[論文レビュー] SODEXO: A System Framework for Deployment and Exploitation of Deceptive Honeybots in Social Networks

Quanyan Zhu, Andrew Clark+2 more|arXiv (Cornell University)|Jul 24, 2012

Network Security and Intrusion Detection参考文献 20被引用数 5

ひとこと要約

SODEXOは、ソーシャルネットワークに偽のハニーボットを展開することでボットネットを浸食・監視する予防的サイバー防御フレームワークである。インタラクションをスタックルベルクゲームとしてモデル化し、凸最適化を用いた展開により、ボットネットの個体数を顕著に削減する。100万ユーザーのネットワークにおいて、わずか25個のハニーボットで大規模なマルウェアの拡散を著しく抑制できることを実証した。

ABSTRACT

As social networking sites such as Facebook and Twitter are becoming increasingly popular, a growing number of malicious attacks, such as phishing and malware, are exploiting them. Among these attacks, social botnets have sophisticated infrastructure that leverages compromised users accounts, known as bots, to automate the creation of new social networking accounts for spamming and malware propagation. Traditional defense mechanisms are often passive and reactive to non-zero-day attacks. In this paper, we adopt a proactive approach for enhancing security in social networks by infiltrating botnets with honeybots. We propose an integrated system named SODEXO which can be interfaced with social networking sites for creating deceptive honeybots and leveraging them for gaining information from botnets. We establish a Stackelberg game framework to capture strategic interactions between honeybots and botnets, and use quantitative methods to understand the tradeoffs of honeybots for their deployment and exploitation in social networks. We design a protection and alert system that integrates both microscopic and macroscopic models of honeybots and optimally determines the security strategies for honeybots. We corroborate the proposed mechanism with extensive simulations and comparisons with passive defenses.

研究の動機と目的

• 反応的でブラックリストベースの防御手法が、検知遅延が高く、精度が低いという限界を是正すること。
• 感染ユーザーを模倣する偽のハニーボットを用いた予防的防御メカニズムを設計し、ボットネットに浸入してインテリジェンスを収集すること。
• ボットマスターとハニーボットの戦略的相互作用をゲーム理論でモデル化し、情報収集の最大化を目的としたハニーボット展開を最適化すること。
• ミクロ的およびマクロ的モデルを統合した保護・アラートシステム（PAS）を構築し、ボットネット行動にリアルタイムで適応すること。
• シミュレーションを通じたフレームワークの妥当性を検証し、ハニーボットの最小限の展開でボットネット個体数を顕著に削減すること。

提案手法

• 感染、回復、ハニーボットの侵入率を捉えるボットネット個体数の動的成長・減少モデルを定式化する。
• 情報収集を最大化し、展開コストを最小化するように、最適なハニーボット数を凸最適化で決定する。
• ボットマスターが先手で行動し、ハニーボットが戦略的に反応するように、搾取段階をスタックルベルクゲームとしてモデル化する。
• スタックルベルク均衡の概念に基づき、ボットマスターおよびハニーボットの最適戦略に対する閉形式解を導出する。
• 保護・アラートシステム（PAS）にリアルタイムの行動フィードバックを統合し、パラメータを更新し、展開戦略を動的に適応させる。
• 個々のノード行動（ミクロ的）と集団レベルのダイナミクス（マクロ的）を統合したハイブリッドモデルを採用し、意思決定の強靭性を確保する。

実験結果

リサーチクエスチョン

• RQ1 どのようにハニーボットをソーシャルネットワークに最適に展開することで、情報収集を最大化し、コストと検知リスクを最小化できるか？
• RQ2 ハニーボットの展開は、感染ユーザーおよびボットネットの長期的個体数ダイナミクスにどのような影響を及えるか？
• RQ3 ボットマスターとハニーボットの戦略的相互作用は、だましによる防御の有効性にどのように影響を及えるか？
• RQ4 スケールフリーの次数分布などのネットワークの非一様性は、ボットネットの拡散および制御にどの程度影響を及えるか？
• RQ5 ブラックリスト更新の平均遅延が25日間であることを踏まえると、本手法はURLブラックリストなど受動的防御と比較して、検知速度と是正効率の面でどの程度優れているか？

主な発見

• わずか25個のハニーボットで、100万ノードのソーシャルネットワークにおいても、感染個体数を顕著に削減できる。これは、低密度での展開でも成立する。
• ハニーボットの展開コストが低下するにつれて最適な数は増加するが、ネットワーク全体に比べて依然として少数に留まるため、極めて高い効率性を示している。
• シミュレーション結果から、ブラックリストベースの受動的防御よりも、ハニーボット展開がボットネット個体数の削減にはるかに効果的であることが示された。特に、ブラックリスト更新に平均25日間の遅延がある状況では顕著である。
• スタックルベルクゲームモデルは、情報収集とネットワークへの影響の戦略的トレードオフを的確に捉えており、解析的に扱える最適戦略を導出できた。
• スケールフリーの次数分布のような非一様なネットワーク構造は、平均次数が同じであっても、ボットネットの拡散速度に顕著な影響を及える。
• 保護・アラートシステム（PAS）は、観察されたボットネット行動に効果的に適応でき、リアルタイムでの戦略更新と防御の迅速な反応性を実現した。