[论文解读] Rethinking Information Sharing for Actionable Threat Intelligence

Aziz Mohaisen, Omar Alibrahim+3 more|arXiv (Cornell University)|Feb 2, 2017

Cryptography and Data Security参考文献 31被引用 8

一句话总结

本文通過強調使用場景與威脅模型、可衡量的風險、隱私保護、指標品質以及防止搭便車行為的機制，重新思考了行動威脅情報共享的資訊共享方式。它主張利用資料差異與社群結構來最佳化共享，同時探索機器學習在評估指標品質中的應用，最終目標是提升威脅情報共享系統的有效性與可信度。

ABSTRACT

In the past decade, the information security and threat landscape has grown significantly making it difficult for a single defender to defend against all attacks at the same time. This called for introduc- ing information sharing, a paradigm in which threat indicators are shared in a community of trust to facilitate defenses. Standards for representation, exchange, and consumption of indicators are pro- posed in the literature, although various issues are undermined. In this paper, we rethink information sharing for actionable intelli- gence, by highlighting various issues that deserve further explo- ration. We argue that information sharing can benefit from well- defined use models, threat models, well-understood risk by mea- surement and robust scoring, well-understood and preserved pri- vacy and quality of indicators and robust mechanism to avoid free riding behavior of selfish agent. We call for using the differential nature of data and community structures for optimizing sharing.

研究动机与目标

• 為解決當前威脅情報共享的限制，識別信任、品質、隱私與激勵方面的關鍵缺口。
• 提出重新思考資訊共享，整合明確定義的使用與威脅模型，以引導有效的共享行為。
• 強調可衡量風險、強健的隱私保護與高品質指標的必要性，以確保可行動的成果。
• 透過機制防止搭便車行為，並激勵誠實且及時的貢獻。
• 探討資料差異與社群結構在最佳化共享負載與效率中的角色。

提出的方法

• 提出從一般性共享轉向基於定義使用與威脅模型的模型驅動共享，以引導資料交換。
• 提出需要可衡量的風險評估，以平衡共享效益與暴露風險。
• 主張透過結構化的共享政策與存取控制來保護隱私與資料品質。
• 建議利用歷史貢獻資料對社群成員進行評分，但警告避免使用粗粒度的聲譽系統。
• 提出利用機器學習，透過交叉驗證標籤並根據類似已知指標外推，來評估單一指標品質。
• 建議將社群建模為具有差異化資料特性的實體，以最佳化共享效率並降低負載。

实验结果

研究问题

• RQ1 如何重構資訊共享，以確保共享的指標具備行動性與即時性？
• RQ2 使用與威脅模型在引導有效且安全的威脅情報共享中扮演何種角色？
• RQ3 如何在促進高保真威脅資訊交換的同時，保護隱私與資料品質？
• RQ4 哪些機制可防止搭便車行為，並激勵威脅共享社群中誠實且高品質的貢獻？
• RQ5 機器學習在評估單一威脅指標品質方面，可如何超越社群聲譽系統？

主要发现

• 威脅指標的品質——特別是即時性與正確標籤——是決定行動情報的關鍵因素，然而在當前系統中仍定義不清且評估不足。
• 目前的聲譽評分系統不夠完善，因其將社群成員整體評估，而非針對單一指標，導致對輸出品質參差的貢獻者造成不公平懲罰。
• 指標品質與隱私之間存在強烈關聯：過度匿名化或延遲的資料可能降低實用性，而隱私不足則可能使作戰細節暴露給敵方。
• 機器學習技術可透過跨供應商驗證標籤，並利用特徵相似性預測未知指標的標籤，來協助評估指標品質。
• 利用資料差異性與社群結構可降低共享負載並提升效率，同時不損及安全性或實用性。
• 整合使用、威脅與風險模型的模型驅動方法，對於最佳化威脅情報共享的有效性與可信度至關重要。