[论文解读] Quantitative Models of Imperfect Deception in Network Security using Signaling Games with Evidence

Jeffrey Pawlick, Quanyan Zhu|arXiv (Cornell University)|Jul 25, 2017

Game Theory and Applications参考文献 7被引用 5

一句话总结

本文将廉价谈话信号博弈扩展至网络安全部署不完美欺骗的建模，通过引入一个提供欺骗概率证据的检测器。结果表明，证据迫使多数类型下采取诚实信号，消除部分均衡，并出人意料地在特定条件下同时使被欺骗者和欺骗者受益，如在蜜罐主动防御场景中所示。

ABSTRACT

Deception plays a critical role in many interactions in communication and network security. Game-theoretic models called "cheap talk signaling games" capture the dynamic and information asymmetric nature of deceptive interactions. But signaling games inherently model undetectable deception. In this paper, we investigate a model of signaling games in which the receiver can detect deception with some probability. This model nests traditional signaling games and complete information Stackelberg games as special cases. We present the pure strategy perfect Bayesian Nash equilibria of the game. Then we illustrate these analytical results with an application to active network defense. The presence of evidence forces majority-truthful behavior and eliminates some pure strategy equilibria. It always benefits the deceived player, but surprisingly sometimes also benefits the deceiving player.

研究动机与目标

• 为建模网络安全部署中可被以一定概率检测到的欺骗行为，超越传统信号博弈中假设欺骗不可检测的局限。
• 分析可检测证据的存在如何改变发送者（如防御者）与接收者（如攻击者）之间信息不对称互动中的战略均衡。
• 探究证据是否以及如何在主动网络安全防御场景中同时使被欺骗者与欺骗者受益。
• 提供一个博弈论框架，支持对网络安全中欺骗策略的定量度量评估。

提出的方法

• 在传统信号博弈中增加一个检测器模块，该模块基于概率模型 λ(e|θ,m) 输出二元证据（e=0 或 e=1），用以指示某条信息是否可疑。
• 将接收者的信念形成建模为 μ(θ|m,e)，结合消息内容与证据，以更新对发送者类型 θ 的信念。
• 在新型证据增强的游戏结构下定义完美贝叶斯纳什均衡（PBNE），分析不同先验概率制度下的纯策略均衡。
• 引入两个检测器参数：β ∈ [1/2,1] 表示检测器能力，α ∈ [0,1/2] 表示检测器规模，以控制检测的灵敏度与覆盖范围。
• 使用 Gambit 工具模拟并可视化均衡结果，尤其聚焦于主动网络防御中蜜罐部署的情境。
• 基于系统类型的先验概率，分析四种制度下的均衡行为：0-主导、0-多数、混合、1-多数与1-主导。

实验结果

研究问题

• RQ1 引入可检测证据后，信号博弈中的纯策略完美贝叶斯纳什均衡集合如何改变？
• RQ2 在何种条件下证据强制实现诚实信号？在何种情况下证据会消除均衡？
• RQ3 尽管降低了欺骗的有效性，证据的存在是否仍可能使欺骗者受益？
• RQ4 在哪些参数制度下，防御者（发送者）能从不可完全观测的欺骗中获得效用？
• RQ5 在基于蜜罐的主动网络防御中，证据如何影响攻击者（接收者）与防御者（发送者）的期望效用？

主要发现

• 在 0-多数与 1-多数制度中，证据迫使多数类型发送者采取诚实行为，而少数类型发送者可能选择欺骗。
• 在混合先验制度中，由于发送者与接收者策略之间的相互对抗，证据消除了所有纯策略完美贝叶斯纳什均衡。
• 接收者始终从证据中受益，因为证据提高了其基于消息与证据综合判断的决策能力。
• 出人意料的是，在某些参数制度下，发送者（如防御者）也能从证据中受益，模拟结果表明防御者效用随证据增加而上升。
• 该模型推广了传统信号博弈与完全信息 Stackelberg 博弈，当证据参数取极端值时，两者均可视为其特例。
• 在基于蜜罐的主动防御中，具有可检测证据的不完美欺骗可使防御者获得更高的期望效用，表明受控混淆具有战略价值。