[논문 리뷰] SODEXO: A System Framework for Deployment and Exploitation of Deceptive Honeybots in Social Networks

Quanyan Zhu, Andrew Clark외 2명|arXiv (Cornell University)|2012. 07. 24.

Network Security and Intrusion Detection참고 문헌 20인용 수 5

한 줄 요약

SODEXO는 소셜 네트워크에 속임수를 둔 허니봇을 투입하여 봇넷을 침투하고 모니터링하는 능동적 사이버 방어 프레임워크이다. 상호작용을 스택엘베르크 게임으로 모델링하고 볼록 최적화를 사용하여 투입함으로써, 봇넷 인구를 크게 감소시킨다—100만 명의 사용자가 있는 네트워크에서 단 25개의 허니봇만으로도 대규모 악성 소프트웨어 확산을 크게 억제할 수 있음을 입증한다.

ABSTRACT

As social networking sites such as Facebook and Twitter are becoming increasingly popular, a growing number of malicious attacks, such as phishing and malware, are exploiting them. Among these attacks, social botnets have sophisticated infrastructure that leverages compromised users accounts, known as bots, to automate the creation of new social networking accounts for spamming and malware propagation. Traditional defense mechanisms are often passive and reactive to non-zero-day attacks. In this paper, we adopt a proactive approach for enhancing security in social networks by infiltrating botnets with honeybots. We propose an integrated system named SODEXO which can be interfaced with social networking sites for creating deceptive honeybots and leveraging them for gaining information from botnets. We establish a Stackelberg game framework to capture strategic interactions between honeybots and botnets, and use quantitative methods to understand the tradeoffs of honeybots for their deployment and exploitation in social networks. We design a protection and alert system that integrates both microscopic and macroscopic models of honeybots and optimally determines the security strategies for honeybots. We corroborate the proposed mechanism with extensive simulations and comparisons with passive defenses.

연구 동기 및 목표

• 반응형 블랙리스트 기반 방어의 한계를 해결하기 위해, 높은 탐지 지연과 낮은 정확도 문제를 겪는 소셜 봇넷에 대비한 방어 수단을 개선한다.
• 감염된 사용자를 모방하는 속임수 허니봇을 사용하여 봇넷에 침투하고 정보를 수집하는 능동적 방어 메커니즘을 설계한다.
• 게임 이론을 활용해 봇마스터와 허니봇 간의 전략적 상호작용을 모델링하고, 최대 정보 확보를 위한 허니봇 투입 전략을 최적화한다.
• 미세 및 거시 수준의 모델을 통합하여 실시간으로 봇넷 행동에 적응하는 Protection and Alert System (PAS)을 개발한다.
• 모의 실험을 통해 소규모 허니봇 투입으로도 봇넷 인구가 크게 감소하는 것을 검증한다.

제안 방법

• 감염, 해소, 허니봇 침투 비율을 고려한 봇넷 인구 성장 및 감소의 동적 모델을 수립한다.
• 투입 비용을 최소화하면서 정보 확보를 극대화하는 최적의 허니봇 수를 결정하기 위해 볼록 최적화를 사용한다.
• 실행 단계를 스택엘베르크 게임으로 모델링하여 봇마스터가 선도하고 허니봇이 정보 수집과 네트워크 영향을 균형 있게 고려해 전략적으로 반응하도록 한다.
• 스택엘베르크 균형 개념에 기반해 봇마스터와 허니봇의 최적 전략에 대한 폐쇄형 해를 유도한다.
• 실시간 행동 피드백을 Protection and Alert System (PAS)에 통합하여 파rameter를 업데이트하고 동적으로 투입 전략을 적응시킨다.
• 개별 노드 행동(미세 수준)과 인구 수준의 동적 변화(거시 수준)를 조합한 하이브리드 모델을 사용하여 견고한 의사결정을 수행한다.

실험 결과

연구 질문

• RQ1 소셜 네트워크에 허니봇을 최적의 전략으로 투입하여 정보 수집을 극대화하면서도 비용과 탐지 가능성을 최소화할 수 있는 방법은 무엇인가?
• RQ2 허니봇 투입이 감염된 사용자 및 봇넷의 장기적 인구 동태에 미치는 영향는 어떠한가?
• RQ3 봇마스터와 허니봇 간의 전략적 상호작용은 속임수 기반 방어의 효과성에 어떤 영향을 미치는가?
• RQ4 스케일프리 정도 분포와 같은 네트워크 이질성은 봇넷의 확산과 통제에 어떤 영향을 미치는가?
• RQ5 블랙리스트 기반 수동 방어 대비, 제안된 시스템은 탐지 속도와 억제 효율성 측면에서 어떤 차이를 보이는가?

주요 결과

• 소규모의 허니봇—최소 25개—만으로도 100만 노드 규모의 소셜 네트워크에서 감염자 인구를 크게 감소시킬 수 있으며, 낮은 밀도로 투입되어도 성능이 유지된다.
• 허니봇 투입 비용이 낮아질수록 최적의 허니봇 수가 증가하지만, 전체 네트워크 크기 대비로 보면 여전히 매우 작아 높은 효율성을 보인다.
• 모의 실험 결과, 블랙리스트 기반 수동 방어보다 허니봇 투입이 봇넷 인구 감소에 더 효과적으로 작용하며, 블랙리스트 업데이트 평균 지연 25일 동안의 지연 문제를 고려할 때 더욱 뚜렷한 성능 향상을 보인다.
• 스택엘베르크 게임 모델은 정보 수집과 네트워크 영향 간의 전략적 트레이드오프를 성공적으로 포착하여 해석 가능한 최적 전략을 도출한다.
• 스케일프리 정도 분포와 같은 이질적 네트워크 구조는 평균 정도가 유사하더라도 봇넷의 확산 속도에 상당한 영향을 미친다.
• Protection and Alert System (PAS)은 관찰된 봇넷 행동에 효과적으로 적응하여 실시간 전략 업데이트와 방어 반응성 향상을 가능하게 한다.