[논문 리뷰] Toward a Theory of Cyber Attacks

Saeed Valizadeh, Marten van Dijk|arXiv (Cornell University)|2019. 01. 06.

Information and Cyber Security참고 문헌 26인용 수 5

한 줄 요약

이 논문은 악성 공격의 적대적 진행을 점진적 학습 과정으로 모델링하기 위해 마르코프 게임 프레임워크를 제안한다. 여기서 방어자는 시간이 지남에 따라 탐지 능력을 향상시킨다. 공격자가 시간 예산 $T_{bud}$ 내에 목표 $k$ 를 달성할 확률을 엄밀하게 제한하기 위해 보안 용량 영역을 도입한다. 이는 최대 $ ext{poly}(T_{bud})\cdot\text{negl}(k)$ 이며, 암호학적 스타일의 보안 보장을 가능하게 한다. 이는 동적 방어 시스템에 대해 엄밀한 보안 보장을 제공한다.

ABSTRACT

We provide a general methodology for analyzing defender-attacker based "games" in which we model such games as Markov models and introduce a capacity region to analyze how defensive and adversarial strategies impact security. Such a framework allows us to analyze under what kind of conditions we can prove statements (about an attack objective $k$) of the form "if the attacker has a time budget $T_{bud}$, then the probability that the attacker can reach an attack objective $\geq k$ is at most $poly(T_{bud})negl(k)$". We are interested in such rigorous cryptographic security guarantees (that describe worst-case guarantees) as these shed light on the requirements of a defender's strategy for preventing more and more the progress of an attack, in terms of the "learning rate" of a defender's strategy. We explain the damage an attacker can achieve by a "containment parameter" describing the maximally reached attack objective within a specific time window.

연구 동기 및 목표

• 실세계의 사이버 공격을 동적이고 시간 제약이 있는 상황에서 공격자와 방어자의 전략을 모두 고려한 일반적인 이론적 프레임워크를 개발하는 것.
• 기존의 게임 이론적 접근 방식에서 보편적으로 적용 가능하고 보안 보장을 중심으로 한 모델의 부족을 해결하는 것.
• 방어자의 학습을 점진적 과정으로 공식화하여 공격자의 성공 확률을 시간이 지남에 따라 감소시키며, 엄밀한 보안 분석을 가능하게 하는 것.
• 학습 속도와 시간 예산에 기반해 공격자를 얼마나 효과적으로 제압할 수 있는지 정량화하는 보안 용량 영역을 정의하는 것.
• 시간에 따라 변화하는 다단계 공격을 견뎌내는 시스템에 대해 암호학적 스타일의 보안 보장을 제공하며, 공격 완료까지의 시간과 성공 확률의 상한선을 중점으로 하는 것.

제안 방법

• 각 움직임이 공격자의 목표에 가까워지게 하고 동시에 방어자의 학습을 가능하게 하는 마르코프 게임로 공격자-방어자 상호작용을 모델링한다.
• 공격 샘플 $l$ 개를 관찰한 후 방어자의 탐지 정확도를 나타내는 학습 속도 함수 $f(l)$ 를 도입하며, $a \geq 2$ 일 때 $1 - f(l) \leq O(l^{-a})$ 를 만족시킨다.
• 방어 시스템의 효율성을 평가하기 위해 보안 용량 영역을 정의하며, 방어자가 공격자의 진전을 막기 위해 충분히 빠르게 학습해야 한다.
• 공격자가 $k$ 개의 목표에 도달하는 데의 진전을 추적하고, 충분한 증거를 탐지할 경우 자원 재할당을 수행하는 게임 시뮬레이터(알고리즘 2)를 사용한다.
• 확률론적 상한을 적용하여 공격자의 성공 확률이 $\text{poly}(T_{bud})\cdot\text{negl}(k)$ 임을 입증하며, 최악의 경우에도 보안을 확보한다.
• 네트워크 수준($\gamma$)과 호스트 수준($h$)의 탐지 확률을 모두 통합하여 다층 방어 반응을 모델링한다.

실험 결과

연구 질문

• RQ1 방어자의 학습 과정이 시간 예산 $T_{bud}$ 내에 목표 $k$ 를 달성하는 데 성공할 확률을 효과적으로 감소시키기 위한 조건은 무엇인가?
• RQ2 방어자의 학습 속도는 어떻게 정량화할 수 있으며, 이를 보안 용량 영역과 연결하여 보증 가능한 보안 보장을 확보할 수 있는가?
• RQ3 시간 예산 $T_{bud}$ 가 주어졌을 때 악성 공격자가 도달할 수 있는 최대 공격 목표는 무엇이며, 이를 확률 모델을 통해 어떻게 상한선을 설정할 수 있는가?
• RQ4 방어자가 악성 움직임을 탐지하고 대응하는 능력이 시간이 지남에 따라 전체 시스템의 보안에 어떤 영향을 미치는가?
• RQ5 학습 데이터를 조작하는 기만적 공격자가 존재할 경우, 학습 속도와 임계값 오류 비율은 시스템의 보안에 어떤 영향을 미치는가?

주요 결과

• 공격자가 목표 $k$ 를 달성할 확률은 $\text{poly}(T_{bud})\cdot\text{negl}(k)$ 로 상한선이 설정되어 있으며, 엄밀한 암호학적 스타일의 보안 보장을 제공한다.
• 학습 속도가 정체되면(예: $f(l)$ 가 정체되면), 제어 기능이 붕괴되어 제한된 시간 예산 내에 공격자가 성공할 수 있다.
• 효과적인 제어를 확보하기 위해 $1 - f(l) \leq O(l^{-2})$ 를 만족하는 학습 속도를 확보해야 하며, 이는 $a = 2$ 일 때 증명이 제공된다.
• 보안 용량 영역은 방어 시스템의 효율성을 평가하는 지표로 확립되었으며, 탐지 확률이 1에 빠르게 수렴하는 것이 보안에 필수적이다.
• 이 프레임워크는 방어자가 학습을 연기할 수 없음을 드러내며, 초기 단계에서 지속적인 탐지 능력이 성공적인 공격을 방지하는 데 핵심적임을 보여준다.
• 모델은 네트워크 수준($\gamma$)과 호스트 수준($h$)의 탐지 기능을 모두 고려하여, 다층 모니터링이 공격 제압 능력을 향상시킨다는 점을 입증한다.