[論文レビュー] Modelling the costs and benefits of Honeynets

Maximillian Dornseif, Sascha May|ArXiv.org|Jun 28, 2004

ICT Impact and Policies参考文献 2被引用数 6

ひとこと要約

本稿では、ハニーネットの展開にかかるコストと利益を評価する経済モデルを提案し、スタートアップコストと保守コストを、熟練した攻撃者から得られるインテリジェンスの価値と比較して分析する。このモデルは、保守への投資が検知確率を高める場合にハニーネットが最も効果的であることを示しているが、攻撃者からのインテリジェンスの価値が高額であっても、攻撃頻度が低く、その有用性が不確実であるため、多くの場合、その価値が相殺されることが判明した。

ABSTRACT

For many IT-security measures exact costs and benefits are not known. This makes it difficult to allocate resources optimally to different security measures. We present a model for costs and benefits of so called Honeynets. This can foster informed reasoning about the deployment of honeynet technology.

研究の動機と目的

• ハニーネット展開に関する定量的分析の不足を補うために、その経済的トレードオフをモデル化すること。
• 組織におけるハニーネットの実用性に影響を与える主なコストおよび利益要因を特定すること。
• ハニーネット展開のネットユーティリティを最大化する最適な保守投資水準を特定すること。
• ハニーネットが情報収集を超えて、実際のセキュリティ上の利益を提供するかどうかを評価すること。
• 検知とコスト構造に関する現実的な仮定の下で、攻撃者の行動とハニーネットの対応をモデル化すること。

提案手法

• ハニーネットのコストを c(t) = S + Mt として形式化し、S はスタートアップコスト、M は時間単位あたりの保守コストを表す。
• ユーティリティを u(t) = Pt(M/I) としてモデル化し、P は1件の熟練攻撃からのインテリジェンスの価値、I は保守が攻撃頻度に与える影響を表す。
• 攻撃者は時間単位あたりの固定コストを有し、ハニーネットを検知した時点で攻撃を中止すると仮定する（時刻 td で終了）。
• 透過的なリダイレクトと検知の技術的課題が未解決のため、攻撃的ハニーネットは除外する。
• ハニーネットの改ざん可能性がないこと、および時間単位あたりの攻撃コストが固定されていると仮定する簡素化された攻撃者モデルを適用する。
• 比較的曲線分析を用いる：利益が生じるのは、ユーティリティ曲線 u(t) がコスト曲線 c(t) を上回る場合である。

実験結果

リサーチクエスチョン

• RQ1 ハニーネットの展開および運用における主なコスト構成要素は何か。また、それらは時間経過とともにどのように変化するか。
• RQ2 熟練攻撃者から得られるインテリジェンスの経済的価値は何か。保守への投資に応じてその価値はどのように変化するか。
• RQ3 保守の強化が熟練攻撃者の引きつけ確率に与える影響は何か。その投資のリターンはどの程度か。
• RQ4 どのような条件下でハニーネット展開のユーティリティがその総コストを上回るか。
• RQ5 攻撃者の検知および攻撃中止行動は、ハニーネット運用の全体的なコスト・メリットバランスにどのように影響するか。

主な発見

• モデルは、ハニーネット展開が、ユーティリティ曲線 u(t) がコスト曲線 c(t) を上回る場合にのみ利益を上げることを示している。これは、インテリジェンスの価値（P）と、保守（M）が攻撃頻度（I）に与える影響に依存する。
• スタートアップコスト（S）は比較的簡単に推定できるが、インテリジェンスの価値（P）は技術的には高いが、実用的有用性は低く、とりわけ素性の低い攻撃では顕著である。
• 保守投資が攻撃頻度に与える影響を表す要因 I は、実際には低いと推定される。これは、保守投資の増加が攻撃件数の増加にほとんど寄与しないことを意味する。
• ハニーネットは、素性の低いまたは自動化された攻撃者からのデータ収集に最も効果的であるが、熟練した攻撃者は迅速にハニーネットを検知し、放棄してしまうため、データ収集の恩恵は限定的である。
• モデルは攻撃者が検知した時点で攻撃を中止する（td）と仮定しているが、これは分析を簡略化するが、ハニーネットが乗っ取られる可能性がある現実世界の状況を反映していない可能性がある。
• 本稿は、ハニーネットが貴重な脅威インテリジェンスを提供できる一方で、攻撃頻度が低く、有用性が不確実であるため、経済的実現可能性が制限されていると結論づけている。特に、研究を除く組織にとっては顕著である。