[論文レビュー] Rethinking Information Sharing for Actionable Threat Intelligence

Aziz Mohaisen, Omar Alibrahim+3 more|arXiv (Cornell University)|Feb 2, 2017

Cryptography and Data Security参考文献 31被引用数 8

ひとこと要約

この論文は、使用および脅威モデル、測定可能なリスク、プライバシー保護、インジケータ品質、および無料乗車を防ぐメカニズムを強調することで、実行可能な脅威インテリジェンスの情報共有を再考するフレームワークを提案する。データ差異とコミュニティ構造を活用して共有を最適化することを提唱し、インジケータ品質を評価するための機械学習の活用を検討することで、脅威インテリジェンス共有システムの効果性と信頼性を向上させることを目的としている。

ABSTRACT

In the past decade, the information security and threat landscape has grown significantly making it difficult for a single defender to defend against all attacks at the same time. This called for introduc- ing information sharing, a paradigm in which threat indicators are shared in a community of trust to facilitate defenses. Standards for representation, exchange, and consumption of indicators are pro- posed in the literature, although various issues are undermined. In this paper, we rethink information sharing for actionable intelli- gence, by highlighting various issues that deserve further explo- ration. We argue that information sharing can benefit from well- defined use models, threat models, well-understood risk by mea- surement and robust scoring, well-understood and preserved pri- vacy and quality of indicators and robust mechanism to avoid free riding behavior of selfish agent. We call for using the differential nature of data and community structures for optimizing sharing.

研究の動機と目的

• 信頼、品質、プライバシー、インcentiveにおける現在の脅威インテリジェンス共有の限界を特定することで、それらの重要なギャップを解消すること。
• 有効な共有を導くために明確に定義された使用および脅威モデルを統合した、情報共有の再考を提唱すること。
• 測定可能なリスク、強固なプライバシー保護、および高品質なインジケータの必要性を強調し、実行可能な結果を保証すること。
• 誠実でタイムリーな貢献を促進するメカニズムを通じて、無料乗車行動に対処すること。
• データ差異とコミュニティ構造が共有のオーバーヘッドと効果性を最適化する役割を果たす方法を検討すること。

提案手法

• 定義された使用および脅威モデルに基づくモデル駆動型共有への移行を提案することで、一般的な共有から脱却する。
• 共有の利益と露出リスクのバランスを取るために、測定可能なリスク評価の必要性を提示する。
• 構造的な共有ポリシーとアクセス制御を通じて、プライバシーとデータ品質の保護を提唱する。
• コミュニティメンバーのスコアリングに歴史的貢献データを使用することを推奨するが、粗い粒度のレピュテーションシステムには注意を喚起する。
• 類似した既知のインジケータから類推することで、ラベルの妥当性を検証し、未知のインジケータのラベルを予測する機械学習を活用して、個々のインジケータ品質を評価する。
• データの差異特性とコミュニティ構造をモデル化することで、共有の効率性を高め、オーバーヘッドを低減する。

実験結果

リサーチクエスチョン

• RQ1 共有されたインジケータが実行可能でタイムリーであることを保証するためには、情報共有をどのように再構築すべきか？
• RQ2 使用および脅威モデルは、効果的で安全な脅威インテリジェンス共有を導く上で果たす役割は何か？
• RQ3 高精度な脅威情報交換を可能にしつつ、プライバシーやデータ品質をどのように保護できるか？
• RQ4 脅威共有コミュニティにおける無料乗車を防ぎ、誠実で高品質な貢献を促進するメカニズムは何か？
• RQ5 コミュニティレピュテーションを超えて、機械学習をどのように活用して個々の脅威インジケータの品質を評価できるか？

主な発見

• インジケータの品質、特にタイムリーさと正確なラベリングは、実行可能なインテリジェンスの決定的要因であるが、現在のシステムでは依然として poorly 定義され、評価されていない。
• 現在のレピュテーションベースのスコアリングシステムは不十分である。これは、コミュニティメンバー全体を評価するのではなく、個々のインジケータを評価しないため、品質が混合した出力を持つ貢献者に対して不平等な罰則が下される。
• インジケータ品質とプライバシーには強い相関関係がある。過度に匿名化されたり遅延させられたりしたデータは利用価値を低下させるが、プライバシーが不十分な場合、敵対者に運用詳細が露呈されるリスクが生じる。
• 機械学習技術は、複数ベンダー間でのラベル妥当性の検証や、特徴の類似性を用いた未知インジケータのラベル予測により、インジケータ品質の評価を支援できる。
• データの差異特性とコミュニティ構造を活用することで、セキュリティや利用価値を損なわず、共有のオーバーヘッドを低減し、効率性を向上させることができる。
• 使用、脅威、リスクモデルを統合したモデル駆動型アプローチは、脅威インテリジェンス共有の効果性と信頼性を最適化するために不可欠である。