[論文レビュー] Deception by Design: Evidence-Based Signaling Games for Network Defense

Jeffrey Pawlick, Quanyan Zhu|arXiv (Cornell University)|Mar 16, 2015

Game Theory and Applications被引用数 43

ひとこと要約

本稿は、ハニーポットを用いた詐欺的防御のためのゲーム理論的モデルを提案する。このモデルでは、ハニーポット検出の戦略的影響を確率的チャンス手として組み込む。検出能力が、逆説的に詐欺的防御者の利得を増加させることを示し、戦略的対話における反詐欺対策に関する従来の仮定に疑問を呈する。

ABSTRACT

Deception plays a critical role in the financial industry, online markets, national defense, and countless other areas. Understanding and harnessing deception - especially in cyberspace - is both crucial and difficult. Recent work in this area has used game theory to study the roles of incentives and rational behavior. Building upon this work, we employ a game-theoretic model for the purpose of mechanism design. Specifically, we study a defensive use of deception: implementation of honeypots for network defense. How does the design problem change when an adversary develops the ability to detect honeypots? We analyze two models: cheap-talk games and an augmented version of those games that we call cheap-talk games with evidence, in which the receiver can detect deception with some probability. Our first contribution is this new model for deceptive interactions. We show that the model includes traditional signaling games and complete information games as special cases. We also demonstrate numerically that deception detection sometimes eliminate pure-strategy equilibria. Finally, we present the surprising result that the utility of a deceptive defender can sometimes increase when an adversary develops the ability to detect deception. These results apply concretely to network defense. They are also general enough for the large and critical body of strategic interactions that involve deception.

研究の動機と目的

• ハニーポットの展開に特に注目して、ゲーム理論を用いてネットワーク防御における戦略的詐欺をモデル化すること。
• ハニーポット検出技術の登場が、詐欺的対話における均衡結果にどのように影響を与えるかを分析すること。
• 戦略的でインcentive駆動の枠組みにおいて、詐欺と検出の動的相互作用を捉えるメカニズムを設計すること。
• 詐欺的検出が、防御者の利得を低下させるのではなく、むしろ向上させることがあるかどうか、その条件を調査すること。

提案手法

• 送信者のメッセージの後、確率的チャンス手としての検出をモデル化する証拠を備えたシグナルゲームを形式化する。
• 受信者が一定確率で詐欺を検出できる証拠を組み込むことで、従来の安価な会話ゲームを拡張する。
• 検出確率が変化する状況下での均衡結果を分析し、極端なケース（自明な検出または全能的検出）を含む。
• 検出が完全でもなく欠落してもない場合の均衡行動を評価するために、数値シミュレーションを用いる。
• ハニーポット防御に関する先行研究の利得関数を適応し、検出コストと戦略的インcentiveを統合する。
• メカニズム設計の原則を適用して、検出能力といった環境要因が戦略的結果に与える影響をモデル化する。

実験結果

リサーチクエスチョン

• RQ1 ハニーポットを含むシグナルゲームにおいて、詐欺的検出の導入が均衡戦略にどのように影響を与えるか。
• RQ2 証拠に基づく検出を伴うシグナルゲームにおいて、純粋戦略均衡が存在する条件は何か。
• RQ3 敵対者が詐欺の検出能力を獲得した場合、詐欺的防御者がより高い利得を達成できるか。
• RQ4 極端な検出条件下で、均衡結果がどのように従来のシグナルゲームや完全情報ゲームに退化するか。
• RQ5 このモデルが、ネットワーク防御におけるハニーポットの戦略的展開に与えるインプリケーションは何か。

主な発見

• 検出が自明または全能的である場合、本モデルは従来のシグナルゲームおよび完全情報ゲームを特別なケースとして一般化する。
• 数値結果から、システムタイプの分布が中間領域にある場合には純粋戦略均衡が存在しないが、分布が極端に近い場合には存在することが示された。
• 驚くべきことに、受信者が詐欺を検出できる能力が、詐欺的防御者の利得を増加させることがある。これは、検出が常に詐欺の成功を低下させるという直感とは対照的である。
• 本モデルは、検出の存在に伴い送信者と受信者が戦略的に適応する様子を捉えており、検出が常に抑止力であるとは限らないことが示された。むしろ均衡においては利用可能である可能性がある。
• 本フレームワークはネットワーク防御にとどまらず、境界管理、広告、国際交渉など、詐欺が戦略的役割を果たす分野へ一般化可能である。
• 自然の手としての内生的検出結果を組み込むことで、サイバー・システムにおける詐欺と反詐欺のより現実的で動的な表現が可能になった。