[논문 리뷰] Cyber Deception for Computer and Network Security: Survey and Challenges

Zhuo Lu, Cliff Wang외 1명|arXiv (Cornell University)|2020. 07. 28.

Network Security and Intrusion Detection참고 문헌 41인용 수 13

한 줄 요약

이 논문은 사이버 위협에 대응하는 능동적 사이버 방어 수단으로서 사이버 속임수 기법에 대한 종합적인 설문 조사와 분석을 제시하며, 게임 이론적 모델링, 네트워크 수준의 속임수, 호스트 시스템 내부의 속임수, 암호 기반 접근법으로 나누어 속임수 전략을 분류한다. 관찰 가능성, 제어 가능성, 사용성, 이동 대상 방어(MTD)와의 통합 등 핵심 과제를 밝히며, 속임수 기반 보안의 과학적 기반을 구축하기 위해 다학제적 연구를 촉구한다.

ABSTRACT

Cyber deception has recently received increasing attentions as a promising mechanism for proactive cyber defense. Cyber deception strategies aim at injecting intentionally falsified information to sabotage the early stage of attack reconnaissance and planning in order to render the final attack action harmless or ineffective. Motivated by recent advances in cyber deception research, we in this paper provide a formal view of cyber deception, and review high-level deception schemes and actions. We also summarize and classify recent research results of cyber defense techniques built upon the concept of cyber deception, including game-theoretic modeling at the strategic level, network-level deception, in-host-system deception and cryptography based deception. Finally, we lay out and discuss in detail the research challenges towards developing full-fledged cyber deception frameworks and mechanisms.

연구 동기 및 목표

• 고도의 사이버 공격에 대응하는 능동적 방어 수단으로서 사이버 속임수를 공식적으로 이해할 수 있는 프레임워크를 제공하기 위해.
• 전략적, 네트워크 수준, 호스트 수준, 암호 기반 접근법 등 다양한 분야에서 최근의 속임수 기반 사이버 방어 기법을 분류하고 요약하기 위해.
• 관찰 가능성, 제어 가능성, 사용성, 이동 대상 방어(MTD)와의 통합 등 주요 연구 과제를 식별하고 분석하기 위해.
• 제어 이론, 인지 과학, 보안을 융합한 다학제적 연구를 통해 사이버 속임수의 과학적 기반을 구축하기 위해.
• 강력하고 확장 가능하며 사용자 친화적인 속임수 프레임워크 개발을 위한 열린 문제와 연구 방향을 제시함으로써 향후 연구를 이끌기 위해.

제안 방법

• 세 단계로 구성된 단일 라운드 속임수 모델을 제안한다: 속임수 기획(속임수 목표 및 편향된 정보 설계), 속임수 구현(가짜 자료, 장치, 네트워크 트래픽 배치), 속임수 분석(공격자 행동 모니터링 및 효과성 측정).
• 속임수 기법을 네 가지 범주로 분류한다: 전략적 의사결정을 위한 게임 이론적 모델링, 가짜 라우팅과 트래픽을 이용한 네트워크 수준의 속임수, 가짜 시스템 파일과 서비스를 통한 호스트 시스템 내부의 속임수, 오버클로징과 가짜 키를 이용한 암호 기반 속임수.
• 속임수의 '관찰 가능성' 개념을 도입한다. 이는 방어자가 공격자 행동을 인지하고 측정할 수 있는 능력으로 정의되며, '제어 가능성'은 공격자를 잘못된 정서적 모델로 이끌 수 있는 능력으로 정의된다.
• 속임수 효과성은 탐지 및 방해 외에도 사용성 영향도 고려되어야 하며, 정상 사용자에게 최소한의 혼란을 초래하도록 해야 한다고 제안한다.
• 이동 대상 방어(MTD)와의 융합을 통해 시스템의 복잡성과 오도를 동시에 증가시켜 복원력을 향상시킬 것을 제안한다.
• 제어 이론과 인지 과학에 기반한 공식적 지표를 도입하여 관찰 가능성과 제어 가능성을 정량화하고, 속임수 기법의 체계적 평가를 가능하게 해야 한다고 권고한다.

실험 결과

연구 질문

• RQ1 공격자와 방어자 간의 상호작용을 다단계에 걸쳐 전략적 과정으로서 사이버 속임수를 어떻게 공식적으로 모델링할 수 있는가?
• RQ2 속임수 기반 사이버 방어의 핵심 기술 범주와 대표적인 기법은 무엇이며, 각각의 실행 방식과 효과성은 어떻게 다를 수 있는가?
• RQ3 제어 이론 원리를 활용하여 관찰 가능성과 제어 가능성을 어떻게 공식적으로 정의하고 측정할 수 있는가?
• RQ4 속임수 배치 시 사용성의 상충 관계는 무엇이며, 정상 사용자에게 혼란을 최소화할 수 있도록 속임수를 어떻게 설계할 수 있는가?
• RQ5 사이버 속임수를 어떻게 효과적으로 이동 대상 방어(MTD)와 융합하여 사이버 공격 체인 전반에서 최대 보호 효과를 낼 수 있는가?

주요 결과

• 사이버 속임수는 고도의 사이버 공격에 대응하는 유망한 능동적 방어 수단으로, 탐지 및 계획 단계에서 공격자를 방해함으로써 이후 공격의 효과를 감소시킬 수 있다.
• 속임수 기법은 게임 이론적 모델링, 네트워크 수준의 속임수, 호스트 수준의 속임수, 암호 기반 속임수로 크게 분류되며, 각각 다른 공격 표면을 대응한다.
• 관찰 가능성과 제어 가능성은 속임수 효과성의 핵심 지표이지만, 현재 연구에서는 공식적인 정의와 정량화 방법이 여전히 부족한 상황이다.
• 사용성은 주요 고려 사항이다: 속임수는 정상 사용자를 혼란스럽게 하거나 방해하지 않도록 신중히 설계되어야 하지만, 현재까지는 속임수 기법의 사용성 영향을 측정하는 표준 지표가 존재하지 않는다.
• 속임수를 이동 대상 방어(MTD)와 융합하면 시스템의 복잡성과 오도를 동시에 증가시켜 보안을 강화할 수 있으며, 최근 연구에서는 네트워크 흐름 추론 방해에 성공한 바 있다.
• 컴퓨터 보안, 제어 이론, 인지 과학을 아우르는 다학제적 연구가 상당히 필요하며, 이를 통해 속임수 모델을 공식화하고 확장 가능하며 효과적인 속임수 프레임워크를 구축할 수 있다.