[論文レビュー] An Argumentation-Based Framework to Address the Attribution Problem in Cyber-Warfare

Paulo Shakarian, Gerardo I. Simari+3 more|arXiv (Cornell University)|Apr 27, 2014

Logic, Reasoning, and Knowledge参考文献 17被引用数 9

ひとこと要約

本論文は、不確実性下での技術的証拠および諜報情報の系統的統合を可能にする、確率的推論と論理プログラミングを統合した議論ベースのフレームワークであるInCAを提案する。証拠が矛盾したり、意図的に誤魔化されても、自動的かつ説明可能な帰属づけを実現し、軍事的・セキュリティアナリストが形式的で追跡可能な推論プロセスを用いることを可能にする。

ABSTRACT

Attributing a cyber-operation through the use of multiple pieces of technical evidence (i.e., malware reverse-engineering and source tracking) and conventional intelligence sources (i.e., human or signals intelligence) is a difficult problem not only due to the effort required to obtain evidence, but the ease with which an adversary can plant false evidence. In this paper, we introduce a formal reasoning system called the InCA (Intelligent Cyber Attribution) framework that is designed to aid an analyst in the attribution of a cyber-operation even when the available information is conflicting and/or uncertain. Our approach combines argumentation-based reasoning, logic programming, and probabilistic models to not only attribute an operation but also explain to the analyst why the system reaches its conclusions.

研究の動機と目的

• 証拠がしばしば矛盾したり不確実性を伴ったり、意図的に誤魔化されている軍事的文脈におけるサイバー作戦の帰属づけという複雑な課題に取り組むこと。
• マルウェアフォレンジック、ソース追跡、および伝統的諜報（HUMINT/SIGINT）を含む、多様な証拠タイプを組み合わせるのを支援する形式的推論システムを開発すること。
• 議論と確率的モデリングを用いて、結論の根拠を追跡可能に提供することにより、説明可能な帰属づけを実現すること。
• サイバー戦争シナリオにおける、当事者間の関係、マルウェア、作戦の関係、および対立仮説、すなわち偽旗作戦や欺瞞戦術を扱う推論を可能にすること。
• 非国家主体、国家支援攻撃、および連携されたサイバー・キャンペーンをモデル化できるスケーラブルで拡張可能なフレームワークを構築すること。

提案手法

• フレームワークは2つのコアモデルを用いる：環境モデル（EM）は、技術的証拠や諜報報告書などの確率的背景知識をエンコードし、分析モデル（AM）は帰属づけのための対立仮説を表す。
• 議論ベースの推論を用いて、矛盾するか、反駁可能な証拠を処理し、一貫性と特異性に基づいて、説明の優先順位を評価可能にする。
• 反駁可能な論理プログラミング（DLP）を拡張し、確率的情報を統合することで、論理的一致性を保ちつつ不確実性下での推論を可能にする。
• システムはAMの文にEMから得られる条件を付加することで、結論が検証可能な証拠に基づき、出典データにまで遡れるように保証する。
• 偽旗や改ざんされたシステムといった欺瞞のモデル化を可能にするために、議論構造内で評価され、反駁可能な反論を導入する。
• 説明は、証拠の根拠にまで遡る議論の線をたどることで生成され、アナリストが推論プロセスを監査および検証できる。

実験結果

リサーチクエスチョン

• RQ1 形式的推論システムは、技術的フォレンジックと伝統的諜報ソースからの異種的で不確実的かつ矛盾する証拠を、どのように統合してサイバー帰属づけに活用できるか？
• RQ2 議論理論と確率的推論をどのように統合し、サイバー帰属づけにおいて反駁可能な、説明可能な結論を支持できるか？
• RQ3 偽旗や改ざんされたインフラストラクチャといった欺瞞を、形式的かつ追跡可能な方法でモデル化・推論できるか？
• RQ4 フレームワークは、非国家主体と国家間の協力関係といった複雑な関係を、サイバー作戦においてどのようにモデル化できるか？
• RQ5 システムは、アナリストの信頼と意思決定を支援するために、監査可能で人間が読みやすい形式で帰属づけ意思決定の説明を提供できるか？

主な発見

• InCAフレームワークは、確率的証拠、論理プログラミング、議論を統合し、不確実性下での自動的かつ説明可能なサイバー帰属づけを実現した。
• 一般化された特異性の原則を用いて、説明の優先順位を評価することで、Stuxnetのような事例で実際に発生する曖昧性を解消するための、矛盾する証拠の推論を可能にした。
• 議論フレームワーク内に反論を導入・評価することで、マルウェアに仕掛けられた偽の手がかりといった欺瞞シナリオをモデル化できる。
• InCAは、国家と非国家主体の協力関係、複数の攻撃やマルウェアファミリーを含むキャンペーンを含む、複雑なサイバー戦争シナリオのモデル化を支援する。
• 証拠の出典にまで遡れる議論の線をたどることで、説明の追跡可能性を提供し、自動意思決定における透明性と信頼性を高めた。
• このアプローチは拡張可能であり、リアルタイムの帰属づけ、自動モデル学習、証拠推薦といった将来的な拡張も可能である。