[논문 리뷰] Duplicity Games for Deception Design with an Application to Insider Threat Mitigation

Linan Huang, Quanyan Zhu|arXiv (Cornell University)|2020. 06. 14.

Network Security and Intrusion Detection참고 문헌 46인용 수 36

한 줄 요약

이 논문은 내부자 위협을 완화하기 위해 능동적인 사이버 위장 전략을 설계하기 위한 게임 이론적 프레임워크인 Duplicity Games(DG)를 소개한다. GMM 기법—생성기, 인centive 조절기, 신뢰 조작기로 구성됨—을 통해 정보, 인센티브, 신념 조작을 통해 사용자 행동을 전략적으로 영향을 주는 것을 제안한다. 주요 기여는 최적의 생성기 설계와 위장된 신뢰 조작을 결합했을 때, 가짜 환경 허니팟 비율이 존재하더라도 방어자의 평균 보상이 59.3% 향상된다는 점이다.

ABSTRACT

Recent incidents such as the Colonial Pipeline ransomware attack and the SolarWinds hack have shown that traditional defense techniques are becoming insufficient to deter adversaries of growing sophistication. Proactive and deceptive defenses are an emerging class of methods to defend against zero-day and advanced attacks. This work develops a new game-theoretic framework called the duplicity game to design deception mechanisms that consist of a generator, an incentive modulator, and a trust manipulator, referred to as the GMM mechanism. We formulate a mathematical programming problem to compute the optimal GMM mechanism, quantify the upper limit of enforceable security policies, and characterize conditions on user's identifiability and manageability for cyber attribution and user management. We develop a separation principle that decouples the design of the modulator from the GMM mechanism and an equivalence principle that turns the joint design of the generator and the manipulator into the single design of the manipulator. A case study of dynamic honeypot configurations is presented to mitigate insider threats. The numerical experiments corroborate the results that the optimal GMM mechanism can elicit desirable actions from both selfish and adversarial insiders and consequently improve the security posture of the insider network. In particular, a proper modulator can reduce the extcolor{black}{incentive misalignment} between the players and achieve win-win situations for the selfish insider and the defender. Meanwhile, we observe that the defender always benefits from faking the percentage of honeypots when the optimal generator is presented.

연구 동기 및 목표

• 복잡한 내부자 위협과 고도로 발전한 지속적 위협에 대한 기존 방어 수단의 점점 약화되는 부적합성에 대응하기 위해.
• 기업 네트워크 내에서 이타적 및 악성 내부자 모두를 전략적으로 영향을 주는 능동적 위장 전략 기반 메커니즘을 설계하기 위해.
• 비대칭 정보와 전략적 인센티브를 활용해 방어자, 정상 사용자, 공격자 간의 상호작용을 체계적으로 형식화하기 위해.
• 사용자 유형을 사전에 알지 못하더라도 방어자가 바람직한 보안 행동을 이끌어내는 메커니즘을 개발하기 위해.
• 강제 가능한 보안 정책의 상한선을 정량화하고, 사용자 식별 가능성 및 관리 가능성 조건을 규명하기 위해.

제안 방법

• 비대칭 정보를 가진 이중 단계 게임을 수립: 방어자가 먼저 GMM 메커니즘을 설계하고, 사용자들이 업데이트된 신념에 기반해 반응한다.
• GMM 메커니즘을 세 가지 조합 가능한 구성요소로 모델링: 생성기(스토케스틱 정책 신호), 조절기(인센티브를 통한 유용성 이행), 조작기(가짜 신뢰 신호를 통한 신념 왜곡).
• 인센티브 호환성(IC) 및 조절 가능성(MF) 제약 조건 하에서 수학적 프로그래밍을 사용해 GMM 메커니즘을 최적화한다.
• 사용자 사후 유용성을 조각별 선형 및 볼록(PWLC) 함수로 표현하기 위해 볼록화 기법을 적용하여 효율적인 계산과 정책 이행을 가능하게 한다.
• 조절기의 독립적 설계를 허용하는 분리 원칙을 수립한다.
• 생성기와 조작기의 공동 설계가 단일 조작기 설계로 축소됨을 보여주는 등가 원칙을 유도한다.

실험 결과

연구 질문

• RQ1 방어자는 사용자 유형에 대한 정보가 불완전한 상황에서도, 비밀스러운 행동을 이끌어내기 위해 어떤 방식으로 위장 전략 메커니즘을 설계할 수 있는가?
• RQ2 방어자 보상 최대화와 감지 가능한 오작동 최소화를 동시에 달성하기 위해 동적 환경 허니팟 시스템의 최적 구성은 무엇인가?
• RQ3 어떤 조건에서 방어자는 인센티브 일치를 통해 이타적 내부자와 승패가 없는 결과를 달성할 수 있는가?
• RQ4 가짜 환경 허니팟 비율을 통해 위장된 신념 조작을 최적의 생성기 설계와 결합했을 때, 방어자의 보상은 어떻게 영향을 받는가?
• RQ5 위장 기반 방어에서 강제 가능한 보안 정책의 이론적 한계와 사용자 관리 가능성 조건은 무엇인가?

주요 결과

• 최적의 GMM 메커니즘은 위장 전략 없이 비교할 때, 생성기만 사용할 경우 방어자의 평균 보상을 35.6% 향상시킨다.
• 가짜 환경 허니팟 비율을 통한 위장된 신뢰 조작과 결합했을 경우, 방어자의 평균 보상은 기준선 대비 59.3% 향상된다.
• 최적의 생성기가 구현된 상황에서, 환경 허니팟 비율을 위장하는 것은 항상 방어자에게 유리하며, 진짜와 인식된 환경 허니팟 비율 간의 괴리가 클수록 보상 증가 폭이 커진다.
• 분리 원칙 덕분에 조절기를 별도로 설계할 수 있어 메커니즘 설계 과정이 단순화된다.
• 등가 원칙 덕분에 생성기와 조작기의 공동 설계가 단일 조작기 설계로 축소되어 복잡성이 크게 감소한다.
• 최대 신뢰 마진이 0인 경우 사용자는 관리 불가능하며, 이는 어떤 메커니즘으로도 그들의 행동을 바꿀 수 없음을 의미한다.