[論文レビュー] Dynamic Information Flow Tracking for Detection of Advanced Persistent Threats: A Stochastic Game Approach

Shana Moothedath, Dinuka Sahabandu+5 more|arXiv (Cornell University)|Jun 22, 2020

Network Security and Intrusion Detection参考文献 27被引用数 7

ひとこと要約

本稿では、Advanced Persistent Threat（APT）検出におけるDynamic Information Flow Tracking（DIFT）を最適化するための確率的ゲーム理論フレームワークを提案する。攻撃者と防御者の戦略的対立を、非ゼロ和、ターンベース、確率的ゲームとして、非対称情報のもとでモデル化する。主な貢献は、ナッシュ均衡が導出されたフローネットワークにおける最小容量カットセットに一致することを証明し、誤検出および誤検出を考慮した上で、検出効果と分析コストのバランスをとったリソース効率の良い検出を可能にすることである。

ABSTRACT

Advanced Persistent Threats (APTs) are stealthy customized attacks by intelligent adversaries. This paper deals with the detection of APTs that infiltrate cyber systems and compromise specifically targeted data and/or infrastructures. Dynamic information flow tracking is an information trace-based detection mechanism against APTs that taints suspicious information flows in the system and generates security analysis for unauthorized use of tainted data. In this paper, we develop an analytical model for resource-efficient detection of APTs using an information flow tracking game. The game is a nonzero-sum, turn-based, stochastic game with asymmetric information as the defender cannot distinguish whether an incoming flow is malicious or benign and hence has only partial state observation. We analyze equilibrium of the game and prove that a Nash equilibrium is given by a solution to the minimum capacity cut set problem on a flow-network derived from the system, where the edge capacities are obtained from the cost of performing security analysis. Finally, we implement our algorithm on the real-world dataset for a data exfiltration attack augmented with false-negative and false-positive rates and compute an optimal defender strategy.

研究の動機と目的

• 従来の署名ベースの防御で検出されにくい、巧妙で長期にわたるAPTを検出する課題に対処すること。
• APTとDIFTの戦略的対立を、非対称情報と不完全な検出（誤検出／誤検出）を伴う確率的ゲームとしてモデル化すること。
• セキュリティ分析のコストを最小限に抑えつつ、検出確率を最大化するリソース効率の良い検出戦略を開発すること。
• 検出精度とシステムリソースのオーバーヘッドのトレードオフを考慮したゲーム理論的均衡解を提供すること。
• RAINシステムのリアルワールドデータを用いて、データ漏洩攻撃に対して本手法を検証すること。

提案手法

• 非ゼロ和、ターンベース、非対称情報付きの確率的ゲームとして、防御者と攻撃者の相互作用を形式化すること。
• 防御者の分析位置選択と攻撃者のパス選択を、フローネットワーク内の状態遷移としてモデル化すること。
• 検出コスト、成功検出の報酬、誤検出および誤検出のペナルティを組み込んだ報酬関数を定義すること。
• ナッシュ均衡が、システムの情報フローダイアグラムから導出されたフローネットワークにおける最小容量カットセット問題の解に一致することを証明すること。
• 各ノードにおけるセキュリティ分析のコストに基づいて、フローネットワークのエッジ容量を割り当てること。
• RAINフレームワークのリアルワールドシステムログを用いてアルゴリズムを実装し、最適な防御者戦略を計算すること。

実験結果

リサーチクエスチョン

• RQ1 ゲーム理論的モデルは、非対称情報のもとで、DIFTを用いる防御者とAPT攻撃者との戦略的対立をどのように捉えることができるか？
• RQ2 誤検出および誤検出が存在する中で、検出効果とリソースコストの最適なバランスをとる防御者の均衡戦略は何か？
• RQ3 分析コストが変化する条件下で、提案された確率的ゲームモデルは、ヒューリスティックベースのDIFT戦略と比べて、報酬面でどのように異なるか？
• RQ4 最小容量カットセット問題を用いることで、DIFTに基づくAPT検出システムにおける最適な防御者戦略を計算できるか？
• RQ5 セキュリティ分析のコストが変化するに従い、防御者の戦略はどのように変化するのか？どのようなトレードオフが生じるか？

主な発見

• 確率的ゲームのナッシュ均衡は、システムの情報フローダイアグラムから導出されたフローネットワークにおける最小容量カットセット問題の解に等しい。
• 高コストパラメータ下では、ゲーム理論的手法がヒューリスティックルールベースのDIFTを上回る性能を示す。特に、高コストで高トラフィックのノードが関与する状況で顕著である。
• 低コストパラメータでは、ヒューリスティック手法が広範な分析カバレッジにより優れるが、コストが上昇するに従い性能が急激に低下する。
• 最適な防御者戦略は、高検出価値かつ低リソースコストのノード（例：ケーススタディにおけるノード2）を選択する。高トラフィックノード（例：ノード16）は過大なコストを要するため、好ましくない。
• 本モデルは、誤検出率および誤検出率を報酬関数に組み込み、検出精度とリソース効率の間の原則的で整合性のあるトレードオフを可能にした。
• リアルワールドデータを用いた実証的評価により、ゲーム理論的解法は、ヒューリスティック手法と比較して、広範なコストパラメータ範囲において高い報酬（コスト当たりの効果）を維持していることが示された。