[論文レビュー] TRADE: TRusted Anonymous Data Exchange: Threat Sharing Using Blockchain Technology

Yair Allouche, Nachiket Tapas+3 more|arXiv (Cornell University)|Mar 24, 2021

Blockchain Technology Applications and Security参考文献 28被引用数 8

ひとこと要約

TRADE は、組織間での匿名的で信頼できる、かつ責任を伴うサイバー脅威インテリジェンス（CTI）共有を可能にするブロックチェーンベースのプラットフォームです。スマートコントラクトとデュアルブロックチェーンアーキテクチャを用いて、アクセス制御を強制し、データの出所を保証するとともに、レピュテーションおよびカーマメカニズムによるインcentiveを導入し、高品質な寄与を促進します。また、TAXII や OpenDXL といった既存の標準と統合されています。

ABSTRACT

Cyber attacks are becoming more frequent and sophisticated, introducing significant challenges for organizations to protect their systems and data from threat actors. Today, threat actors are highly motivated, persistent, and well-founded and operate in a coordinated manner to commit a diversity of attacks using various sophisticated tactics, techniques, and procedures. Given the risks these threats present, it has become clear that organizations need to collaborate and share cyber threat information (CTI) and use it to improve their security posture. In this paper, we present TRADE -- TRusted Anonymous Data Exchange -- a collaborative, distributed, trusted, and anonymized CTI sharing platform based on blockchain technology. TRADE uses a blockchain-based access control framework designed to provide essential features and requirements to incentivize and encourage organizations to share threat intelligence information. In TRADE, organizations can fully control their data by defining sharing policies enforced by smart contracts used to control and manage CTI sharing in the network. TRADE allows organizations to preserve their anonymity while keeping organizations fully accountable for their action in the network. Finally, TRADE can be easily integrated within existing threat intelligence exchange protocols - such as trusted automated exchange of intelligence information (TAXII) and OpenDXL, thereby allowing a fast and smooth technology adaptation.

研究の動機と目的

• サイバー脅威インテリジェンス（CTI）共有における信頼、プライバシー、匿名性、および貢献に対するインcentiveの欠如といった、重要な障壁を解決すること。
• 単一の信頼できる第三者に依存しない分散型でピアツーピアのCTI共有プラットフォームを設計すること。
• 組織がデータ制御と匿名性を維持しつつ、ブロックチェーン上の不変な監査ログにより責任を確保できること。
• TAXII や OpenDXL といった既存のCTI標準と統合し、実世界の環境でのシームレスな導入を可能にすること。
• 無料利用を防ぐために、レピュテーションとカーマを用いた非マネタイズ的インcentiveモデルを導入し、データ品質を保証すること。

提案手法

• TRADE は、偽名のアイデンティティを管理するアイデンティティブロックチェーンと、すべてのCTI共有行動を記録するトランザクション／アクティビティブロックチェーンからなるデュアルブロックチェーンアーキテクチャを採用している。
• スマートコントラクトが細かく粒度の高いアクセス制御ポリシーを強制し、データ提供者が誰がそのCTIにアクセスできるか、およびどのような条件下でアクセスできるかを定義できるようにしている。
• 一時的な偽名アイデンティティ（バッジ）を用いて送信者の匿名性を保ちつつ、ブロックチェーンアドレスに紐づけられたレピュテーションスコアによって責任を確保する。
• レピュテーションコントラクト（RPC）は、ピアの評価に基づいて多次元のレピュテーションプロファイルを割り当て・更新し、アクセス権限やデータの可視性に影響を与える。
• 法的契約メカニズムにより、利用条件を共有されたCTIに埋め込み、消費者がアクセスする前にデジタル署名を必要とすることで、準拠性と監査可能性を確保する。
• カーマベースのシステムにより、データ共有をインcentivizeする：組織は高品質な寄与に対してカーマを獲得し、外部のCTIにアクセスするにはそれを消費する必要がある。低レピュテーションの参加者は、重要なデータにアクセスできなくなる。

実験結果

リサーチクエスチョン

• RQ1 中央集権的な機関に依存せずに、匿名的でありながらも責任を伴うサイバー脅威インテリジェンス共有をブロックチェーンベースのシステムがどのように実現できるか。
• RQ2 分散型CTI共有ネットワークにおいて、プライバシー、匿名性、透明性、および責任のバランスを取るためのメカニズムは何か。
• RQ3 信頼できない匿名環境において、組織が高品質な脅威インテリジェンスを共有するインcentiveはどのように提供できるか。
• RQ4 TAXII や OpenDXL といった既存のCTI交換標準を、ブロックチェーンベースの共有プラットフォームにネイティブに統合する方法は何か。
• RQ5 レピュテーションおよびカーマシステムが、悪意あるまたは低品質な寄与を防ぎ、データ品質を維持するために果たす役割は何か。

主な発見

• TRADE は、レピュテーションスコアにリンクされた偽名アイデンティティを用いることで、匿名性と責任の両立に成功しており、貢献者は匿名のまま行動の責任を負う仕組みとなっている。
• カーマベースのアクセスモデルにより、無料利用（フリーライディング）のリスクが低減され、組織がCTIを消費する権利を得るには、まず貢献する必要がある。
• レピュテーションスコアはピアフィードバックに基づいて動的に更新され、低レピュテーションの組織は高機密性の脅威データにアクセスできなくなるため、データ品質が向上する。
• TAXII および OpenDXL との統合により、既存の組織の脅威インテリジェンスワークフローに影響を最小限に抑えながら、シームレスな展開が可能になった。
• アクセス制御および法的契約タグ付けにスマートコントラクトを用いることで、データ利用が事前に定義された条件に準拠しており、暗号的に監査可能であることが保証された。
• デュアルブロックチェーンモデルにより、ポリシーとバッジの再利用によってオーバーヘッドを最小限に抑え、ユーザー1人あたりの一時的アイデンティティ数を最小限に抑えることでスケーラビリティを設計した。