[논문 리뷰] The Partially Observable Games We Play for Cyber Deception

Mohamadreza Ahmadi, Murat Cubuktepe외 4명|arXiv (Cornell University)|2018. 09. 28.

Network Security and Intrusion Detection참고 문헌 16인용 수 9

한 줄 요약

이 논문은 정보 비대칭을 악용하는 정교하고 적응적인 사이버 침입자에 대응하기 위한 강건한 위장 전략을 부분적으로 관찰 가능한 스토케스틱 게임(POSGs)에서 계산하기 위한 확장 가능한 이단계적 접근법을 제안한다. 여기서 방어자(위장자)는 완전한 관측 능력을 지니고 있고, 공격자(침투자)는 부분적 관측 능력을 지닌다. 매개변수화된 MDP를 통한 유한 메모리 침투 전략 합성과 강건한 정수선형계획문제를 푸는 방식으로, 이 방법은 이전 방법보다 더 큰 네트워크에서 최적의 위장 전략을 가능하게 하며, 12층 네트워크 모델에서 높은 확장성을 입증하였다. 최악의 경우 비용이 감소하였다.

ABSTRACT

Progressively intricate cyber infiltration mechanisms have made conventional means of defense, such as firewalls and malware detectors, incompetent. These sophisticated infiltration mechanisms can study the defender's behavior, identify security caveats, and modify their actions adaptively. To tackle these security challenges, cyber-infrastructures require active defense techniques that incorporate cyber deception, in which the defender (deceiver) implements a strategy to mislead the infiltrator. To this end, we use a two-player partially observable stochastic game (POSG) framework, wherein the deceiver has full observability over the states of the POSG, and the infiltrator has partial observability. Then, the deception problem is to compute a strategy for the deceiver that minimizes the expected cost of deception against all strategies of the infiltrator. We first show that the underlying problem is a robust mixed-integer linear program, which is intractable to solve in general. Towards a scalable approach, we compute optimal finite-memory strategies for the infiltrator by a reduction to a series of synthesis problems for parametric Markov decision processes. We use these infiltration strategies to find robust strategies for the deceiver using mixed-integer linear programming. We illustrate the performance of our technique on a POSG model for network security. Our experiments demonstrate that the proposed approach handles scenarios considerably larger than those of the state-of-the-art methods.

연구 동기 및 목표

• 정보 비대칭을 악용하는 정교하고 적응적인 사이버 침입자에 대응하기 위한 효과적인 사이버 위장 전략을 설계하는 데 도전하는 것.
• 방어자-침입자 상호작용을, 방어자가 전체 상태 관측 능력을 지닌 한편 침입자가 부분적 관측 능력을 지닌 이인자 한쪽 방향 POSG로 모델링하는 것.
• 모든 가능한 침입 전략에 대해 기대 위장 비용을 최소화하는 강건한 위장 전략을 계산하기 위한 실현 가능하고 확장 가능한 해법을 개발하는 것.
• 전체 POSG를 해결하는 데 있어 비현실적인 난이도를 극복하기 위해, 침입자에 대한 유한 메모리 전략에 초점을 맞추고, 매개변수화된 MDP 합성 기법을 사용하는 것.

제안 방법

• 방어자가 전체 관측 능력을 지닌 반면 침입자가 부분 관측 능력을 지닌 상황에서 사이버 위장 문제를 한쪽 방향 부분 관찰 가능한 스토케스틱 게임(POSG)으로 공식화하는 것.
• 볼록-볼록 최적화 접근법을 사용하여 침입 전략 합성 문제를 일련의 매개변수화된 마르코프 결정과정(pMDP) 합성 문제로 환원하는 것.
• 침입자가 기대 비용을 낮게 유도하는 유한 메모리 침입 전략을 합성하여, 압축되고 계산적으로 다룰 수 있는 표현을 확보하는 것.
• 모든 합성된 침입 전략에 걸쳐 최악의 비용을 최소화하는 방어자의 최적 전략을 계산하기 위해 강건한 정수선형계획문제(MILP)를 구성하는 것.
• GUROBI를 사용하여 유도된 MILP 문제를 효율적으로 해결함으로써 더 큰 네트워크 모델로의 확장성을 확보하는 것.
• 다층 네트워크 보안 모델에서 접근 방식을 검증하여, 항상 공격에 대응하거나 항상 차단하는 기준 전략과의 성능을 비교하는 것.

실험 결과

연구 질문

• RQ1 방어자가 전체 상태 관측 능력을 지닌 반면 침입자가 부분 관측 능력을 지닌 상황에서, 부분 관찰 가능한 스토케스틱 게임에서 강건한 위장 전략을 계산할 수 있는가?
• RQ2 기존 방법의 한계를 넘어서, 이러한 POSG 기반의 위장 게임을 어떻게 확장 가능한 해법으로 해결할 수 있는가?
• RQ3 유한 메모리 전략이 위장 전략 합성의 확장성과 성능에 어떤 영향을 미치는가?
• RQ4 매개변수화된 MDP 합성 기법이 강건한 방어자 전략 계산을 위한 대표적인 침입 전략을 효과적으로 생성할 수 있는가?
• RQ5 네트워크 크기와 합성된 침입 전략 수가 증가함에 따라 방어자의 기대 비용은 어떻게 변화하는가?

주요 결과

• 제안된 방법은 12층 네트워크에 대해 최적의 위장 전략을 성공적으로 계산하였으며, 1,000개의 침입 전략을 고려할 경우 최악의 기대 비용이 261.49로 나타났다. 이는 항상 차단하는 전략의 341.72 또는 항상 공격에 대응하는 전략의 304.05보다 유의미하게 낮은 비용이다.
• 4층 네트워크의 경우 최적 전략이 최악의 기대 비용 282.22를 기록하여, 항상 차단 및 항상 공격 전략보다 뛰어난 성능을 보였다.
• 이 방법은 효과적으로 확장 가능하다: 4층 네트워크의 경우 침입 전략 합성에 193.29초, 방어 전략 계산에 216.92초가 소요되었다.
• 최적의 방어 전략은 첫 두 층에서는 침입자를 공격하고 마지막 층에서는 차단하는 방식이었으며, 전략적 적응성을 보여주었다.
• 침입 전략 수를 늘릴수록 방어자의 최악의 기대 비용이 증가함을 확인하여, 다양한 적대적 전략에 대비한 전략의 강건성을 입증하였다.
• 이전 최첨단 방법보다 더 큰 네트워크를 다룰 수 있었으며, 동일 조건에서 12층 네트워크의 최적 전략이 4층 네트워크의 전략보다 기대 손실이 낮게 나타났다.