[論文レビュー] Cyber Deception for Computer and Network Security: Survey and Challenges

Zhuo Lu, Cliff Wang+1 more|arXiv (Cornell University)|Jul 28, 2020

Network Security and Intrusion Detection参考文献 41被引用数 13

ひとこと要約

本稿は、サイバー詐欺を能動的サイバーセキュリティ防御メカニズムとして包括的かつ分析的に提示し、ゲーム理論的モデリング、ネットワークレベルの詐欺、ホストシステム内での詐欺、暗号に基づくアプローチの4つのカテゴリーに分類して説明している。可視性、制御可能性、使いやすさ、移動ターゲット防御（MTD）との統合に関する主な課題を特定し、詐欺ベースのセキュリティの科学的基盤を確立するための学際的研究を提唱している。

ABSTRACT

Cyber deception has recently received increasing attentions as a promising mechanism for proactive cyber defense. Cyber deception strategies aim at injecting intentionally falsified information to sabotage the early stage of attack reconnaissance and planning in order to render the final attack action harmless or ineffective. Motivated by recent advances in cyber deception research, we in this paper provide a formal view of cyber deception, and review high-level deception schemes and actions. We also summarize and classify recent research results of cyber defense techniques built upon the concept of cyber deception, including game-theoretic modeling at the strategic level, network-level deception, in-host-system deception and cryptography based deception. Finally, we lay out and discuss in detail the research challenges towards developing full-fledged cyber deception frameworks and mechanisms.

研究の動機と目的

• 先進的なサイバー攻撃に対して能動的防御メカニズムとしてのサイバー詐欺を理解するための形式的フレームワークを提供すること。
• 戦略的、ネットワーク的、ホストレベル、暗号的アプローチの複数の分野における、詐欺ベースのサイバーセキュリティ技術の最近の進展を分類・要約すること。
• 可視性、制御可能性、使いやすさ、および移動ターゲット防御（MTD）との統合に関する主な研究課題を特定・分析すること。
• 制御理論、認知科学、セキュリティを統合する学際的研究を提唱し、サイバー詐欺の科学的基盤を構築すること。
• オープンな問題と今後の研究方向性を提示することで、強固でスケーラブルかつ使いやすい詐欺フレームワークの開発を後押しすること。

提案手法

• 1ラウンドの詐欺モデルを提案し、3段階のフェーズに分ける：詐欺計画（詐欺の目的と偏りのある情報の設計）、詐欺実装（ファイル、デバイス、ネットワークトラフィックなどの偽物のアーティファクトの展開）、詐欺分析（攻撃者の行動を監視し、有効性を測定）。
• 詐欺技術を4つのカテゴリーに分類：戦略的意思決定のためのゲーム理論的モデリング、偽のルーティングとトラフィックを用いたネットワークレベルの詐欺、偽のシステムファイルやサービスを介したホストシステム内での詐欺、オブスクリューションと偽の鍵を用いた暗号に基づく詐欺。
• 詐欺における「可視性」の概念を導入し、防御者が攻撃者の行動を認識・測定できる能力として定義。また、「制御可能性」は攻撃者を誤った認知モデルへ誘導できる能力として定義。
• 詐欺の有効性は検出・遮断の観点だけでなく、使いやすさの影響についても評価すべきであり、正当なユーザーへの影響を最小限に抑える必要がある。
• システムの複雑さと誤導を同時に高めるために、サイバー詐欺を移動ターゲット防御（MTD）と組み合わせることを提言。
• 制御理論と認知科学に基づいた形式的指標を導入し、詐欺の可視性と制御可能性を定量的に測定可能にすることで、詐欺スキームの体系的評価を可能にする。

実験結果

リサーチクエスチョン

• RQ1 攻撃者と防御者が複数のフェーズにわたり相互に作用する戦略的プロセスとして、サイバー詐欺を形式的にモデリングする方法は何か？
• RQ2 詐欺ベースのサイバーセキュリティの主な技術的カテゴリーと代表的な技術は何か。それぞれの実装方法と有効性にはどのような相違があるか？
• RQ3 制御理論の原則を用いて、サイバー詐欺における可視性と制御可能性を形式的に定義・測定する方法は何か？
• RQ4 詐欺の展開における使いやすさのトレードオフとは何か。また、正当なユーザーへの混乱や障害を最小限に抑えるために、どのように詐欺を設計すべきか？
• RQ5 サイバー詐欺を効果的に移動ターゲット防御（MTD）と統合することで、サイバー kill chain 全体にわたる保護を最大化する方法は何か？

主な発見

• サイバー詐欺は、レコネッサンス段階や計画段階で攻撃者を妨害できるため、先進的なサイバー攻撃に対する有望な能動的防御メカニズムである。
• 詐欺技術は、ゲーム理論的モデリング、ネットワークレベルの詐欺、ホストシステム内での詐欺、暗号に基づく詐欺の4つに大別され、それぞれが異なる攻撃表面をカバーしている。
• 可視性と制御可能性は詐欺の有効性において重要な指標であるが、現在の研究では形式的定義や定量的測定法が不足している。
• 使いやすさは主要な懸念事項である：詐欺は正当なユーザーを混乱させたり、障害を引き起こさないよう慎重に設計される必要があるが、詐欺スキームにおける使いやすさへの影響を測る標準化された指標は存在しない。
• 詐欺と移動ターゲット防御（MTD）を統合することで、システムの複雑さと誤導を高め、セキュリティを強化でき、最近の研究ではネットワークフロー推定の妨害に成功している。
• コンピュータセキュリティ、制御理論、認知科学を横断する学際的研究が著しく必要であり、これにより詐欺モデルの形式化とスケーラブルで効果的な詐欺フレームワークの構築が可能になる。