[論文レビュー] TRIDEnT: Building Decentralized Incentives for Collaborative Security

Νικόλαος Αλεξόπουλος, Emmanouil Vasilomanolakis+3 more|arXiv (Cornell University)|May 9, 2019

Network Security and Intrusion Detection参考文献 42被引用数 4

ひとこと要約

TRIDEnT は、イーサリアムスマートコントラクトを用いて、信頼なしでインcentivized（報酬付き）な協働を可能にする、分散型のピアツーピアネットワークセキュリティアラート共有マーケットプレイスを提案する。ゲーム理論的モデルを通じて、協働が無限に繰り返されることが示され、完全に機能するプロトタイプが実装され、その実現可能性とインcentivization（報酬構造）が検証された。

ABSTRACT

Sophisticated mass attacks, especially when exploiting zero-day vulnerabilities, have the potential to cause destructive damage to organizations and critical infrastructure. To timely detect and contain such attacks, collaboration among the defenders is critical. By correlating real-time detection information (alerts) from multiple sources (collaborative intrusion detection), defenders can detect attacks and take the appropriate defensive measures in time. However, although the technical tools to facilitate collaboration exist, real-world adoption of such collaborative security mechanisms is still underwhelming. This is largely due to a lack of trust and participation incentives for companies and organizations. This paper proposes TRIDEnT, a novel collaborative platform that aims to enable and incentivize parties to exchange network alert data, thus increasing their overall detection capabilities. TRIDEnT allows parties that may be in a competitive relationship, to selectively advertise, sell and acquire security alerts in the form of (near) real-time peer-to-peer streams. To validate the basic principles behind TRIDEnT, we present an intuitive game-theoretic model of alert sharing, that is of independent interest, and show that collaboration is bound to take place infinitely often. Furthermore, to demonstrate the feasibility of our approach, we instantiate our design in a decentralized manner using Ethereum smart contracts and provide a fully functional prototype.

研究の動機と目的

• 共同侵入検知システム（CIDS）の実用的導入を妨げるインcentive（報酬）不足と信頼の欠如を解決すること。
• 組織がリアルタイムでセキュリティアラートを選択的に広告・購入・販売できる分散型プラットフォームを設計すること。
• ゲーム理論を用いて経済的インcentive（報酬）をモデル化・検証し、協働が持続可能であることを示すこと。
• イーサリアムスマートコントラクトを用いた完全に機能するプロトタイプを実装し、実現可能性を示すこと。
• TRIDEnT を、MISP などの既存の脅威インテリジェンスプラットフォームの下位インcentivization（報酬）レイヤーとして位置づけること。

提案手法

• イーサリアムスマートコントラクトを用いて、信頼なしの取引を保証するピアツーピアのストリーミングマーケットプレイスを設計し、セキュリティアラートを管理する。
• アラート共有のゲーム理論的モデルを実装し、戦略的インcentive（報酬）を分析し、合理的な行動のもとで協働が無限に繰り返されることが示された。
• レピュテーションシステムとストリーム再販防止対策を用いて、アラートの品質を保証し、悪用を防ぐ。
• MISP などの既存のプラットフォームをオーバーレイとして統合し、実世界での展開を可能にする。
• IPアドレスなどの機密情報を保護するためのデータ洗浄技術を採用する。
• Snortルール、ブルームフィルタ、機械学習モデルなど、さまざまなアラート形式をサポートするモジュラーなアーキテクチャを設計する。

実験結果

リサーチクエスチョン

• RQ1 競合する組織間で、分散型で信頼なしのセキュリティアラートマーケットプレイスが、長期的な協働を維持できるか？
• RQ2 フリーライダーを防ぎ、アラート共有への積極的参加を保証するための経済的インcentive（報酬）はどのように設計できるか？
• RQ3 合理的な参加者が、裏切りを避けて繰り返し協働する条件は何か？
• RQ4 中央管理者が存在しない分散型システムにおいて、アラートの品質と信頼性をどのように維持できるか？
• RQ5 スマートコントラクトベースのシステムは、大規模かつリアルタイムなピアツーピアのセキュリティアラート交換を効果的に管理できるか？

主な発見

• ゲーム理論的モデルにより、合理的で自己利益志向の行動のもとで、アラート共有における協働が無限に繰り返されることが証明され、インcentivization（報酬）メカニズムの長期的持続可能性が裏付けられた。
• イーサリアムスマートコントラクトを用いたプロトタイプ実装により、TRIDEnTの設計がリアルタイムで分散型のアラート交換に実現可能であることが示された。
• TRIDEnT は、中央管理者を必要とせず、選択的でピアツーピアのアラート共有を可能にし、信頼とプライバシーの懸念を低減する。
• システムは、Snort形式のルール、ブルームフィルタ、機械学習モデルなど、さまざまなアラートフォーマットをサポートしており、検出能力を強化する。
• MISP などの既存の脅威インテリジェンスプラットフォームの上位にインcentivization（報酬）レイヤーとして統合可能であり、コア機能を置き換えることなく採用を促進できる。
• モデルは、ストリーム再販のリスクを特定しており、生産環境では追加の緩和戦略が必要となる可能性がある。