[論文レビュー] Toward a Theory of Cyber Attacks

Saeed Valizadeh, Marten van Dijk|arXiv (Cornell University)|Jan 6, 2019

Information and Cyber Security参考文献 26被引用数 5

ひとこと要約

本稿は、攻撃者が段階的学習プロセスとして進展するサイバー攻撃をモデル化するためのマルコフゲームフレームワークを提案する。防御側は時間の経過とともに検知能力を向上させる。攻撃者が時間予算 $T_{bud}$ のうちに目的 $k$ を達成する確率を厳密に束縛するためのセキュリティ容量領域を導入し、それが $ ext{poly}(T_{bud}) cdot ext{negl}(k)$ 以下であることを証明する。これにより、動的防御システムに対して暗号的アプローチに類似したセキュリティ保証が可能になる。

ABSTRACT

We provide a general methodology for analyzing defender-attacker based "games" in which we model such games as Markov models and introduce a capacity region to analyze how defensive and adversarial strategies impact security. Such a framework allows us to analyze under what kind of conditions we can prove statements (about an attack objective $k$) of the form "if the attacker has a time budget $T_{bud}$, then the probability that the attacker can reach an attack objective $\geq k$ is at most $poly(T_{bud})negl(k)$". We are interested in such rigorous cryptographic security guarantees (that describe worst-case guarantees) as these shed light on the requirements of a defender's strategy for preventing more and more the progress of an attack, in terms of the "learning rate" of a defender's strategy. We explain the damage an attacker can achieve by a "containment parameter" describing the maximally reached attack objective within a specific time window.

研究の動機と目的

• 実世界のサイバー攻撃を、攻撃者と防御者の戦略を動的かつ時間制約付きでモデル化する一般的な理論的枠組みを構築すること。
• 現在のゲーム理論的ネットワークセキュリティ手法における、一般化可能でセキュリティ保証に焦点を当てたモデルの欠如を是正すること。
• 防御側の学習を段階的なプロセスとして形式化し、攻撃者の成功確率を時間経過とともに低下させることで、厳密なセキュリティ解析を可能にすること。
• 防御システムが攻撃者をどれだけ効果的に抑止できるかを学習速度と時間予算に基づいて定量化するセキュリティ容量領域を定義すること。
• 時間的進行と段階的攻撃を想定した動的防御システムに対して、暗号的スタイルのセキュリティ保証を提供すること。特に、攻撃完了までの時間と成功確率の上限に焦点を当てる。

提案手法

• 各手番が攻撃者の目的への進行を促進するとともに、防御側の学習を可能にするマルコフゲームとして、攻撃者-防御者相互作用をモデル化する。
• 防御側が $l$ 個の攻撃サンプルを観測した後の検知精度を表す学習速度関数 $f(l)$ を導入し、$1 - f(l) \leq O(l^{-a})$（$a \geq 2$）を満たす。
• 防御システムの効率を評価するためのセキュリティ容量領域を定義し、防御側が攻撃の進行を防ぐために十分に速く学習を進めなければならないことを示す。
• 攻撃者が $k$ 個の標的へ進行する様子と、十分な証拠が検出された段階で防御リソースを再配分するゲームシミュレータ（アルゴリズム2）を用いる。
• 確率的境界を適用して、攻撃者の成功確率が $\text{poly}(T_{bud})\cdot\text{negl}(k)$ 以下であることを示し、最悪ケースのセキュリティを保証する。
• ネットワークレベル（$ \gamma$）およびホストレベル（$h$）の検知確率を組み合わせ、多層防御反応をモデル化する。

実験結果

リサーチクエスチョン

• RQ1 防御側の学習プロセスが、時間予算 $T_{bud}$ のうちに目的 $k$ を達成する攻撃者の成功確率をどの程度効果的に低下させられるか、どのような条件下で可能か。
• RQ2 防御側の学習速度をどのように定量化し、セキュリティ容量領域と結びつけることで、証明可能なセキュリティ保証を達成できるか。
• RQ3 時間予算 $T_{bud}$ を超えない範囲で、攻撃者が到達可能な最大の攻撃目的は何か。また、確率的モデルを用いてその上限をどのように束縛できるか。
• RQ4 防御側が攻撃行動を検知・対応する能力が、時間の経過とともにシステム全体のセキュリティにどのように影響するか。
• RQ5 訓練データを操作する欺瞞攻撃者（delusive adversary）が存在する状況下で、学習速度と偽陽性率がシステムのセキュリティにどのように影響するか。

主な発見

• 攻撃者が目的 $k$ を達成する成功確率は、$\text{poly}(T_{bud})\cdot\text{negl}(k)$ 以下に束縛され、厳密な暗号的スタイルのセキュリティ保証が得られる。
• 学習速度 $f(l)$ が停滞すると、防御の封じ込めが崩壊し、限定的な時間予算内に攻撃者が成功するようになる。
• 効果的な封じ込めを確保するためには、$1 - f(l) \leq O(l^{-2})$ を満たす学習速度を達成する必要がある。$a = 2$ の場合の証明が提供されている。
• セキュリティ容量領域は、防御システムの効率を評価する指標として確立され、検知確率が1に収束する速度が速いことがセキュリティに不可欠である。
• 本フレームワークは、防御側が学習を遅らせてはならないことを示しており、早期かつ持続的な検知が、成功する攻撃を防ぐために不可欠である。
• 本モデルはネットワークレベル（$ \gamma$）およびホストレベル（$h$）の検知を同時に考慮しており、多層監視が攻撃の封じ込め能力を高めることを示している。