[論文レビュー] Markov Game Modeling of Moving Target Defense for Strategic Detection of Threats in Cloud Networks

Ankur Chowdhary, Sailik Sengupta+2 more|arXiv (Cornell University)|Dec 23, 2018

Network Security and Intrusion Detection参考文献 17被引用数 20

ひとこと要約

本稿では、攻撃グラフとCVSSスコアを活用して、セキュリティとパフォーマンスのバランスをとるクラウドネットワークにおけるインシデント検知システム（IDS）配置を最適化するゼロサムマルコフゲームモデルを提案する。この手法は、混合ミニマックス均衡戦略を計算し、マルチステージ攻撃の検出において静的配置やランダム配置を上回る性能を発揮するとともに、パフォーマンス劣化を最小限に抑える。

ABSTRACT

The processing and storage of critical data in large-scale cloud networks necessitate the need for scalable security solutions. It has been shown that deploying all possible security measures incurs a cost on performance by using up valuable computing and networking resources which are the primary selling points for cloud service providers. Thus, there has been a recent interest in developing Moving Target Defense (MTD) mechanisms that helps one optimize the joint objective of maximizing security while ensuring that the impact on performance is minimized. Often, these techniques model the problem of multi-stage attacks by stealthy adversaries as a single-step attack detection game using graph connectivity measures as a heuristic to measure performance, thereby (1) losing out on valuable information that is inherently present in graph-theoretic models designed for large cloud networks, and (2) coming up with certain strategies that have asymmetric impacts on performance. In this work, we leverage knowledge in attack graphs of a cloud network in formulating a zero-sum Markov Game and use the Common Vulnerability Scoring System (CVSS) to come up with meaningful utility values for this game. Then, we show that the optimal strategy of placing detecting mechanisms against an adversary is equivalent to computing the mixed Min-max Equilibrium of the Markov Game. We compare the gains obtained by using our method to other techniques presently used in cloud network security, thereby showing its effectiveness. Finally, we highlight how the method was used for a small real-world cloud system.

研究の動機と目的

• 大規模なクラウドネットワークにおける静的および単一ステップ攻撃検出モデルの限界を解決すること。
• パフォーマンスへの影響を最小限に抑えながらマルチステージ攻撃の検出を最大化するIDS配置を最適化すること。
• 同じホストに複数のIDSを配置することで生じる非対称なパフォーマンス劣化を克服すること。
• 実世界の脆弱性データ（CVE）とセキュリティスコア（CVSS）をゲーム理論フレームワークに統合し、戦略的防御を実現すること。
• 長期的な攻撃経路とシステムリソース制約を考慮したスケーラブルで動的な防御戦略を開発すること。

提案手法

• 攻撃グラフから導出されるサブネットワークを状態とするクラウドネットワークをマルコフゲームとしてモデル化する。
• 攻撃者の行動をNVDに登録された既知のCVEからのエクスプロイトシーケンスとして定義し、防御者の行動を脆弱なノードへのIDS配置として定義する。
• 共通脆弱性スコアリングシステム（CVSS）を用いて、エクスプロイトの影響と深刻度を反映するユーティリティ値を割り当てる。
• 混合ミニマックス均衡を計算するためのゼロサムマルコフゲームとしてゲームを定式化し、最適なIDS配置戦略とする。
• 長期的攻撃結果をモデル化するための割引率を用い、戦略はゲームの時間的範囲に応じて調整する。
• 特定のホストへのIDS配置数を制限することで、どのホストのパフォーマンスも劣化しないようにし、リソース使用のバランスを維持する。

実験結果

リサーチクエスチョン

• RQ1 マルコフゲームモデルは、実世界の脆弱性深刻度（CVSS）を組み込みつつ、クラウドネットワークにおけるマルチステージ攻撃を効果的に表現できるか？
• RQ2 ミニマックス均衡から導かれた最適なIDS配置戦略は、静的配置およびランダム配置と比較して、検出効果においてどの程度優れているか？
• RQ3 異なる防御戦略を用いた場合、ネットワークサブネットごとのIDS配置によるパフォーマンス影響はどの程度変動するか？
• RQ4 モデル化されたサブネットワークのサイズと割引率が、マルコフゲームにおける防御者のユーティリティにどのように影響するか？
• RQ5 提案手法は、既知の脆弱性と攻撃経路を有する実世界のクラウドシステムに効果的に適用可能か？

主な発見

• マルコフゲームからの最適な混合戦略は、防御者のユーティリティにおいて、静的配置および一様ランダム配置の両方を上回った。
• サブネットワークが大きくなるほど割引率が高くなるほど、改善幅が拡大し、長期戦略的優位性が顕著になった。
• 同じホストに複数のIDSを配置する純粋戦略を避けることで、パフォーマンス劣化を防止し、リソース使用のバランスを保った。
• DebianおよびCentOS 6のVMを含む実世界のシナリオでは、割引率が1に近づくほど、マルコフゲーム戦略がランダム配置よりも高い防御者のユーティリティを達成した。
• 攻撃グラフを用いて逐次的エクスプロイトチェーンをモデル化することで、データ漏洩やサービス遮断を含むマルチステージ攻撃経路を効果的に検出できた。
• この定式化により、パフォーマンス制約を尊重しつつ、高影響度脆弱性の検出を最大化するスケーラブルで動的なIDS配置が可能になった。