[논문 리뷰] Sludge for Good: Slowing and Imposing Costs on Cyber Attackers

Josiah Dykstra, Kelly Shortridge외 2명|arXiv (Cornell University)|2022. 11. 29.

Information and Cyber Security인용 수 5

한 줄 요약

이 논문은 '좋은 빗물'—사이버보안 전략으로, 공격자를 느리게 하고 자원 비용을 높이기 위해 의도적으로 혼란을 유도하며, 속임수와 선택 설계 원리를 활용한다. 공격 전, 중, 후 단계에 걸쳐 빗물을 적용함으로써 방어자는 공격자에게 측정 가능한 시간, 재정적, 운영적 비용을 부과하면서도 정상 사용자에게는 피해를 최소화할 수 있다.

ABSTRACT

Choice architecture describes the design by which choices are presented to people. Nudges are an aspect intended to make "good" outcomes easy, such as using password meters to encourage strong passwords. Sludge, on the contrary, is friction that raises the transaction cost and is often seen as a negative to users. Turning this concept around, we propose applying sludge for positive cybersecurity outcomes by using it offensively to consume attackers' time and other resources. To date, most cyber defenses have been designed to be optimally strong and effective and prohibit or eliminate attackers as quickly as possible. Our complimentary approach is to also deploy defenses that seek to maximize the consumption of the attackers' time and other resources while causing as little damage as possible to the victim. This is consistent with zero trust and similar mindsets which assume breach. The Sludge Strategy introduces cost-imposing cyber defense by strategically deploying friction for attackers before, during, and after an attack using deception and authentic design features. We present the characteristics of effective sludge, and show a continuum from light to heavy sludge. We describe the quantitative and qualitative costs to attackers and offer practical considerations for deploying sludge in practice. Finally, we examine real-world examples of U.S. government operations to frustrate and impose cost on cyber adversaries.

연구 동기 및 목표

• 높은 자원 효율성과 낮은 탐지 위험을 지닌 지속적인 사이버 악성 행위자들이 증가하는 도전에 대응하기 위해.
• 순수한 방어적, 차단 기반 전략에서 전환하여, 전략적 혼란을 통해 공격자에게 비용을 부과하는 보완 전략으로 전환하기 위해.
• 행동 경제학 원리—특히 '빗물'—를 재해석하여 사이버보안 분야에서 공격적으로 활용해 공격자 워크플로우를 방해할 수 있는 방법을 탐색하기 위해.
• 공격자에게 효과적이고 측정 가능하며 정상 사용자에게 최소한의 피해를 주는 빗물 메커니즘의 설계 및 평가 프레임워크를 제공하기 위해.
• 미국 정부 운영 사례 연구를 통해 실제 적용 가능성을 입증하기 위해.

제안 방법

• 행동 경제학에서 유래한 '선택 설계' 개념을 도입하여 사이버 방어를 의도적인 혼란의 시스템으로 재정의하기 위해.
• 지연, 복잡성, 인지 부담을 유도함으로써 공격자의 거래 비용을 높이는 전략적 도구로 '빗물'을 설계하기 위해.
• 허니팟, 가짜 자격 증명, 오해를 불러일으키는 시스템 행동과 같은 속임수 기법을 사용하여 공격자의 정찰 및 내부 이동을 늦추기 위해.
• 진짜 디자인 요소(예: 현실적이지만 가짜인 시스템 프롬프트)를 사용하여 신뢰성을 유지하면서도 공격자의 노력 증가를 유도하기 위해.
• 위협 수준과 운영 환경에 맞게 '경미한'(예: 지연된 응답)에서 '심각한'(예: 시뮬레이션된 시스템 장애)까지 빗물의 스펙트럼을 구축하기 위해.
• 시간적 손상 발생 시간, 탐지율, 공격자가 소비하는 자원 소비량 등의 정성적·정량적 지표를 통해 효과성 평가하기 위해.

실험 결과

연구 질문

• RQ1 공격 수명 주기 전반에 걸쳐 빗물을 전략적으로 배치하여 공격자 비용을 극대화하면서도 정상 사용자에게 피해를 최소화할 수 있는 방법은 무엇인가?
• RQ2 빗물이 공격자의 의사결정 및 지속 가능성에 영향을 미치는 행동적 및 심리적 메커니즘은 무엇인가?
• RQ3 빗물은 기존의 제로 트러스트 및 가로막힘 가정 기반 보안 모델과 어떻게 보완적 역할을 할 수 있는가?
• RQ4 실제 구현 사례인 제재 또는 공개 기밀 유출 등 빗물의 적용이 악성 행위자의 행동과 운영 비용에 어떤 영향을 미치는가?
• RQ5 조직적 요인과 인간적 요인이 사이버 운영 방해에 있어 빗물의 효과성에 어떤 영향을 미치는가?

주요 결과

• 빗물 전략은 공격자에게 측정 가능한 시간 및 자원 비용을 부과했으며, 제재와 재정적 혼란이 랜섬웨어 캠페인을 이미 둔화시킨 증거가 있다.
• 미국 정부의 운영, 특히 악성 소프트웨어에 대한 공개 기밀 유출 및 재정 제재는 공격자의 운영 복잡성과 위험을 증가시켜 악성 행위자의 운영을 방해했다.
• 2022년 초, 랜섬웨어 활동이 감소했으며, 이는 러시아 기반 악성 행위자들이 인프라 접근 및 금융 이체를 더 어렵게 한 제재 탓으로 부분적으로 기인했다.
• 허니파일 및 허니팟과 같은 속임수 기반 빗물은 정찰 및 내부 이동 단계에서 공격자를 지연시키고 혼란스럽게 하는 데 효과가 입증되었다.
• 빗물은 인지 편향과 내부 협업 실패(예: 책임 전가, 의사소통 단절)를 악용하여 공격 팀 간의 협업을 방해할 수 있다.
• 완전한 경고는 아니지만, 빗물은 공격의 기회 비용을 크게 증가시켜 특히 자원이 부족한 악성 행위자들에게는 일부 캠페인을 경제적으로 비합리적으로 만들며, 효과적인 방해 수단이 된다.