[논문 리뷰] Attack--Defense Trees and Two-Player Binary Zero-Sum Extensive Form Games Are Equivalent - Technical Report with Proofs

Barbara Kordy, Sjouke Mauw외 2명|arXiv (Cornell University)|2010. 06. 14.

Information and Cyber Security참고 문헌 7인용 수 12

한 줄 요약

이 논문은 공격-방어 트리(ADTerms)와 이인자 이진 0-합 게임 간의 형식적 동치성을 확립하며, 만족 가능성 측면에서 동일한 표현 능력을 가짐을 보여준다. 저자들은 ADTerms와 게임 간 双방향 매핑을 정의하여 결과와 구조적 관계를 유지함으로써, 보안 모델링에 게임이론적 분석을 적용하면서도 직관적인 트리 표현 방식을 유지할 수 있도록 한다.

ABSTRACT

Attack--defense trees are used to describe security weaknesses of a system and possible countermeasures. In this paper, the connection between attack--defense trees and game theory is made explicit. We show that attack--defense trees and binary zero-sum two-player extensive form games have equivalent expressive power when considering satisfiability, in the sense that they can be converted into each other while preserving their outcome and their internal structure.

연구 동기 및 목표

• 공격-방어 트리(ADTerms)와 이인자 이진 0-합 광역 형태 게임 간의 형식적 동치성을 확립하기.
• ADTerms 를 통한 보안 모델링에 잘 발달된 게임이론적 분석 기법을 적용할 수 있도록 하기.
• 특히 결합 노드와 정밀화에 관해 ADTerms 와 게임 간의 구조적 불일치를 해결하기.
• 두 형식 체계 간 변환 과정에서 결과와 내부 구조를 모두 유지하기.

제안 방법

• 공격자(p)와 방어자(o)를 위한 문장 연산자(논리합, 논리곱, 대응 조치 노드 포함)를 갖는 서명 위에서 ADTerms 를 타입화된 기초 용어로 정의한다.
• 게임의 구조 규칙을 사용하여 결합 노드, 확률 이동, 결과 노드를 각각 ADTerm 구성 요소로 변환함으로써 게임에서 ADTerms 로의 매핑을 구축한다.
• 서브용어를 게임의 부분수나무로 순환적으로 변환함으로써 ADTerms 에서 게임으로의 역매핑을 정의하며, 정밀화를 모델링하기 위해 가짜 이동을 도입한다.
• 기본 할당을 게임의 전략으로 매핑하기 위해 전략 변환 함수 J·KG 를 사용하여, 만족 가능성과 승리 결과가 일치하도록 보장한다.
• 어떤 플레이어가 게임에서 승리하는 것과 동치로, 해당 ADTerm 이 동일한 할당 하에 만족 가능할 때만 성립함을 증명한다.
• 일치하지 않는 요소—특히 결합 노드와 정밀화—는 등가의 이원 노드 또는 가짜 구조를 갖는 게임 구성 요소로 변환함으로써 처리한다.

실험 결과

연구 질문

• RQ1 결과와 구조를 보존하면서 공격-방어 트리를 이인자 광역 형태 게임으로 형식적으로 매핑할 수 있는가?
• RQ2 ADTerms 내의 결합 노드는 게임이론적 구성 요소로 어떻게 의미적으로 매핑될 수 있는가?
• RQ3 ADTerms 의 정밀화 메커니즘은 표현 능력을 잃지 않고 게임에 어떻게 표현될 수 있는가?
• RQ4 ADTerms 와 게임 간에 이중적이고 구조를 보존하는 변환이 존재하는가?
• RQ5 게임이론적 분석 기법은 ADTerm 기반 보안 모델에 의미적으로 적용될 수 있는가?

주요 결과

• ADTerms 와 이인자 이진 0-합 광역 형태 게임 간에 이중적 변환이 존재하며, 결과와 내부 구조를 모두 보존한다.
• 어떤 플레이어에 대해 ADTerm 이 만족 가능할 때이고 그때에만 해당 플레이어가 대응하는 게임에서 승리 전략을 갖는다.
• 한 플레이어의 결합 노드는 상대편의 이원 노드로 변환되어, 구조적 차이가 있음에도 불구하고 의미적 동치성을 유지한다.
• ADTerms 내의 정밀화는 상대편이 단일 선택지를 갖는 중간 가짜 이동을 통해 모델링되며, 논리적 흐름을 유지한다.
• 변환은 엄밀한 의미에서 역전환이 아니며, [[t]G]AD ≠ t 이고 [[t]AD]G ≠ t 이므로, 매핑이 서로의 역함수가 아님을 나타낸다.
• 동치성 덕분에 성숙한 게임이론적 분석 기법을 ADTerm 기반 보안 모델에 적용할 수 있게 되어, 형식적 검증과 전략적 추론이 향상된다.