[논문 리뷰] A Taxonomy for Dynamic Honeypot Measures of Effectiveness

Jason M. Pittman, Kyle Hoffpauir외 2명|arXiv (Cornell University)|2020. 05. 26.

Complex Systems and Time Series Analysis참고 문헌 10인용 수 5

한 줄 요약

이 논문은 동적 해저포트의 효과성 측정을 위한 종합적인 분류 체계를 제안하여, 환경 지문 분석, 공격자 활동 기록, 공격자 기만, 자기 모니터링 등에서의 성능을 정량적으로 평가할 수 있도록 한다. 이 프레임워크는 실행 품질과 효과성을 평가하기 위한 체계적인 지표를 제공하며, 해저포트 연구 분야에서 중요한 격차를 메우고, 배포 신뢰성과 보안가치를 향상시킨다.

ABSTRACT

Honeypots are computing systems used to capture unauthorized, often malicious, activity. While honeypots can take on a variety of forms, researchers agree the technology is useful for studying adversary behavior, tools, and techniques. Unfortunately, researchers also agree honeypots are difficult to implement and maintain. A lack of measures of effectiveness compounds the implementation issues specifically. In other words, existing research does not provide a set of measures to determine if a honeypot is effective in its implementation. This is problematic because an ineffective implementation may lead to poor performance, inadequate emulation of legitimate services, or even premature discovery by an adversary. Accordingly, we have developed a taxonomy for measures of effectiveness in dynamic honeypot implementations. Our aim is for these measures to be used to quantify a dynamic honeypot's effectiveness in fingerprinting its environment, capturing valid data from adversaries, deceiving adversaries, and intelligently monitoring itself and its surroundings.

연구 동기 및 목표

• 동적 해저포트 효과성 평가를 위한 표준화된 지표 부족 문제를 해결하기 위해.
• 현재 측정되지 않거나 일관성 없이 측정되는 해저포트 성능의 핵심 차원을 규명하기 위해.
• 동적 해저포트 성공을 위한 측정 가능한 지표의 체계적이고 확장 가능한 분류 체계를 개발하기 위해.
• 데이터 기반 평가를 통해 더 나은 설계, 배포 및 유지보수를 지원하기 위해.
• 실제 위협 인텔리전스 및 사이버보안 연구 분야에서 해저포트의 신뢰성과 유용성을 향상시키기 위해.

제안 방법

• 저자들은 환경 지문 분석, 공격자 데이터 캡처, 기만 효과성, 자기 모니터링의 네 가지 핵심 효과성 차원을 정의한다.
• 각 차원에 대해 탐지 지연, 데이터 정합성, 가짜 경고 비율 등 구체적이고 측정 가능한 특성들을 식별한다.
• 측정 가능한 하위지표를 포함한 계층적 분류 체계를 제안하여 정성적 및 정량적 평가 모두를 가능하게 한다.
• 프레임워크는 확장 가능하도록 설계되어 기존 해저포트 시스템 및 향후 위협 모델링과의 통합을 가능하게 한다.
• 성능 오버헤드와 공격자 탐지 저항성과 같은 실제 운영 제약 조건에 기반한 지표들이 제시된다.
• 기존 해저포트 문헌과 구현 패턴 분석을 통해 분류 체계가 검증된다.

실험 결과

연구 질문

• RQ1 동적 해저포트의 효과성을 핵심 운영 차원 전반에서 체계적으로 측정하는 방법은 무엇인가?
• RQ2 해저포트가 환경을 정확하게 지문 분석할 수 있는 능력을 평가하기 위해 필요한 특정 지표는 무엇인가?
• RQ3 공격자 참여와 행동 조작 측면에서 기만 효과를 어느 정도 정량화할 수 있는가?
• RQ4 장기적인 운영 내구성을 확보하기 위해 자기 모니터링 및 시스템 무결성을 어떻게 측정할 수 있는가?
• RQ5 현재 해저포트 연구에서 부족한 공통 지표는 무엇이며, 이를 통해 배포 및 평가를 어떻게 향상시킬 수 있는가?

주요 결과

• 분류 체계는 환경 지문 분석, 데이터 캡처, 기만, 자기 모니터링의 네 가지 핵심 영역에서 동적 해저포트를 다차원적으로 평가할 수 있는 체계적인 프레임워크를 제공한다.
• 저자들은 네 가지 차원에 걸쳐 22개의 별도 지표를 규명하여 표준화된 평가 기반을 마련한다.
• 프레임워크는 해저포트 구현의 정성적 평가와 정량적 벤치마킹을 모두 가능하게 한다.
• 분류 체계는 낮은 서비스 모의 구현 또는 높은 가짜 경고 비율과 같은 초기 구현 결함 탐지를 지원한다.
• 연구는 기존 연구에서 심각한 격차를 드러내며, 효과성 측정에 대한 공감대 형성 또는 표준화 부족을 확인한다.
• 제안된 분류 체계는 변화하는 해저포트 아키텍처와 위협 환경에 적응 가능하고 확장 가능한 특성을 지닌다.