[논문 리뷰] Orchestrating Collaborative Cybersecurity: A Secure Framework for Distributed Privacy-Preserving Threat Intelligence Sharing

Juan R. Trocoso-Pastoriza, Alain Mermoud외 5명|arXiv (Cornell University)|2022. 09. 06.

Cybercrime and Law Enforcement Studies인용 수 5

한 줄 요약

이 논문은 히드로모르픽 암호화와 보안 다자간 계산과 같은 개인정보 보호 기술(PETs)을 활용하여 분산된 민감한 데이터를 중앙집중화하지 않고도 공동으로 위협 탐지 모델을 훈련시킬 수 있는 프라이버시 보장형 연합 학습 프레임워크를 제안한다. 이 프레임워크는 자유 기여자 문제를 완화하고, 데이터 기밀성을 유지하면서도 정확하고 대표적인 위협 인사이트를 제공함으로써 기밀성과 泄露 최소화를 동시에 달성한다.

ABSTRACT

Cyber Threat Intelligence (CTI) sharing is an important activity to reduce information asymmetries between attackers and defenders. However, this activity presents challenges due to the tension between data sharing and confidentiality, that result in information retention often leading to a free-rider problem. Therefore, the information that is shared represents only the tip of the iceberg. Current literature assumes access to centralized databases containing all the information, but this is not always feasible, due to the aforementioned tension. This results in unbalanced or incomplete datasets, requiring the use of techniques to expand them; we show how these techniques lead to biased results and misleading performance expectations. We propose a novel framework for extracting CTI from distributed data on incidents, vulnerabilities and indicators of compromise, and demonstrate its use in several practical scenarios, in conjunction with the Malware Information Sharing Platforms (MISP). Policy implications for CTI sharing are presented and discussed. The proposed system relies on an efficient combination of privacy enhancing technologies and federated processing. This lets organizations stay in control of their CTI and minimize the risks of exposure or leakage, while enabling the benefits of sharing, more accurate and representative results, and more effective predictive and preventive defenses.

연구 동기 및 목표

• 데이터 기밀성 우려로 인해 발생하는 사이버 위협 지능(CTI) 공유의 자유 기여자 문제를 해결하기 위해.
• 민감한 정보를暴露하지 않고도 조직 간에 분산된 CTI 데이터를 공동 분석할 수 있도록 하기 위해.
• 중앙집중식 또는 과도하게 샘플링된 데이터셋의 한계를 극복하기 위해 진정으로 분산된 훈련을 가능하게 하기 위해.
• 기존의 CTI 플랫폼(예: MISP)과 개인정보 보호 기술(PETs)을 통합하여 확장 가능하고 보안적인 협업을 가능하게 하기 위해.
• 핵심 인프라를 대상으로 한 실제 사례를 통해 프레임워크의 실현 가능성과 효과성을 입증하기 위해.

제안 방법

• 다자간 히드로모르픽 암호화(MHE)를 사용하여 분산된 조직 간의 암호화된 위협 데이터에서 계산을 수행한다.
• 악성코드 정보 공유 플랫폼(MISP)과 통합하여 침입 지표(IoCs), 취약점 및 사고 데이터를 추출하고 처리한다.
• 보안 다자간 계산(sMPC)을 통해 원시 데이터를 드러내지 않고도 공동 모델 훈련을 가능하게 하여 분석 중 기밀성을 유지한다.
• Keycloak 기반의 역할 기반 접근 제어(RBAC)를 통해 세밀한 권한 부여 및 신원 관리를 수행한다.
• 차별적 개인정보 보호 기법을 출력 결과에 선택적으로 적용하여 호기심을 가진 질의자에 의한 추론 공격으로부터 추가로 보호한다.
• 수동 및 능동 공격자 모델을 모두 지원하며, 더 강력한 보안 보장을 위해 검증 가능한 계산 기능으로도 확장 가능하다.

실험 결과

연구 질문

• RQ1 조직들은 데이터 기밀성을 훼손하지 않고 어떻게 민감한 사이버 위협 지능을 공유할 수 있는가?
• RQ2 암호화된 계산을 활용한 연합 학습이 중앙집중식 또는 과도하게 샘플링된 접근 방식에 비해 위협 탐지 모델의 정확성과 대표성에 얼마나 기여하는가?
• RQ3 프라이버시 보장형 분산 프레임워크는 실제로 CTI 공유에서 자유 기여자 문제를 효과적으로 완화할 수 있는가?
• RQ4 기존의 CTI 플랫폼(예: MISP)은 어떻게 확장되어 대규모 보안적 프라이버시 보장 협업을 지원할 수 있는가?
• RQ5 위협 지능 워크로드에서 히드로모르픽 암호화와 차별적 개인정보 보호 기법을 결합했을 때의 성능 및 보안 간의 상충 관계는 어떠한가?

주요 결과

• 프레임워크는 데이터 중앙집중화 없이도 민감한 분산 CTI 데이터를 기반으로 공동 모델 훈련을 성공적으로 수행한다.
• 히드로모르픽 암호화의 적용으로, 다른 참여 노드나 인fra 제공자조차도 원시 데이터를 노출하지 않고 계산을 수행할 수 있다.
• 시스템은 중앙집중식 또는 완전하지 않은 데이터셋에서 흔히 사용되는 과도한 샘플링 기법이 유도하는 편향을 피할 수 있음을 입증한다.
• 병원을 포함한 핵심 인프라를 대상으로 한 초기 실용적 시범 프로젝트를 통해 프레임워크의 성숙도와 실용적 타당성이 학술적 개념 검증을 넘어선 것을 확인했다.
• MISP와의 통합을 통해 기존 CTI 생태계에 원활하게 통합되어 상호 운용성과 확장성을 향상시켰다.
• PETs와 연합 처리의 조합은 모델의 유용성과 정확성을 유지하면서도 데이터 泄露 위험을 크게 감소시켰다.