[論文レビュー] Duplicity Games for Deception Design with an Application to Insider Threat Mitigation

Linan Huang, Quanyan Zhu|arXiv (Cornell University)|Jun 14, 2020

Network Security and Intrusion Detection参考文献 46被引用数 36

ひとこと要約

本稿は、内部者脅威を緩和するための能動的サイバー詐欺メカニズムを設計するためのゲーム理論的枠組み「Duplicity Games (DG)」を提案する。GMMメカニズム（生成器、インcentive調整器、信頼操作器を含む）を提案し、情報、インcentive、信念の操作を通じてユーザー行動を戦略的に影響させる。主な貢献は、本物のハニーポット割合を偽装しても、最適な生成器設計と偽装された信頼操作を組み合わせた場合、防御側の平均報酬が59.3%向上することである。

ABSTRACT

Recent incidents such as the Colonial Pipeline ransomware attack and the SolarWinds hack have shown that traditional defense techniques are becoming insufficient to deter adversaries of growing sophistication. Proactive and deceptive defenses are an emerging class of methods to defend against zero-day and advanced attacks. This work develops a new game-theoretic framework called the duplicity game to design deception mechanisms that consist of a generator, an incentive modulator, and a trust manipulator, referred to as the GMM mechanism. We formulate a mathematical programming problem to compute the optimal GMM mechanism, quantify the upper limit of enforceable security policies, and characterize conditions on user's identifiability and manageability for cyber attribution and user management. We develop a separation principle that decouples the design of the modulator from the GMM mechanism and an equivalence principle that turns the joint design of the generator and the manipulator into the single design of the manipulator. A case study of dynamic honeypot configurations is presented to mitigate insider threats. The numerical experiments corroborate the results that the optimal GMM mechanism can elicit desirable actions from both selfish and adversarial insiders and consequently improve the security posture of the insider network. In particular, a proper modulator can reduce the extcolor{black}{incentive misalignment} between the players and achieve win-win situations for the selfish insider and the defender. Meanwhile, we observe that the defender always benefits from faking the percentage of honeypots when the optimal generator is presented.

研究の動機と目的

• 高度に洗練された内部者脅威および先進持続的脅威に対する従来の防御の不十分さに対処すること。
• 企業ネットワーク内の自己中心的かつ敵対的な内部者を戦略的に影響する能動的詐欺メカニズムを設計すること。
• 非対称情報と戦略的インcentiveを用いて、防御側、通常ユーザー、攻撃者との間の相互作用を形式化すること。
• ユーザーのタイプを事前に知らない状況でも、望ましいセキュリティ行動を引き出すメカニズムを開発すること。
• 強制可能なセキュリティポリシーの上限を定量化し、ユーザーの識別可能性および管理可能性の条件を特徴づけること。

提案手法

• 非対称情報を持つ二段階ゲームを定式化：防御側が最初にGMMメカニズムを設計し、その後ユーザーが更新された信念に基づいて反応する。
• GMMメカニズムを三つの組み合わせ可能なコンポONENTにモデル化：生成器（確率的ポリシー信号）、調整器（インcentiveによる効用移転）、操作器（偽の信頼信号による信念の歪み）。
• インcentive-compatible（IC）およびモードレーション可能（MF）制約の下で、数学的プログラミングを用いてGMMメカニズムを最適化する。
• ユーザーの事後効用を区分的線形凸（PWLC）関数として表現するためのconcavification技術を適用し、計算効率とポリシー実行を可能にする。
• 調整器の設計をGMMメカニズムから独立させることを可能にする分離原理を確立する。
• 生成器と操作器の共同設計が、単一の操作器の設計に還元されることを示す等価性原理を導出する。

実験結果

リサーチクエスチョン

• RQ1 防御側は、ユーザーのタイプについて不完全な情報を持つ状況でも、自己中心的および敵対的な内部者から望ましい行動を引き出す詐欺メカニズムをどのように設計できるか？
• RQ2 防御側報酬を最大化し、検出可能な不正行動を最小化する動的ハニーポットシステムの最適な構成は何か？
• RQ3 インcentiveの一致を図ることで、自己中心的内部者とウィンウィンの結果を達成できる条件は何か？
• RQ4 偽のハニーポット割合（例：ハニーポットの割合を偽装）による誤った信念操作が、最適な生成器設計と組み合わせられた場合、防御側報酬にどのように影響するか？
• RQ5 詐欺ベースの防御において、強制可能なセキュリティポリシーおよびユーザー管理可能性の理論的限界は何か？

主な発見

• 最適なGMMメカニズムは、生成器のみを用いる場合、ベースラインの非詐欺状況と比較して防御側の平均報酬を35.6%向上させる。
• 偽の信頼操作（ハニーポット割合の偽装）と組み合わせた場合、防御側の報酬はベースライン比で平均59.3%向上する。
• 最適な生成器が展開されている場合、ハニーポット割合を偽装することは常に防御側に利益をもたらし、真の値と認識される値の乖離が大きいほど報酬の増加が顕著になる。
• 分離原理により、調整器をGMMメカニズムから独立して設計可能となり、メカニズム設計プロセスが簡素化される。
• 等価性原理により、生成器と操作器の共同設計が、単一の操作器の設計に還元され、大幅に複雑さが低減される。
• 最大信頼マージンがゼロである場合、ユーザーは管理不能となる。これは、いかなるメカニズムでもそのユーザーの行動を変えることができないことを意味する。