[論文レビュー] Moving Target Defense for Web Applications using Bayesian Stackelberg Games

Sailik Sengupta, Satya Gautam Vadlamudi+5 more|arXiv (Cornell University)|Feb 23, 2016

Web Application Security VulnerabilitiesComputer Science参考文献 53被引用数 20

ひとこと要約

本稿では、WebアプリケーションにおけるMoving Target Defense (MTD) のためのコストを考慮したスイッチング戦略を生成するためのベイジアンスタックルベルゲームフレームワークを提案する。攻撃者タイプと防御者の報酬をモデル化するために、実世界のCVEデータとCVSSスコアを用いる。攻撃者に関する不確実性に対して、最先端の手法よりも優れたロバストネスを示し、報酬の正規化損失（NLR）が平均で0.061（URSと比較して0.88）を記録する。

ABSTRACT

The present complexity in designing web applications makes software security a difficult goal to achieve. An attacker can explore a deployed service on the web and attack at his/her own leisure. Moving Target Defense (MTD) in web applications is an effective mechanism to nullify this advantage of their reconnaissance but the framework demands a good switching strategy when switching between multiple configurations for its web-stack. To address this issue, we propose modeling of a real-world MTD web application as a repeated Bayesian game. We then formulate an optimization problem that generates an effective switching strategy while considering the cost of switching between different web-stack configurations. To incorporate this model into a developed MTD system, we develop an automated system for generating attack sets of Common Vulnerabilities and Exposures (CVEs) for input attacker types with predefined capabilities. Our framework obtains realistic reward values for the players (defenders and attackers) in this game by using security domain expertise on CVEs obtained from the National Vulnerability Database (NVD). We also address the issue of prioritizing vulnerabilities that when fixed, improves the security of the MTD system. Lastly, we demonstrate the robustness of our proposed model by evaluating its performance when there is uncertainty about input attacker information.

研究の動機と目的

• システムコンponentsの動的再構成を踏まえて、Webアプリケーションにおける効果的でコストを考慮したMTDのスイッチング戦略を設計すること。
• 共通の脆弱性と暴露（CVE）と、セキュリティ分野の専門的知見およびCVSSスコアに基づいて、現実の攻撃者行動をモデル化し、現実的な報酬値を割り当てること。
• 既存のソルバーが無視する、設定間のスイッチングコストを考慮するフレームワークの開発。
• 攻撃者タイプの確率に関する不確実性下でのMTD戦略のロバストネスを評価し、報酬の正規化損失（NLR）指標を用いて測定すること。
• MTDシステムのセキュリティに最も大きな影響を与える深刻な脆弱性を特定・優先順位付けすること。

提案手法

• 防御者（リーダー）が混合戦略をコミットし、攻撃者（フォロワー）が合理的に応答する繰り返しベイジアンスタックルベルゲーム（BSG）としてMTD Webアプリケーションをモデル化する。
• 米国脆弱性データベース（NVD）からCVEをマイニングおよび分類することで、事前に定義された攻撃者タイプ（例：スクリプトキディ、データベースハッカー）のための攻撃セットを自動生成する。
• CVSSスコアとセキュリティ専門家の知見を用いて、防御者および攻撃者の成果に対する現実的な効用値を割り当て、実用的関連性を確保する。
• 設定間の高いスイッチングコストをペナルティとして含める最適化問題を定式化し、コストを考慮した戦略生成を可能にする。
• 攻撃者タイプの確率が誤って推定された場合の戦略のロバストネスを測定するために、報酬の正規化損失（NLR）指標を用いる。
• MTDシステムのレジリエンスを向上させるために、どの脆弱性の修正が最も効果的かを特定するための脆弱性優先順位付け手法を提案する。

実験結果

リサーチクエスチョン

• RQ1 WebアプリケーションにおけるMTDのためのコストを考慮したスイッチング戦略をどのように生成できるか？　→ セキュリティを最大化すると同時に運用オーバーヘッドを最小化する。
• RQ2 CVEデータとCVSSスコアを用いて、現実の攻撃者行動をどのようにモデル化できるか？　→ 攻撃の能力と結果を現実的に反映させる。
• RQ3 攻撃者タイプの確率に関する不確実性に対して、MTD戦略はどの程度ロバストか？　→ そのロバストネスをどのように定量的に測定できるか？
• RQ4 どの脆弱性を修正することで、提案されたゲーム理論的フレームワーク下でのMTDシステムのセキュリティが最も顕著に向上するか？
• RQ5 提案されたBSGベースの戦略は、既存の最先端手法と比較して、不確実性下でのセキュリティおよびロバストネスの観点で優れているか？

主な発見

• 提案されたベイジアンスタックルベルゲーム（BSG）戦略は、攻撃者タイプの確率に関する不確実性下で平均して報酬の正規化損失（NLR）が0.061にとどまる一方、最先端のURS手法は0.88を記録する。
• URSと比較して、BSG戦略は著しくロバストである。攻撃者確率が変動する状況下で、最大NLRは2.35（URSは9.0）にとどまる。
• ミドルエンドおよびデータベースハッカーは、確率の変動に対し最も感受性が低く、攻撃行動が変化しないため、NLR = 0となる。
• スクリプトキディは最も感受性が高い攻撃者タイプであり、その確率が低く見積もられると、最適戦略から著しく逸脱する。これにより、正確なモデル化の重要性が浮き彫りになる。
• 本フレームワークは、実世界のスイッチングコストを戦略生成に統合するのに成功した。これは、従来の物理的セキュリティソルバーがサイバー分野に適応した際に欠落していたギャップである。
• 提案された脆弱性優先順位付け手法は、MTDレジリエンスを向上させるために重要な修正を特定する形式的なアプローチを提供し、以前は非構造的であった問題を解決した。