[論文レビュー] Flip the Cloud: Cyber-Physical Signaling Games in the Presence of Advanced Persistent Threats

Jeffrey Pawlick, Sadegh Farhang+1 more|arXiv (Cornell University)|Jul 2, 2015

Smart Grid Security and Resilience参考文献 7被引用数 10

ひとこと要約

本稿は、高度持続的脅威（APTs）の下でクラウド接続型サイバーフィジカルシステムを保護するための新しいゲーム理論的枠組みを提案する。クラウドとデバイス間のシグナルゲームと、クラウドの改ざんを扱うFlipItゲームを組み合わせ、信頼意思決定と制御権争いの相互依存性を捉える新しい均衡概念「ゲシュタルト均衡」を導入する。主な貢献は、改ざんされた可能性のあるクラウドからの命令をデバイスが信頼するか拒否するかを統一的に判断するためのソリューションであり、無人車両制御の事例で示されている。

ABSTRACT

Access to the cloud has the potential to provide scalable and cost effective enhancements of physical devices through the use of advanced computational processes run on apparently limitless cyber infrastructure. On the other hand, cyber-physical systems and cloud-controlled devices are subject to numerous design challenges; among them is that of security. In particular, recent advances in adversary technology pose Advanced Persistent Threats (APTs) which may stealthily and completely compromise a cyber system. In this paper, we design a framework for the security of cloud-based systems that specifies when a device should trust commands from the cloud which may be compromised. This interaction can be considered as a game between three players: a cloud defender/administrator, an attacker, and a device. We use traditional signaling games to model the interaction between the cloud and the device, and we use the recently proposed FlipIt game to model the struggle between the defender and attacker for control of the cloud. Because attacks upon the cloud can occur without knowledge of the defender, we assume that strategies in both games are picked according to prior commitment. This framework requires a new equilibrium concept, which we call Gestalt Equilibrium, a fixed-point that expresses the interdependence of the signaling and FlipIt games. We present the solution to this fixed-point problem under certain parameter cases, and illustrate an example application of cloud control of an unmanned vehicle. Our results contribute to the growing understanding of cloud-controlled systems.

研究の動機と目的

• クラウドが高度持続的脅威（APTs）によって静かに改ざんされる可能性がある、クラウド接続型サイバーフィジカルシステムのセキュリティ課題に取り組むこと。
• 改ざんされた可能性のあるクラウド管理者からの命令を信頼するか拒否するかを判断するデバイスの意思決定をモデル化すること。
• クラウド改ざんのダイナミクス（FlipIt）とデバイスの信頼シグナル（シグナルゲーム）を統合した統一的なゲーム理論的モデルを開発すること。
• 両方のゲームの戦略が事前に決定されている状況における循環的依存関係を解消するための新しい均衡概念「ゲシュタルト均衡」を定義すること。
• 無人車両制御の事例を通じて、フレームワークの適用可能性を示すこと。

提案手法

• クラウド改ざんプロセスをFlipItゲームでモデル化し、防衛者と攻撃者がコストを伴って交互にクラウドの制御を獲得する。
• クラウドとデバイスの相互作用をシグナルゲームでモデル化し、デバイスが観測したシグナルに基づいて命令を信頼するかどうかを決定する。
• 両方のゲームを事前コミットの下で統合し、戦略が相手の手を知らない状態で選ばれることを仮定し、循環的依存を生じさせる。
• ゲシュタルト均衡を、シグナルゲームの均衡戦略をFlipItゲームの制御確率にマッピングする固定点解として定義する。
• 差分閾値τを用い、デバイス自身の制御信号から著しく逸脱する命令を「高リスク」と分類する。
• 線形化された無人車両のダイナミクスモデルにフレームワークを適用し、クラウド信頼制御と自律制御の両方における性能を比較する。

実験結果

リサーチクエスチョン

• RQ1 高度持続的脅威（APTs）によって改ざんされる可能性のあるクラウドからの命令について、デバイスが最適に信頼または拒否する条件は何か？
• RQ2 FlipItゲームにおける防衛者と攻撃者の戦略が、クラウドとデバイス間のシグナルゲーム均衡にどのように影響するか？
• RQ3 戦略が事前に決定されている状況で、シグナルゲームとFlipItゲームの間の循環的依存関係を解消するために必要な均衡概念は何か？
• RQ4 高リスク命令検出のための閾値τが、デバイスの信頼意思決定とシステムの安定性に与える影響は何か？
• RQ5 提案されたフレームワークは、クラウド制御下の実世界のサイバーフィジカルシステム、例えば無人車両に適用可能か？

主な発見

• ゲシュタルト均衡は、シグナルゲームの均衡戦略をFlipItゲームの制御確率にマッピングする固定点解として定義され、両ゲーム間の相互依存性を解消する。
• 事例研究において、デバイスは閾値τを超えて逸脱する高リスクのクラウド命令を拒否することで、自らのオンボード制御システムに依存することにより利益を得る。
• 無人車両の閉ループダイナミクスは、クラウド制御および自律制御の両方で安定化しており、クラウドが改ざんされた場合でも自律制御が頑健性を示す。
• フレームワークにより、デバイスはクラウドアクセスによるパフォーマンス向上と、悪意ある命令のリスクの間で知的にバランスを取ることが可能になる。特に、静かで持続的なAPTsの下で顕著である。
• 特定のパrameter領域では、デバイスの最適戦略が攻撃コストと回復コストの相対的な大きさ、および命令の逸脱閾値τに依存することが示された。
• ゲシュタルト均衡が存在し、計算可能である条件が確立され、将来的な学習ベースの収束アルゴリズムの基盤が構築された。