[論文レビュー] Quantitative Analysis of Active Cyber Defenses Based on Temporal Platform Diversity

Kevin M. Carter, Hamed Okhravi+1 more|arXiv (Cornell University)|Jan 31, 2014

Distributed systems and fault tolerance参考文献 22被引用数 9

ひとこと要約

本稿は、4つの補完的手法（抽象的モデル化、実験台での実験、ゲーム理論、シミュレーション）を用いて、時間的プラットフォーム多様性に基づくアクティブなサイバー防御を定量的に評価する。プラットフォーム多様性は、持続的攻撃に対しては緩和効果を示すが、高速で一度のエクスプロイト攻撃に対してはセキュリティを悪化させる可能性がある。また、均一なランダム化に比べ、優先的プラットフォーム選択が顕著に防御効果を向上させ、運用用途に最適な戦略が導出された。

ABSTRACT

Active cyber defenses based on temporal platform diversity have been proposed as way to make systems more resistant to attacks. These defenses change the properties of the platforms in order to make attacks more complicated. Unfortunately, little work has been done on measuring the effectiveness of these defenses. In this work, we use four different approaches to quantitatively analyze these defenses; an abstract analysis studies the algebraic models of a temporal platform diversity system; a set of experiments on a test bed measures the metrics of interest for the system; a game theoretic analysis studies the impact of preferential selection of platforms and derives an optimal strategy; finally, a set of simulations evaluates the metrics of interest on the models. Our results from these approaches all agree and yet are counter-intuitive. We show that although platform diversity can mitigate some attacks, it can be detrimental for others. We also illustrate that the benefit from these systems heavily depends on their threat model and that the preferential selection of platforms can achieve better protection.

研究の動機と目的

• 時間的プラットフォーム多様性に基づくアクティブなサイバー防御の有効性を定量的に測定すること。この防御は、攻撃者を妨げるために動的にシステムの特性を変更する。
• 移行頻度、多様化レベル、選択戦略といった、防御の有効性に影響を与える主要な運用パラメータを同定すること。
• 異なる脅威モデル下での影響を分析することで、プラットフォーム多様性における直感に反するトレードオフを解明すること。
• ゲーム理論を用いて最適なプラットフォーム選択戦略を導出し、シミュレーションおよび実世界の実験で検証すること。
• 均一なランダム化が常に最適ではないこと、および優先的選択がセキュリティを顕著に向上させることを示すこと。

提案手法

• 時間的プラットフォーム遷移と攻撃者進行をモデル化するための代数的モデル、組合せ論、およびマルコフ連鎖を用いた抽象的分析。
• 移行ベースのプラットフォーム多様性システム（Talent）を用いた実験台での実験により、エクスプロイト成功確率およびプラットフォーム変更頻度の実世界メトリクスを収集。
• 攻撃者・防御者の相互作用をゲーム理論的にモデル化し、異なる脅威モデル下での最適プラットフォーム選択戦略を導出。
• 複数のOSプラットフォーム（CentOS、FreeBSD、Debian、Fedora、Gentoo）を想定した、最適選択戦略有無の両方で攻撃者による侵害試行をシミュレーション。
• 抽象的、実験的、ゲーム理論的、シミュレーションの4つのアプローチの結果を統合し、一貫性を検証し、直感に反する発見を明らかに。
• 報酬モデルとマルコフ連鎖を用いて、有限期間および分数状態を含むさまざまな構成下での攻撃成功までの期待時間の計算。

実験結果

リサーチクエスチョン

• RQ1 時間的プラットフォーム多様性は、特に持続的攻撃と高速で一度の侵害攻撃とを対象としたサイバー攻撃の成功率にどのように影響を与えるか？
• RQ2 多様性システムにおける次のプラットフォームの選択戦略として、均一なランダム化と、脆弱性プロファイルに基づく優先的選択のどちらが最適か？
• RQ3 移行頻度やプラットフォーム多様化レベルといった運用パラメータは、プラットフォーム多様性防御の有効性にどのように影響を与えるか？
• RQ4 プラットフォーム多様性の利点は、攻撃者の脅威モデルや利用可能なエクスプロイト能力にどの程度依存するか？
• RQ5 ゲーム理論的分析により、適応的攻撃者に対する均一なランダム化を上回る戦略を特定できるか？

主な発見

• プラットフォーム多様性は、攻撃者がサービスを長期間遮断しようとする攻撃に対しては有効であるが、移行中の攻撃表面の拡大により、高速で一度のエクスプロイト攻撃に対しては逆効果となる可能性がある。
• 脆弱性プロファイルに基づくプラットフォームの優先的選択は、均一なランダム化に比べ、ゲーム理論的分析とシミュレーションの両方で防御有効性を顕著に向上させる。
• ゲーム理論によって導出された最適戦略は、攻撃者があらかじめ用意したエクスプロイトのフルセットを保有している場合に特に顕著に、攻撃者の期待侵害時間の最小化に寄与する。
• シミュレーション結果は、選択戦略の選択が、単にプラットフォーム多様化のレベルよりもセキュリティに大きな影響を与えることを確認しており、運用ポリシーの重要性を強調している。
• マルコフモデルと組合せ論を用いた抽象的分析により、有限期間効果や分数状態が期待侵害時間に顕著な影響を与えることが判明し、無限または理想化されたシステムの仮定に疑問を呈する。
• 抽象的、実験的、ゲーム理論的、シミュレーションの4つのアプローチが一貫した結果を示しており、直感に反する結果であっても、研究の妥当性が裏付けられている。