://github.com/KTHSSAS/sandor-berglund-thesis.

As the number of digital systems grows yearly, thereis a need for good cyber security. Lack of such security can beattributed to the demand on resources or even knowledge. To fillthis gap, tools such as enterpriseLang can be used by the enduserto find flaws within his system, which he can revise. Thisallows a user with inadequate knowledge of cyber security tocreate safer IT architecture. The authors of this paper took partin the development of enterpriseLang and its improvement. Thiswas done by suggesting improvements based on certain designguidelines, as well as attempting to achieve 100% attack coverageand improving the defense coverage.The results show a coverage increase of 0.6% for a specificmodel’s attack steps. Further more, we find that nearly 84.6%of the compiled guidelines are met, followed by 7.7% that werenot fully met and a similar amount that were non-applicable toenterpriseLang. As the language is still in development, thereremains much work that can improve it. A few suggestionswould be to increase the attack coverage by 100%, increasingthe defense coverage and improving enterpriseLang to fulfill thedesign guidelines, which would ultimately ease future projectswithin this domain. / Då antalet digitala system ständigt ökar göräven behovet för cybersäkerhet. Avsaknad av sådan säkerhet kanåläggas avsaknaden av kunskap och resurser. För att fylla dettagap utvecklas ständigt nya medel. Ett sådant är enterpriseLangsom kan användas av en utvecklare för att hitta säkerhetsbristeri sitt system. Detta tillåter en utvecklare med låg kunskap inomcybersäkerhet att utveckla säkrare system, applikationer och produkter.Skribenterna av denna avhandling tog del i utvecklingenoch förbättringen av enterpriseLang. Detta gjordes genom attföreslå förbättringar baserade på särskilda designriktlinjer ochett försök att uppnå 100 % täckning av attack-steg.Resultaten visar på en ökning av 0.6% anfallstäckning för enspecifik modell. Vidare visar de att 84.6 % av riktlinjerna äruppfyllda, 7.7% var inte uppfyllda och 7.7% var inte relevantaför enterpriseLang. Då språket ännu är i utvecklingsstadietfinns ännu mycket arbete kvar att göra. Några förslag är attöka anfallstäckningen till 100%, öka försvarstäckningen samtförbättra språket så den når upp till alla designriktlinjer. / Kandidatexjobb i elektroteknik 2021, KTH, Stockholm