[논문 리뷰] Optimizing Active Cyber Defense

Wenlian Lu, Shouhuai Xu외 1명|arXiv (Cornell University)|2016. 03. 28.

Network Security and Intrusion Detection참고 문헌 23인용 수 4

한 줄 요약

이 논문은 최적 제어 이론과 게임 이론 모델을 활용하여 공격자와 방어자 간의 전략적 상호작용을 분석함으로써 최적의 능동적 사이버 방어 전략을 수립한다. 방어력 조정의 최적 조건을 도출하고, 다양한 비용 민감도 하에서의 나시 균형을 규명하며, 비용이 너무 높을 경우 방어자가 능동적 방어를 포기할 수 있고, 공격자가 비용이 지나치게 높을 경우 고급 공격 기법을 사용하지 않을 수 있음을 밝혀낸다.

ABSTRACT

Active cyber defense is one important defensive method for combating cyber attacks. Unlike traditional defensive methods such as firewall-based filtering and anti-malware tools, active cyber defense is based on spreading "white" or "benign" worms to combat against the attackers' malwares (i.e., malicious worms) that also spread over the network. In this paper, we initiate the study of {\em optimal} active cyber defense in the setting of strategic attackers and/or strategic defenders. Specifically, we investigate infinite-time horizon optimal control and fast optimal control for strategic defenders (who want to minimize their cost) against non-strategic attackers (who do not consider the issue of cost). We also investigate the Nash equilibria for strategic defenders and attackers. We discuss the cyber security meanings/implications of the theoretic results. Our study brings interesting open problems for future research.

연구 동기 및 목표

• 공격자와 방어자 간의 전략적 상호작용으로서 능동적 사이버 방어를 모델링하여 비전략적 모델을 넘어서는 것.
• 장기적 방어 비용을 최소화하고자 하는 방어자를 위한 무한 수명 주기 최적 제어를 조사하는 것.
• 방어 행동에 대해 선형 및 이차 비용 함수를 적용하여 네트워크 세그먼트를 가능한 한 빨리 점령하는 데 최소 비용을 요구하는 빠른 최적 제어 시나리오를 분석하는 것.
• 방어자와 공격자가 비용 고려 사항에 기반해 전략적으로 행동할 때의 나시 균형 전략을 규명하는 것.
• 이론적 결과의 사이버 보안 영향을 탐색하며, 특히 고급 방어 및 공격 도구의 사용과 관련된 사항을 다루는 것.

제안 방법

• 각 손상된 노드가 다른 노드를 균일하게 공격할 수 있는 동질적(균질적) 네트워크 모델을 수립한다.
• 무한 수명 주기 최적 제어 이론을 적용하여 초기 네트워크 상태와 비용 파rameter에 기반한 최적 방어력 궤적을 유도한다.
• 선형 및 이차 비용 함수를 적용한 방어 행동 하에서 점령 시간을 최소화하기 위해 빠른 최적 제어를 사용한다.
• 방어자와 공격자의 쌍방의 하미르톤-자비-벨만 방정식을 풀어 나시 균형 전략을 유도한다.
• 감지 비용과 복구 비용을 비교하기 위해 정규화 비율(kB, kR)을 도입하고, 시간 선호도를 모델링하기 위해 할인율 z를 사용한다.
• 특성 방정식의 근(FB(iB)=0 및 FR(iB)=0)를 분석하여 최적 제어 정책에서의 스위칭 행동을 규명한다.

실험 결과

연구 질문

• RQ1 전략적 방어자가 언제 능동적 사이버 방어를 사용해야 하고, 언제 다른 방어 방법으로 전환해야 하는가?
• RQ2 방어 비용의 형태(선형 대 이차)가 빠른 배치 시나리오에서 최적 제어 정책에 어떻게 영향을 미치는가?
• RQ3 방어자와 공격자가 모두 전략적이고 자신의 비용 제약 조건을 고려할 때의 균형 전략은 무엇인가?
• RQ4 비용 민감도 임계값(e.g., kBz > 1/4(a−b))이 능동적 방어나 공격을 강화하거나 중단할 것인지에 영향을 주는 방식은 무엇인가?
• RQ5 일부 또는 양측이 고급 도구(예: 제로데이 공격 또는 고급 방어 메커니즘) 사용을 꺼리게 되면 시스템 역학은 어떻게 변화하는가?

주요 결과

• 방어자의 비용 비율 kBz가 1/4(a−b)를 초과할 경우, 초기 네트워크 상태에 관계없이 방어자는 절대 능동적 방어를 사용하지 않을 것이다.
• 공격자가 매우 비용 민감할 경우(kRz > 1/4(a−b)), 공격자는 절대 능동적 공격 도구를 사용하지 않으며, 이로 인해 lim(t→∞) iB(t) = 1이 된다.
• 방어자와 공격자가 모두 매우 비용 회피적일 경우(kBz > 1/4(a−b) 및 kRz > 1/4(a−b)), 양측 모두 제어를 사용하지 않게 되며(ˆπB = ˆπR = 0), 정적 네트워크 상태가 된다.
• 양측 모두 중간 수준의 비용 민감도를 보일 경우, 시스템은 임계값 기반 행동을 보인다: 만약 방어자가 초기에는 소수의 부분만 점령하고 있으면(iB(0) < i1), 확대하지 않으며, 만약 상당한 부분을 점령하고 있으면(iB(0) > i2), 전면적으로 확대한다.
• 중간 초기 상태일 경우, 제어 입력이 특정 간격 내에서만 비영이 되는 동적 균형에 도달할 수 있으며, 이는 i3 < iB(0) < i4일 때 발생할 수 있고, 궤적이 안정점으로 수렴한다.
• 특성 방정식 FB(iB)=0 및 FR(iB)=0에 실근이 존재할 경우에만 제어 조치가 유도되며, 실근이 존재하지 않으면 제어를 사용하지 않는 것이 최적임을 의미한다.