[論文レビュー] iSTRICT: An Interdependent Strategic Trust Mechanism for the Cloud-Enabled Internet of Controlled Things

Jeffrey Pawlick, Juntao Chen+1 more|arXiv (Cornell University)|May 1, 2018

Smart Grid Security and Resilience参考文献 34被引用数 3

ひとこと要約

iSTRICTは、APTモデリングにFlipItゲーム、デバイス-クラウド相互作用にシグナルゲーム、物理層の効用評価に最適制御を統合する、クラウド対応IoCT（制御対象のインターネット）のためのゲーム理論的で相互依存的な信頼メカニズムを提案する。Gestaltナッシュ均衡（GNE）を用いて、自律走行車の応用において、単純な戦略と比較して性能損失を少なくとも6倍まで低減する、最悪事態における侵害確率保証を達成する。

ABSTRACT

The cloud-enabled Internet of controlled things (IoCT) envisions a network of sensors, controllers, and actuators connected through a local cloud in order to intelligently control physical devices. Because cloud services are vulnerable to advanced persistent threats (APTs), each device in the IoCT must strategically decide whether to trust cloud services that may be compromised. In this paper, we present iSTRICT, an interdependent strategic trust mechanism for the cloud-enabled IoCT. iSTRICT is composed of three interdependent layers. In the cloud layer, iSTRICT uses FlipIt games to conceptualize APTs. In the communication layer, it captures the interaction between devices and the cloud using signaling games. In the physical layer, iSTRICT uses optimal control to quantify the utilities in the higher level games. Best response dynamics link the three layers in an overall "game-of-games," for which the outcome is captured by a concept called Gestalt Nash equilibrium (GNE). We prove the existence of a GNE under a set of natural assumptions and develop an adaptive algorithm to iteratively compute the equilibrium. Finally, we apply iSTRICT to trust management for autonomous vehicles that rely on measurements from remote sources. We show that strategic trust in the communication layer achieves a worst-case probability of compromise for any attack and defense costs in the cyber layer.

研究の動機と目的

• 先進持続的脅威（APTs）による侵害のおそれがある中で、デバイスがどのクラウド信号を信頼すべきかを決定する戦略的信頼ジレンマに対処すること。
• クラウド（APTによる侵害）、通信（信頼シグナル）、物理（制御パフォーマンス）の3層における相互依存的意思決定をモデル化すること。
• 3層間の戦略的相互作用を捉え、最悪事態の攻撃に対しても頑健性を保証する統合均衡概念「ゲシュタルトナッシュ均衡（GNE）」を確立すること。
• 攻撃者が遠隔センサー情報を改ざんする可能性がある自律走行車ネットワークにおける、メカニズムの有効性を実証すること。

提案手法

• 攻撃者と防御者がクラウドサービスの奪還を繰り返す状況を表現するため、クラウド層におけるAPTをFlipItゲームでモデル化する。
• 通信層では、クラウド信号のリスク評価に基づくデバイスの信頼意思決定を、シグナルゲームでモデル化する。
• 物理層では、制御信号が改ざんされた場合の効用とパフォーマンス損失を、最適制御理論を用いて定量化する。
• 3層を統合したゲームのゲームフレームワークを構築し、最適反応ダイナミクスを介して、統一された戦略的相互作用を形成する。
• 自然な仮定の下でゲシュタルトナッシュ均衡（GNE）の存在を証明し、反復的に計算可能な適応的アルゴリズムを開発する。
• 革新ゲートと観測者に基づく最適制御を用いて、改ざんされたセンサーからの大きなバイアス項を除外し、適応的攻撃者に対抗するための混合戦略を用いる。

実験結果

リサーチクエスチョン

• RQ1 クラウドサービスがAPTsによって侵害される可能性があるクラウド対応IoCTにおいて、戦略的信頼はどのようにモデル化できるか？
• RQ2 サイバー物理システムにおけるクラウド、通信、物理の3層間の相互依存的戦略的意思決定を捉える均衡概念は何か？
• RQ3 デバイスが、侵害済みのクラウドサービスからの信号を完全に拒否できない状況でも、最悪事態における侵害確率を保証できるか？
• RQ4 シグナルゲームに混合戦略を組み込むことで、適応的攻撃者に対するレジリエンスはどのように向上するか？
• RQ5 実世界の応用、特に自律走行車において、提案されたメカニズムは非戦略的または単純な信頼戦略と比較して、どの程度のパフォーマンス向上を達成するか？

主な発見

• 提案されたiSTRICTメカニズムは、サイバー層におけるいかなる攻撃・防御コスト構成に対しても、侵害確率の最悪事態保証を達成する。これは、デバイスが侵害済みクラウドサービスからの信号を完全に拒否できない場合でも同様に成立する。
• 自然な仮定の下でゲシュタルトナッシュ均衡（GNE）が存在し、反復的に計算可能な適応的アルゴリズムにより、3層にわたる戦略的安定性が保証される。
• 自律走行車のシミュレーションにおいて、iSTRICTは、戦略的および非戦略的攻撃者に対して、ベースライン戦略と比較してコスト基準を少なくとも6倍まで低減する。
• シグナルゲームにおける混合戦略は、繰り返しの侵害と信頼のループを防ぎ、攻撃者が逸脱することで利益を得られない一意の均衡でシステムを安定化させる。
• 革新ゲートは、悪意ある信号からの大きなバイアス項を効果的に除外する。一方、戦略的リスク閾値により、ノイズが存在する中でも低リスク信号のみが信頼される。
• GNEフレームワークのモジュラー設計により、デバイスの追加・削除が行われても、均衡の再計算を全面的に行わず、段階的アップデートが可能となる。