[논문 리뷰] Modelling the costs and benefits of Honeynets

Maximillian Dornseif, Sascha May|ArXiv.org|2004. 06. 28.

ICT Impact and Policies참고 문헌 2인용 수 6

한 줄 요약

이 논문은 허니넷을 구축할 때의 비용과 이점, 특히 정식 공격자로부터 확보한 정보의 가치와 대비하여 기반 비용 및 유지보수 비용을 평가하기 위한 경제 모델을 제안한다. 분석 결과, 유지보수 투자가 탐지 가능성을 높일 경우 허니넷은 가장 유익한데, 이는 공격자 정보의 높은 가치가 낮은 공격 빈도와 불확실한 유용성으로 인해 상당 부분 상쇄되기 때문이다.

ABSTRACT

For many IT-security measures exact costs and benefits are not known. This makes it difficult to allocate resources optimally to different security measures. We present a model for costs and benefits of so called Honeynets. This can foster informed reasoning about the deployment of honeynet technology.

연구 동기 및 목표

• 허니넷 배포에 대한 정량적 분석 부족 문제를 해결하기 위해 경제적 트레이드오프를 모델링한다.
• 조직의 허니넷 타당성에 영향을 주는 주요 비용 및 수익 요인을 규명한다.
• 허니넷 배포의 순유용도를 극대화하는 데 최적의 유지보수 투자 수준을 결정한다.
• 허니넷이 정보 확보를 넘어서 실질적인 보안 이점을 제공하는지 평가한다.
• 탐지 및 비용 구조에 대한 현실적인 가정 하에 공격자 행동과 허니넷 반응을 모델링한다.

제안 방법

• 비용을 c(t) = S + Mt로 형식화하며, 여기서 S는 기반 비용이고 M은 단위시간당 유지보수 비용이다.
• 유용도를 u(t) = Pt(M/I)로 모델링하며, P는 한 건의 정식 공격으로부터 확보한 정보의 가치를 나타내고, I는 유지보수의 영향으로 공격 빈도가 어떻게 변화하는지를 반영한다.
• 공격자가 단위시간당 고정된 비용을 지불하고, 허니넷을 탐지할 경우(시간 td에서) 공격을 종료한다고 가정한다.
• 투명한 라우팅 및 탐지 문제를 해결하지 못한 상태이므로 공격적인 허니넷은 배제한다.
• 허니넷의 변조 가능성 없음과 단위시간당 고정된 공격 비용을 가정하는 단순화된 공격자 모델을 적용한다.
• 비교 곡선 분석을 사용한다: 수익성이 있는 경우 유용도 곡선 u(t)가 비용 곡선 c(t)를 초과한다.

실험 결과

연구 질문

• RQ1 허니넷을 구축하고 운영할 때의 주요 비용 구성 요소는 무엇이며, 시간이 지남에 따라 어떻게 변화하는가?
• RQ2 정식 공격자로부터 확보한 정보의 경제적 가치는 무엇이며, 유지보수 투자에 따라 어떻게 변하는가?
• RQ3 유지보수 투자가 증가할 경우 정식 공격자를 유치할 가능성은 어떻게 변화하며, 이러한 투자의 수익은 어떠한가?
• RQ4 허니넷 배포의 유용도가 총 비용을 초과하는 조건은 무엇인가?
• RQ5 공격자 탐지 및 공격 종료 행동은 허니넷 운영의 총비용-이점 균형에 어떻게 영향을 주는가?

주요 결과

• 모델은 유용도 곡선 u(t)가 비용 곡선 c(t)를 초과할 때에만 허니넷 배포가 수익성을 가지며, 이는 정보 가치(P)와 유지보수(M)가 공격 빈도(I)에 미치는 영향에 따라 달라진다.
• 기반 비용(S)은 비교적 쉽게 추정할 수 있지만, 정보 가치(P)는 기술적으로는 높지만 실질적인 유용성은 낮으며, 특히 낮은 수준의 공격에 대해서는 더욱 그렇다.
• 유지보수 투자가 공격 빈도를 증가시키는 요소 I는 실질적으로 낮을 것으로 추정되며, 이는 높은 유지보수 투자로도 공격 수량의 증가가 미미할 수 있음을 의미한다.
• 허니넷은 무식하거나 자동화된 공격자로부터 데이터를 확보하는 데 가장 효과적이며, 숙련된 공격자는 빠르게 허니넷을 탐지하고 포기함으로써 데이터 확보의 한계가 있다.
• 모델은 공격자가 탐지 시점(td)에 공격을 종료한다고 가정하며, 이는 분석을 단순화하지만 실제 세계에서는 허니넷이 악용될 수 있다는 점을 반영하지 못한다.
• 논문은 허니넷이 유용한 위협 정보를 제공할 수는 있지만, 낮은 공격 빈도와 불확실한 유용성으로 인해 경제적 타당성이 제한되어 있으며, 특히 연구 목적 이외의 조직에서는 더욱 그렇다고 결론을 내린다.