[論文レビュー] Game-Theoretic Modeling of Stealthy Intrusion Defense against MDP-Based Attackers

Willie Kouam, Stefan Rass|arXiv (Cornell University)|Mar 10, 2026

Network Security and Intrusion Detection被引用数 0

ひとこと要約

本論文は Cut-The-Rope フレームワークを拡張し、 defender 展開の下で attacker の進行を MDP としてモデル化し、3 つの attacker 情報 regime（Stackelberg、確率的信念、盲目）を分析して最適な防御戦略を導出する。

ABSTRACT

The rapid expansion of Internet use has increased system exposure to cyber threats, with advanced persistent threats (APTs) being especially challenging due to their stealth, prolonged duration, and multi-stage attacks targeting high-value assets. In this study, we model APT evolution as a strategic interaction between an attacker and a defender on an attack graph. With limited information about the attacker's position and progress, the defender acts at random intervals by deploying intrusion detection sensors across the network. Once a compromise is detected, affected components are immediately secured through measures such as backdoor removal, patching, or system reconfiguration. Meanwhile, the attacker begins with reconnaissance and then proceeds through the network, exploiting vulnerabilities and installing backdoors to maintain persistent access and adaptive movement. Furthermore, the attacker may take several steps between consecutive defensive operations, resulting in an asymmetric temporal dynamic. The defender's goal is to reduce the likelihood that the attacker will gain access to a critical asset, whereas the attacker's purpose is to increase this likelihood. We investigate this interaction under three informational regimes, reflecting varying levels of attacker knowledge prior to action: (i) a Stackelberg scenario, in which the attacker has full knowledge of the defender's strategy and can optimize accordingly; (ii) a blind regime, where the attacker has no information and assumes uniform beliefs about defensive deployments; and (iii) a belief-based framework, where the attacker holds accurate probabilistic beliefs about the defender's actions. For each regime, we derive optimal defensive strategies by solving the corresponding optimization problems.

研究の動機と目的

• 複数段階で進行する stealthy な APT に対する積極的防御を動機づける。
• defender 展開に影響を受ける状態依存のルーティング決定を持つ MDP として attacker の進化をモデル化する。
• attacker の成功確率を最小化する defender 戦略を導出するため、3 種類の attacker 情報 regime を調査する。
• リソース制約の下で defender–attacker 最適化を解く計算的アプローチを提供する。

提案手法

• 攻撃グラフ上の二人対戦ゼロ和ゲームとして相互作用をモデリングする。
• compromised ノードでの attacker の意思決定をMDP によって支配されるようにして CTR フレームワークを拡張する。
• 3 つの情報 regime を定義する：Stackelberg（完全情報）、確率推定、盲目（偵察妨害）。
• defender の戦略を資源制約の下で A1 = V \ F の純粋な h-要素展開として定式化し、attacker を A2（攻撃経路）上の経路分布としてモデル化する。
• 保護ノードを通過した場合の検知を捉える修正転移関数 P^x を用い、攻撃者の価値を線形計画法（Bellman 基づく制約）で計算する。
• 非線形項を線形化する補助変数を用いて defender の bi-level 問題を MILP に変換し、big-M 形式で表現する。

実験結果

リサーチクエスチョン

• RQ1 defender の検知器配置が、異なる情報 regime で attacker の MDP ベースのルーティング決定にどう影響するか？
• RQ2 Stackelberg、確率的信念、盲目の情報設定下での最適 defender 戦略とは何か？
• RQ3 限られたセンサをどのように配分して attacker が重要資産に到達する確率を最小化できるか？
• RQ4 リソース制約下で attacker の MDP と defender の最適化を解く有効な計算手法（線形計画法、MILP、モンテカルロ法）は何か？

主な発見

• 最適化された検知器配置は、 attacker の成功確率を低減する上でベースラインヒューリスティックより顕著に優れている。
• 情報感知を考慮した遷移を持つ MDP として attacker の進行をモデル化することで、非対称な時間的ダイナミクスを捉え、防御計画を改善する。
• Stackelberg レジームは、 attacker が完全情報を持つ場合に defender が不利であることを、提示された MILP 形式で定量化して示す。
• 信念ベースの Dirichlet シグナリングは、 defender の防御に対する attacker の信念を形成することにより Stackelberg の不利を緩和できる。
• LP/MILP 手法を用いた予算制約下での defender 展開の実現可能な解を示す、枠組みの実用性を示す。