[論文レビュー] A Game-Theoretic Taxonomy and Survey of Defensive Deception for Cybersecurity and Privacy

Jeffrey Pawlick, E. J. M. Colbert+1 more|arXiv (Cornell University)|Dec 14, 2017

Information and Cyber Security参考文献 68被引用数 26

ひとこと要約

本稿は、情報構造、参加者、行動、期間の観点から、6つの防御的だましのタイプ—摂動、移動的対象防御、ごまかし、ミキシング、ハニーピアックス、攻撃者との対話—をゲーム理論に基づいて分類する枠組みを提案する。2008年から2018年までの24件のゲーム理論的研究を統合し、サイバーセキュリティおよびプライバシー分野における防御的だましの体系的整理を図り、今後の研究に向けた構造的フレームワークとモデルメニューを提供する。

ABSTRACT

Cyberattacks on both databases and critical infrastructure have threatened public and private sectors. Ubiquitous tracking and wearable computing have infringed upon privacy. Advocates and engineers have recently proposed using defensive deception as a means to leverage the information asymmetry typically enjoyed by attackers as a tool for defenders. The term deception, however, has been employed broadly and with a variety of meanings. In this paper, we survey 24 articles from 2008-2018 that use game theory to model defensive deception for cybersecurity and privacy. Then we propose a taxonomy that defines six types of deception: perturbation, moving target defense, obfuscation, mixing, honey-x, and attacker engagement. These types are delineated by their information structures, agents, actions, and duration: precisely concepts captured by game theory. Our aims are to rigorously define types of defensive deception, to capture a snapshot of the state of the literature, to provide a menu of models which can be used for applied research, and to identify promising areas for future work. Our taxonomy provides a systematic foundation for understanding different types of defensive deception commonly encountered in cybersecurity and privacy.

研究の動機と目的

• 防御的だましの分野において、用語の使用が一貫していなかったり、体系的かつ厳密な分類が不足しているという問題に対処すること。
• 2008年から2018年までの防御的だましに関する24件のゲーム理論的研究を分析し、文献の現状を把握すること。
• 情報構造、参加者、行動、期間といったゲーム理論的概念に基づいた分類枠組みを構築し、だまし戦略の明確なモデル化を可能にすること。
• 防御的だまし分野における応用研究に再利用可能なゲーム理論的モデルのメニューを提供すること。
• 特にプライバシー保護システムや重要なインfra構造物の保護分野において、有望な今後の研究方向性を同定すること。

提案手法

• 著者らは、2008年から2018年までの間、サイバーセキュリティおよびプライバシー分野における防御的だましにゲーム理論を適用した24件の査読済み論文を包括的に調査した。
• ゲーム理論の基本的要素に基づき、6つのカテゴリーに分類された分類枠組みを構築した。そのカテゴリーは、摂動、移動的対象防御、ごまかし、ミキシング、ハニーピアックス、攻撃者との対話である。
• 各だましタイプは、情報構造（例：完全情報対不完全情報）、関与する参加者（防御者、攻撃者、第三者）、行動（例：確率的選択、設定変更）、期間（一回限り対動的ゲーム）によって定義される。
• 各論文に対して詳細な分類根拠を提示することで、分類枠組みを検証した。内在的（データ／設定の変更）および外在的（トラフィックの隠蔽、複数参加者の交換）の両方のだましメカニズムを区別した。
• ゲーム理論的モデリングを用いて、防御者が情報非対称性を活用して攻撃者をだます戦略的相互作用として、だましを形式化した。
• 暗黙の（真の状態を隠す）だましと模倣的（正常性を偽装する）だましの両方を含み、攻撃者との対話やハニーポット展開に適した動的および静的ゲームモデルを用いた。

実験結果

リサーチクエスチョン

• RQ1 サイバーセキュリティおよびプライバシー分野における防御的だましを、ゲーム理論的原則に基づいて体系的に分類する方法は何か？
• RQ2 情報構造、参加者役割、行動、時間的ダイナミクスという観点から、異なるだましタイプの特徴は何か？
• RQ3 ゲーム理論的モデルは、防御者と攻撃者の戦略的相互作用を、だましの状況においてどのように表現するか？
• RQ4 実装およびゲーム構造の観点から、暗黙のだまし（真の状態を隠す）と模倣的だまし（正常性を偽装する）の主な違いは何か？
• RQ5 どの防御的だまし手法がゲーム理論的モデリングに最も適しており、その戦略的利点は何か？

主な発見

• 著者らは、摂動、移動的対象防御、ごまかし、ミキシング、ハニーピアックス、攻撃者との対話という6つの明確に異なる防御的だましタイプを同定した。それぞれが独自のゲーム理論的特性を有する。
• 摂動とごまかしは、防御者がデータや設定を直接変更する場合には内在的と分類されるが、信号をぼかすためにノイズを追加する場合には情報的と分類される。
• ミキシングとハニーピアックスのだましは、外在的メカニズムに依存する。ミキシングネットワークはダミーのトラフィックを用い、ハニーポットは実システムを模倣することで攻撃者をだます。
• 分類枠組みは、静的（一回限り）と動的（複数期間、無限期間）ゲームの区別を明確にしている。動的モデルは、進化する攻撃者の行動をよりよく捉えられる。
• ハニーポットを用いただまし（ハニーピアックス）は、攻撃者がシステムを本物だと信じ込ませる場合に最も効果的であり、これは動的ゲームにおける信念操作によってモデル化される。
• 本研究では、調査された24件の論文のうち14件が暗黙のだまし（例：データ、位置、脆弱性の隠蔽）に焦点を当てており、残りの10件が模倣的だまし（例：ハニーポット、ミキシングネットワーク）に焦点を当てていることから、研究のバイアスが隠蔽よりシミュレーションに寄っていることが明らかになった。