[論文レビュー] Sludge for Good: Slowing and Imposing Costs on Cyber Attackers

Josiah Dykstra, Kelly Shortridge+2 more|arXiv (Cornell University)|Nov 29, 2022

Information and Cyber Security被引用数 5

ひとこと要約

本論文は、意図的に摩擦を導入することで攻撃者を遅らせ、リソースコストを増加させるサイバーセキュリティ戦略「スラッジ・フォー・グッド」を提案する。欺瞞と選択アーキテクチャの原則を用いて、攻撃前の段階、攻撃中、攻撃後の段階にわたりスラッジを適用することで、防御側は攻撃者に対して測定可能な時間的・財務的・運用的コストを課しつつ、正当なユーザーへの被害を最小限に抑えることができる。

ABSTRACT

Choice architecture describes the design by which choices are presented to people. Nudges are an aspect intended to make "good" outcomes easy, such as using password meters to encourage strong passwords. Sludge, on the contrary, is friction that raises the transaction cost and is often seen as a negative to users. Turning this concept around, we propose applying sludge for positive cybersecurity outcomes by using it offensively to consume attackers' time and other resources. To date, most cyber defenses have been designed to be optimally strong and effective and prohibit or eliminate attackers as quickly as possible. Our complimentary approach is to also deploy defenses that seek to maximize the consumption of the attackers' time and other resources while causing as little damage as possible to the victim. This is consistent with zero trust and similar mindsets which assume breach. The Sludge Strategy introduces cost-imposing cyber defense by strategically deploying friction for attackers before, during, and after an attack using deception and authentic design features. We present the characteristics of effective sludge, and show a continuum from light to heavy sludge. We describe the quantitative and qualitative costs to attackers and offer practical considerations for deploying sludge in practice. Finally, we examine real-world examples of U.S. government operations to frustrate and impose cost on cyber adversaries.

研究の動機と目的

• 高効率で低検知リスクで活動する継続的攻撃者の増加という課題に対処すること。
• 単なる防御的・拒否ベースの戦略から、戦略的摩擦を通じて攻撃者にコストを課す補完的戦略への転換。
• 行動経済学の原則——特に「スラッジ」——をサイバー分野に再利用し、攻撃者の作業ワークフローを攪乱する方法の探求。
• 攻撃者に対して効果的で、測定可能であり、正当なユーザーへの被害が最小限となるスラッジ機構の設計・評価フレームワークの提供。
• 米国政府の実際の運用事例を通じて、攻撃者にコストを課す実用性の証明。

提案手法

• 行動経済学における「選択アーキテクチャ」の概念を採用し、サイバーデフェンスを意図的な摩擦のシステムとして再定式化。
• 遅延、複雑性、認知的負荷を導入することで、攻撃者の取引コストを増加させる戦略的スラッジを設計。
• ハニーポット、偽の資格情報、誤ったシステム挙動といった欺瞞技術を用いて、攻撃者のリコンナッセイアンスおよび横向き移動を遅らせる。
• 本物らしさを保つデザイン要因（例：現実的だが偽のシステムプロンプト）を用いて、信用性を維持しつつ攻撃者の作業負荷を増加。
• 脅威レベルや運用状況に応じて、『軽量スラッジ』（例：応答遅延）から『重いスラッジ』（例：シミュレートされたシステム障害）までスケール可能なスラッジのスケーリングを実現。
• 時間的侵害までの期間、検知率、攻撃者のリソース消費量といった定性的・定量的指標を用いて、有効性を評価。

実験結果

リサーチクエスチョン

• RQ1 攻撃ライフサイクル全体にわたり、スラッジを戦略的に展開することで、攻撃者のコストを最大化すると同時に、正当なユーザーへの被害を最小限に抑える方法は何か？
• RQ2 スラッジが攻撃者の意思決定および継続的攻撃行動に与える行動的・心理的メカニズムは何か？
• RQ3 スラッジは、既存のゼロトラストや仮想的侵害前提のセキュリティモデルとどのように補完的か？
• RQ4 実際のスラッジの実装——例えば制裁や公的帰属——は、敵対者の行動と運用コストにどのように影響を与えるか？
• RQ5 組織的要因および人的要因は、サイバー作業を妨害するスラッジの有効性にどのように影響を与えるか？

主な発見

• スラッジ戦略は、攻撃者に対して測定可能な時間的・リソース的コストを課しており、制裁や金融的摩擦がすでにランサムウェアキャンペーンを遅らせた証拠がある。
• 米国政府の運用——マルウェアの公的帰属と金融制裁を含む——は、敵対者の運用の複雑さとリスクを増加させることで、攻撃行動を妨害した。
• 2022年初期にランサムウェア活動が減少したが、ロシア系攻撃者にとってインfraストラクチャへのアクセスと資金移動の難易度が上昇した制裁の影響が一部関与しているとされる。
• ハニーファイルやハニーポットを含む欺瞞ベースのスラッジは、リコンナッセイアンスおよび横向き移動段階で攻撃者を遅延・混乱させるのに効果的である。
• 認知バイアスや内部連携の失敗（例：責任転嫁、通信障害）を突くことで、スラッジは協調的な攻撃チームの作業を攪乱できる。
• 完全な抑止策ではないが、スラッジは攻撃の機会コストを著しく増加させ、特にリソースが限られた脅威行動者にとっては一部のキャンペーンが経済的に非効率になるようにする。