[논문 리뷰] Deception by Design: Evidence-Based Signaling Games for Network Defense

Jeffrey Pawlick, Quanyan Zhu|arXiv (Cornell University)|2015. 03. 16.

Game Theory and Applications인용 수 43

한 줄 요약

이 논문은 환경적 탐지 전략을 고려한 혼합 전략적 위협 모델을 제안하며, 허니팟을 통한 위협 탐지 능력이 전략적 상호작용에 미치는 영향을 게임 이론적으로 분석한다. 이는 탐지 능력이 오히려 위협을 감추는 방어자의 유용성을 증가시킬 수 있음을 보여주며, 기존의 탐지 기반 방어 전략에 대한 통념을 도전한다.

ABSTRACT

Deception plays a critical role in the financial industry, online markets, national defense, and countless other areas. Understanding and harnessing deception - especially in cyberspace - is both crucial and difficult. Recent work in this area has used game theory to study the roles of incentives and rational behavior. Building upon this work, we employ a game-theoretic model for the purpose of mechanism design. Specifically, we study a defensive use of deception: implementation of honeypots for network defense. How does the design problem change when an adversary develops the ability to detect honeypots? We analyze two models: cheap-talk games and an augmented version of those games that we call cheap-talk games with evidence, in which the receiver can detect deception with some probability. Our first contribution is this new model for deceptive interactions. We show that the model includes traditional signaling games and complete information games as special cases. We also demonstrate numerically that deception detection sometimes eliminate pure-strategy equilibria. Finally, we present the surprising result that the utility of a deceptive defender can sometimes increase when an adversary develops the ability to detect deception. These results apply concretely to network defense. They are also general enough for the large and critical body of strategic interactions that involve deception.

연구 동기 및 목표

• 허니팟 배치에 중점을 두어 게임 이론을 활용해 네트워크 방어에서의 전략적 위협을 모델링하는 것.
• 허니팟 탐지 기술의 출현이 위협적 상호작용에서의 균형 결과에 어떻게 영향을 미치는지 분석하는 것.
• 전략적이고 인센티브 기반 프레임워크에서 위협과 탐지 간의 역동적 상호작용을 포괄하는 메커니즘을 설계하는 것.
• 위협 탐지가 위협을 감추는 방어자의 유용성을 감소시키는 것이 아니라 향상시킬 수 있는지, 그리고 어떻게 가능한지 탐구하는 것.

제안 방법

• 수신자가 메시지 수신 후 확률적 자연의 움직임으로서 위협 탐지를 모델링하는 증거 기반 신호 게임을 정형화한다.
• 수신자가 일부 확률로 위협을 탐지할 수 있도록 허용하는 증거를 통합함으로써 기존의 저비용 대화 게임을 확장한다.
• 다양한 탐지 확률 조건 하에서 균형 결과를 분석하며, 극단적 경우(무의미한 탐지 또는 전지적 탐지)를 포함한다.
• 탐지가 완벽하지도 않고 존재하지도 않는 경우의 균형 행동을 평가하기 위해 수치 시뮬레이션을 사용한다.
• 기존의 허니팟 방어 연구에서 유도된 유용성 함수를 활용하여 탐지 비용과 전략적 인centives를 통합한다.
• 기구 설계 원리를 적용하여 환경적 요인(예: 탐지 능력)이 전략적 결과에 미치는 영향을 모델링한다.

실험 결과

연구 질문

• RQ1 허니팟을 포함한 신호 게임에서 위협 탐지 기술의 도입이 균형 전략에 어떻게 영향을 미치는가?
• RQ2 증거 기반 탐지를 고려한 신호 게임에서 순수 전략 균형이 존재하는 조건은 무엇인가?
• RQ3 적대자가 위협 탐지 능력을 확보할 경우, 위협을 감추는 방어자가 더 높은 유용성을 달성할 수 있는가?
• RQ4 극단적인 탐지 조건 하에서 균형 결과가 어떻게 기존의 신호 게임이나 완전 정보 게임으로 분해되는가?
• RQ5 이 모델이 네트워크 방어에서 허니팟의 전략적 배치에 미치는 함의는 무엇인가?

주요 결과

• 탐지가 무의미하거나 전지적일 경우, 이 모델은 기존의 신호 게임과 완전 정보 게임을 특수한 경우로 일반화한다.
• 수치적 결과는 유형 분포가 중간 범위에 있을 경우 순수 전략 균형이 존재하지 않지만, 극단에 가까운 분포일 경우 존재함을 보여준다.
• 놀랍게도, 수신자가 위협을 탐지할 수 있는 능력이 위협을 감추는 방어자의 유용성을 증가시킬 수 있으며, 이는 탐지가 항상 위협 성공률을 낮춘다는 통념과는 정반대이다.
• 이 모델는 탐지 존재에 대응해 발신자와 수신자가 전략적으로 적응하는 방식을 포착하며, 탐지가 항상 억제 수 Mittel이 되는 것은 아니며, 균형 상태에서 악용될 수 있음을 보여준다.
• 이 프레임워크는 네트워크 방어를 넘어서 국경 통제, 광고, 국제 협상과 같이 위협이 전략적 역할을 하는 분야로도 일반화 가능하다.
• 자연의 움직임으로서 내재된 탐지 결과를 통합함으로써, 사이버 시스템에서의 위협과 반위협의 현실적이고 역동적인 표현이 가능해진다.