[논문 리뷰] TRIDEnT: Building Decentralized Incentives for Collaborative Security

Νικόλαος Αλεξόπουλος, Emmanouil Vasilomanolakis외 3명|arXiv (Cornell University)|2019. 05. 09.

Network Security and Intrusion Detection참고 문헌 42인용 수 4

한 줄 요약

TRIDEnT는 이더리움 스마트 계약을 사용하여 네트워크 보안 경고의 탈중앙화된 마켓플레이스를 제안하며, 잠재적으로 경쟁하는 조직 간에 신뢰할 수 없고 인센티브 기반 협업을 가능하게 한다. 게임 이론 모델을 통해 협업이 무한히 반복됨을 입증하고, 기능적인 프로토타입을 구현하여 실현 가능성과 인센티브 구조를 검증한다.

ABSTRACT

Sophisticated mass attacks, especially when exploiting zero-day vulnerabilities, have the potential to cause destructive damage to organizations and critical infrastructure. To timely detect and contain such attacks, collaboration among the defenders is critical. By correlating real-time detection information (alerts) from multiple sources (collaborative intrusion detection), defenders can detect attacks and take the appropriate defensive measures in time. However, although the technical tools to facilitate collaboration exist, real-world adoption of such collaborative security mechanisms is still underwhelming. This is largely due to a lack of trust and participation incentives for companies and organizations. This paper proposes TRIDEnT, a novel collaborative platform that aims to enable and incentivize parties to exchange network alert data, thus increasing their overall detection capabilities. TRIDEnT allows parties that may be in a competitive relationship, to selectively advertise, sell and acquire security alerts in the form of (near) real-time peer-to-peer streams. To validate the basic principles behind TRIDEnT, we present an intuitive game-theoretic model of alert sharing, that is of independent interest, and show that collaboration is bound to take place infinitely often. Furthermore, to demonstrate the feasibility of our approach, we instantiate our design in a decentralized manner using Ethereum smart contracts and provide a fully functional prototype.

연구 동기 및 목표

• 협동 침입 탐지 시스템(CIDS)의 실제 도입을 저해하는 인센티브 부족과 신뢰 문제를 해결하기 위해.
• 조직들이 실시간으로 보안 경고를 선택적으로 광고, 구매, 판매할 수 있는 탈중앙화된 플랫폼을 설계하기 위해.
• 게임 이론을 사용하여 장기적 협업을 위한 경제적 인centive를 모델링하고 검증하여, 협력이 지속 가능함을 입증하기 위해.
• 이더리움 스마트 계약을 사용하여 실현 가능한 기능 프로토타입을 구현하여 실현 가능성의 증명을 위해.
• 기존의 위협 지능 플랫폼(MISP 등)의 기초 인센티브 계층으로 TRIDEnT를 위치시키기 위해.

제안 방법

• 신뢰할 수 없는 거래를 보장하기 위해 이더리움 스마트 계약을 사용하여 보안 경고를 위한 페어 투 페어 스트리밍 마켓플레이스를 설계하기 위해.
• 경고 공유의 게임 이론 모델을 구현하여 전략적 인센티브를 분석하고, 이성적인 행동 조건 하에서 협업이 무한히 반복됨을 입증하기 위해.
• 명성 제도와 스트림 재판매 방지 기법을 사용하여 경고 품질을 확보하고 오남용을 방지하기 위해.
• 실제 배포를 위해 기존 플랫폼(MISP 등)과 오버레이 형태로 통합하기 위해.
• IP 주소와 같은 민감한 정보를 보호하기 위해 데이터 정제 기법을 적용하기 위해.
• 스노트 규칙, 블룸 필터, 기계 학습 모델 등 다양한 경고 유형을 지원하는 모듈러 아키텍처를 설계하기 위해.

실험 결과

연구 질문

• RQ1 경쟁 기관 간에 장기적인 협업을 지속할 수 있는 탈중앙화되고 신뢰할 수 없는 보안 경고 마켓플레이스는 가능한가?
• RQ2 무료 승리(무료로 혜택을 받는 것)를 방지하고 경고 공유에 적극적으로 참여하도록 보장하기 위해 경제적 인센티브는 어떻게 설계할 수 있는가?
• RQ3 이성적인 참가자가 비협력하는 대신 반복적인 협업에 참여하도록 보장하는 게임 이론적 조건은 무엇인가?
• RQ4 중앙 기관이 없는 탈중앙화 시스템에서 경고 품질과 신뢰는 어떻게 유지할 수 있는가?
• RQ5 스마트 계약 기반 시스템이 대규모에서 실시간으로 페어 투 페어 보안 경고를 효과적으로 관리할 수 있는가?

주요 결과

• 게임 이론 모델은 이성적이고 자기 이익을 추구하는 행동 조건 하에서 경고 공유 협업이 무한히 반복됨을 증명하며, 인센티브 메커니즘의 장기적 지속 가능성에 대한 타당성을 입증한다.
• 이더리움 스마트 계약을 사용한 프로토타입 구현은 TRIDEnT 설계의 실시간 탈중앙화된 경고 교환에 대한 기술적 실현 가능성을 입증한다.
• TRIDEnT는 중앙 기관이 필요 없이 선택적 페어 투 페어 경고 공유를 가능하게 하여 신뢰와 프라이버시 우려를 줄인다.
• 시스템은 스노트 스타일 규칙, 블룸 필터, 기계 학습 모델 등 다양한 경고 형식을 지원하여 탐지 능력을 향상시킨다.
• TRIDEnT는 MISP와 같은 기존 위협 지능 플랫폼 위에 인센티브 계층으로 통합될 수 있어 핵심 기능을 대체하지 않고도 플랫폼의 도입을 촉진할 수 있다.
• 모델은 스트림 재판매와 같은 잠재적 위험을 특정하며, 생산 환경에서는 추가적인 방지 전략이 필요할 수 있음을 밝혀냈다.