[논문 리뷰] Markov Game Modeling of Moving Target Defense for Strategic Detection of Threats in Cloud Networks

Ankur Chowdhary, Sailik Sengupta외 2명|arXiv (Cornell University)|2018. 12. 23.

Network Security and Intrusion Detection참고 문헌 17인용 수 20

한 줄 요약

이 논문은 공격 그래프와 CVSS 점수를 활용하여 보안과 성능의 균형을 이루는 클라우드 네트워크에서 침입 탐지 시스템(IDS)의 배치를 최적화하는 제로섬 마르코프 게임 모델을 제안한다. 이 방법은 혼합 최소-최대 균형 전략을 계산하여 단일 단계 공격 탐지 모델과 정적 배치 방식에 비해 다단계 공격 탐지 성능을 뛰어나게 하며, 성능 저하를 최소화한다.

ABSTRACT

The processing and storage of critical data in large-scale cloud networks necessitate the need for scalable security solutions. It has been shown that deploying all possible security measures incurs a cost on performance by using up valuable computing and networking resources which are the primary selling points for cloud service providers. Thus, there has been a recent interest in developing Moving Target Defense (MTD) mechanisms that helps one optimize the joint objective of maximizing security while ensuring that the impact on performance is minimized. Often, these techniques model the problem of multi-stage attacks by stealthy adversaries as a single-step attack detection game using graph connectivity measures as a heuristic to measure performance, thereby (1) losing out on valuable information that is inherently present in graph-theoretic models designed for large cloud networks, and (2) coming up with certain strategies that have asymmetric impacts on performance. In this work, we leverage knowledge in attack graphs of a cloud network in formulating a zero-sum Markov Game and use the Common Vulnerability Scoring System (CVSS) to come up with meaningful utility values for this game. Then, we show that the optimal strategy of placing detecting mechanisms against an adversary is equivalent to computing the mixed Min-max Equilibrium of the Markov Game. We compare the gains obtained by using our method to other techniques presently used in cloud network security, thereby showing its effectiveness. Finally, we highlight how the method was used for a small real-world cloud system.

연구 동기 및 목표

• 대규모 클라우드 네트워크에서 정적 및 단일 단계 공격 탐지 모델의 한계를 해결한다.
• 성능 영향을 최소화하면서 다단계 공격 탐지를 최대화할 수 있도록 IDS 배치를 최적화한다.
• 동일한 호스트에 다수의 IDS를 설치함으로써 발생하는 비대칭적 성능 저하 문제를 해결한다.
• 실제 취약성 데이터(CVE)와 보안 점수(CVSS)를 게임 이론 프레임워크에 통합하여 전략적 방어를 구현한다.
• 장기적 공격 경로와 시스템 자원 제약 조건을 고려한 확장 가능하고 동적 방어 전략을 개발한다.

제안 방법

• 공격 그래프에서 유도된 서브네트워크를 상태로 하는 마르코프 게임으로 클라우드 네트워크를 모델링한다.
• 공격자 행동을 NVD의 알려진 CVE에서 유도된 악용 시퀀스로 정의하고, 수비자 행동을 취약한 노드에 대한 IDS 설치로 정의한다.
• 공통 취약성 점수 시스템(CVSS)을 사용하여 악용 영향과 심각도를 반영하는 유틸리티 값을 할당한다.
• 혼합 최소-최대 균형을 계산하기 위해 게임을 제로섬 마르코프 게임으로 설정하여 최적의 IDS 배치 전략을 도출한다.
• 장기적 공격 결과를 모델링하기 위해 할인 요소를 사용하며, 전략은 게임의 시간적 범위에 따라 조정된다.
• 특정 상태당 제한된 수의 IDS 설치를 보장하여 어떤 호스트의 성능 저하도 방지하고, 균형 잡힌 자원 사용을 유지한다.

실험 결과

연구 질문

• RQ1 마르코프 게임 모델은 실세계의 취약성 심각도(CVSS)를 고려하면서도 클라우드 네트워크에서 다단계 공격을 효과적으로 표현할 수 있는가?
• RQ2 최소-최대 균형에서 유도된 최적의 IDS 배치 전략은 정적 및 무작위 배치 전략에 비해 탐지 효과성에서 어떻게 비교되는가?
• RQ3 다른 방어 전략을 사용할 경우, 네트워크 서브넷 간 IDS 설치의 성능 영향은 어느 정도로 다양해지는가?
• RQ4 모델링된 서브네트워크의 크기와 할인 요소는 마르코프 게임에서 수비자의 유틸리티에 어떤 영향을 미치는가?
• RQ5 제안된 방법은 알려진 취약성과 공격 경로를 가진 실세계 클라우드 시스템에 효과적으로 적용될 수 있는가?

주요 결과

• 마르코프 게임에서 유도된 최적의 혼합 전략은 수비자 유틸리티 측면에서 정적 및 균일한 무작위 IDS 배치 전략을 모두 능가했다.
• 더 큰 서브네트워크와 높은 할인 요소일수록 개선 폭이 커져 장기적 전략적 우위가 뚜렷하게 드러났다.
• 동일한 호스트에 다수의 IDS를 설치하는 순수 전략을 피하는 방식으로 성능 저하를 방지하였으며, 균형 잡힌 자원 사용을 확보했다.
• Debian 및 CentOS 6 가상 머신을 포함한 실세계 시나리오에서, 할인 요소가 1에 가까워질수록 마르코프 게임 전략은 랜덤 배치 전략보다 높은 수비자 유틸리티를 달성했다.
• 공격 그래프를 사용하여 순차적 악용 체인을 모델링함으로써 다단계 공격 경로, 특히 데이터 유출 및 서비스 장애를 효과적으로 탐지했다.
• 이 형식은 성능 제약 조건을 준수하면서도 고영향도 취약성 탐지를 최대화하는 확장 가능하고 동적 IDS 배치를 가능하게 하였다.