[논문 리뷰] Rethinking Information Sharing for Actionable Threat Intelligence

Aziz Mohaisen, Omar Alibrahim외 3명|arXiv (Cornell University)|2017. 02. 02.

Cryptography and Data Security참고 문헌 31인용 수 8

한 줄 요약

이 논문은 사용 및 위협 모델, 측정 가능한 위험, 프라이버시 보존, 지표 품질, 그리고 무료 승차 방지를 위한 메커니즘을 강조하는 프레임워크를 제안함으로써 가용 위협 인텔리전스를 위한 정보 공유를 재고한다. 데이터 차별성과 커뮤니티 구조를 활용하여 공유를 최적화하고, 지표 품질 평가를 위해 기계학습을 탐색함으로써, 위협 인텔리전스 공유 시스템의 효과성과 신뢰성 향상을 목표한다.

ABSTRACT

In the past decade, the information security and threat landscape has grown significantly making it difficult for a single defender to defend against all attacks at the same time. This called for introduc- ing information sharing, a paradigm in which threat indicators are shared in a community of trust to facilitate defenses. Standards for representation, exchange, and consumption of indicators are pro- posed in the literature, although various issues are undermined. In this paper, we rethink information sharing for actionable intelli- gence, by highlighting various issues that deserve further explo- ration. We argue that information sharing can benefit from well- defined use models, threat models, well-understood risk by mea- surement and robust scoring, well-understood and preserved pri- vacy and quality of indicators and robust mechanism to avoid free riding behavior of selfish agent. We call for using the differential nature of data and community structures for optimizing sharing.

연구 동기 및 목표

• 신뢰, 품질, 프라이버시, 인센티브 측면에서 현재의 위협 인텔리전스 공유의 한계를 해결하기 위해 신뢰할 수 없는 핵심 격차를 규명하는 것.
• 효과적인 공유를 이끌어내기 위해 잘 정의된 사용 및 위협 모델을 기반으로 정보 공유를 재고하는 것.
• 측정 가능한 위험, 강력한 프라이버시 보존, 고품질 지표의 필요성을 강조하여 실용적인 결과를 보장하는 것.
• 무료 승차 행동을 방지하기 위해 정직하고 시의적절한 기여를 유도하는 메커니즘을 도입하는 것.
• 데이터 차별성과 커뮤니티 구조가 공유 오버헤드와 효율성 최적화에 어떻게 기여할 수 있는지 탐색하는 것.

제안 방법

• 정의된 사용 및 위협 모델을 기반으로 일반적인 공유에서 모델 기반 공유로의 전환을 제안하여 데이터 교환을 이끌어내는 것.
• 공유의 이점과 노출 위험 간의 균형을 위해 측정 가능한 위험 평가의 필요성을 제기하는 것.
• 구조화된 공유 정책과 액세스 제어를 통해 프라이버시와 데이터 품질을 보존하는 것을 주장하는 것.
• 역사적 기여 데이터를 활용해 커뮤니티 구성원을 평가하는 것을 권장하지만, 거시적 수준의 평판 시스템은 경계하는 것.
• 유사한 알려진 지표에서 유추하여 레이블을 교차 검증하고, 기계학습을 통해 개별 지표의 품질을 평가하는 것을 제안하는 것.
• 공유 효율성 향상과 오버헤드 감소를 위해 데이터 특성의 차별성을 고려한 커뮤니티 모델링을 제안하는 것.

실험 결과

연구 질문

• RQ1 어떻게 정보 공유를 재구조화하여 공유된 지표가 실용적이고 시의적절한지 보장할 수 있는가?
• RQ2 사용 및 위협 모델은 효과적이고 안전한 위협 인텔리전스 공유를 이끄는 데 어떤 역할을 하는가?
• RQ3 고정밀도 위협 정보 교환을 가능하게 하면서도 프라이버시와 데이터 품질을 어떻게 보존할 수 있는가?
• RQ4 무료 승차를 방지하고 정직하고 고품질 기여를 유도하기 위한 메커니즘은 무엇인가?
• RQ5 기계학습은 커뮤니티 평판 이외의 방식으로 개별 위협 지표의 품질을 평가하는 데 어떻게 활용될 수 있는가?

주요 결과

• 지표의 품질—특히 시의성과 정확한 레이블링—은 실용적 인텔리전스의 핵심 결정 요소이지만, 현재 시스템에서는 여전히 잘 정의되지 않았고 평가되지 못하고 있다.
• 현재의 평판 기반 스코링 시스템은 전체 커뮤니티 구성원을 평가하기 때문에 개별 지표에 대한 평가가 부족하여, 혼합된 품질의 출력을 내는 기여자에게 불공평한 처벌을 초래한다.
• 지표 품질과 프라이버시 사이에는 강한 상관관계가 있다: 지나치게 익명화되거나 지연된 데이터는 유용성을 떨어뜨리지만, 과도한 프라이버시 보장은 적대자에게 운영 세부 정보를 노출시킬 수 있다.
• 기계학습 기법은 다양한 공급업체 간 레이블을 교차 검증하고, 기능 유사성에 기반해 알려지지 않은 지표의 레이블을 예측함으로써 지표 품질 평가에 기여할 수 있다.
• 데이터의 차별성과 커뮤니티 구조를 활용하면 보안이나 유용성에 손상을 주지 않으면서도 공유 오버헤드를 줄이고 효율성을 높일 수 있다.
• 사용, 위협, 위험 모델을 통합한 모델 기반 접근법은 위협 인텔리전스 공유의 효과성과 신뢰성 최적화에 필수적이다.