[論文レビュー] Optimal Timing in Dynamic and Robust Attacker Engagement During Advanced Persistent Threats

Jeffrey Pawlick, Thi Thu Hang Nguyen+2 more|arXiv (Cornell University)|Jul 25, 2017

Network Security and Intrusion Detection参考文献 13被引用数 4

ひとこと要約

本稿は、ハイパーサイバーインシデントの検知を目的としたホニーネットを用いた攻撃者との継続的接触において、防衛者が攻撃者を排除する最適タイミングをモデル化するため、連続的状態空間における割引なし無限時間ホライズンのマルコフ決定過程（MDP）を定式化する。攻撃者からの情報収集後に排除するタイミングを決定する閾値に基づく最適方策を導出し、スタックルベルクゲームを用いたロバストネス評価により、監視の利得と露出リスクの両者を最適にバランスさせる防衛者が最大の利得を得られることを示している。

ABSTRACT

Advanced persistent threats (APTs) are stealthy attacks which make use of social engineering and deception to give adversaries insider access to networked systems. Against APTs, active defense technologies aim to create and exploit information asymmetry for defenders. In this paper, we study a scenario in which a powerful defender uses honeynets for active defense in order to observe an attacker who has penetrated the network. Rather than immediately eject the attacker, the defender may elect to gather information. We introduce an undiscounted, infinite-horizon Markov decision process on a continuous state space in order to model the defender's problem. We find a threshold of information that the defender should gather about the attacker before ejecting him. Then we study the robustness of this policy using a Stackelberg game. Finally, we simulate the policy for a conceptual network. Our results provide a quantitative foundation for studying optimal timing for attacker engagement in network defense.

研究の動機と目的

• 攻撃者との継続的接触における情報収集と露出リスクの両者を最適にバランスさせるタイミング戦略の欠落を埋める。
• 監視の利得とセキュリティコストの動的トレードオフを捉えるために、連続的状態空間、無限時間ホライズンのMDPとして防衛者の意思決定をモデル化する。
• 監視の利得とリスクのバランスを取ることで、攻撃者を排除するまでの情報蓄積の閾値を指定する解析的最適方策を導出する。
• ゼロサムスタックルベルクゲームフレームワークを用いて、攻撃者の信念の操作に対するこの方策のロバストネスをテストする。
• 概念的ネットワークモデル上でシミュレーションを実施し、方策のパフォーマンスと利得を検証する。

提案手法

• 攻撃者の動きに応じたホニーネット内での防衛者の行動をモデル化するため、連続的状態空間、割引なし無限時間ホライズンのMDPを定式化する。
• 再帰的方程式を用いて価値関数と最適方策を導出し、利得の閾値と情報蓄積に基づく区分的解を用いる。
• 防衛者が攻撃者を排除するタイミングを決定する閾値 $\omega$ を導入し、監視利得 $\delta_1^D$ とリスク $p\lambda_N^D\bar{T}_A$ のバランスから導出する。
• 攻撃者が信念パラメータを事前に選択するスタックルベルクゲームモデルを適用し、最悪ケースの利得分析によりロバストネスを評価する。
• 数値的検証とシミュレーションを用いて、攻撃者の持続性やネットワーク状態の違いに応じた最適方策の挙動を可視化する。
• 再帰的価値関数分解を採用：$\mathcal{V}(U^i, H)[k\delta, (k+1)\delta] = \delta_1^D + (1-p)\mathcal{V}(U^i - \delta, H)[(k-1)\delta, k\delta]$（$U^i \leq \omega + \delta$ の場合）、それ以外の場合は修正版を用いる。

実験結果

リサーチクエスチョン

• RQ1 長期間にわたる接触後、防衛者はホニーネットから攻撃者をどのタイミングで排除すべきか？
• RQ2 監視利得と露出リスクの両者を最適にバランスさせるために、防衛者の意思決定を連続的状態空間MDPとしてどのようにモデル化できるか？
• RQ3 割引なし無限時間ホライズンフレームワーク下で、情報蓄積のどの閾値が最適な排除意思決定を引き起こすか？
• RQ4 スタックルベルクゲーム設定下で、攻撃者の信念の操作に対して最適方策はどの程度ロバストか？
• RQ5 攻撃者の持続性 $\bar{T}_A$ が 0 または無限大に近づく際、防衛者の利得の漸近的挙動はいかなるものか？

主な発見

• 最適方策は閾値に基づく：防衛者は攻撃者の利得水準が臨界閾値 $\omega$ に達するまで情報を収集し、その後に排除することで期待利得が最大化される。
• 閾値 $\omega$ は、$\bar{T}_A\lambda_N^D = \chi_H^D(\omega - \delta k[\omega])(1-p)^{k[\omega]} + \frac{\delta_1^D}{p}(1 - (1-p)^{k[\omega]})$ の解として解析的に導出され、監視利得とリスクのバランスをとる。
• $\bar{T}_A \to 0$ のとき、防衛者の利得は $U^0\left(1 + \frac{1}{v}\left(C_H + C_N\frac{p}{1-p}\right)\right)$ に収束し、最小限の攻撃者持続性下での最大持続可能利得を表す。
• 大きな $\bar{T}_A$ の場合、防衛者の利得は2つの結果の重み付き和によって上限に抑えられる：長期間の監視による完全な利得、または早期の排除によるゼロの利得。この両者とも $\delta$ と $\omega$ に依存する。
• スタックルベルクゲーム分析により、最適方策が最悪ケースの攻撃者信念仮定下でもロバストであることが確認され、利得の安定性が保証される。
• シミュレーションにより、導出された方策が攻撃者の行動とシステムパラメータに動的に適応するため、単純な戦略を上回るパフォーマンスを示している。