[论文解读] A Game-Theoretic Taxonomy and Survey of Defensive Deception for Cybersecurity and Privacy

Jeffrey Pawlick, E. J. M. Colbert+1 more|arXiv (Cornell University)|Dec 14, 2017

Information and Cyber Security参考文献 68被引用 26

一句话总结

本文基于信息结构、参与方、行动方式和持续时间，提出了一种基于博弈论的六类防御欺骗类型分类法——扰动、移动目标防御、混淆、混合、蜜罐-x和攻击者互动。该研究综合分析了2008至2018年间的24项博弈论研究，系统化地梳理了网络安全与隐私领域的防御欺骗技术，提出了一套结构化的框架与模型菜单，为未来研究提供支持。

ABSTRACT

Cyberattacks on both databases and critical infrastructure have threatened public and private sectors. Ubiquitous tracking and wearable computing have infringed upon privacy. Advocates and engineers have recently proposed using defensive deception as a means to leverage the information asymmetry typically enjoyed by attackers as a tool for defenders. The term deception, however, has been employed broadly and with a variety of meanings. In this paper, we survey 24 articles from 2008-2018 that use game theory to model defensive deception for cybersecurity and privacy. Then we propose a taxonomy that defines six types of deception: perturbation, moving target defense, obfuscation, mixing, honey-x, and attacker engagement. These types are delineated by their information structures, agents, actions, and duration: precisely concepts captured by game theory. Our aims are to rigorously define types of defensive deception, to capture a snapshot of the state of the literature, to provide a menu of models which can be used for applied research, and to identify promising areas for future work. Our taxonomy provides a systematic foundation for understanding different types of defensive deception commonly encountered in cybersecurity and privacy.

研究动机与目标

• 为解决网络安全与隐私领域中防御欺骗缺乏严谨、系统化分类的问题，该领域术语使用不一致。
• 分析2008至2018年间的24项博弈论研究，以把握该文献领域的现状。
• 基于博弈论核心概念（信息结构、参与方、行动方式和持续时间）构建分类体系，实现对欺骗策略的精确建模。
• 为应用研究中的防御欺骗提供可复用的博弈论模型菜单。
• 识别防御欺骗领域中具有前景的未来研究方向，尤其在隐私保护系统与关键基础设施防护方面。

提出的方法

• 作者对2008至2018年间发表的24篇经同行评审的论文进行了全面调查，这些论文将博弈论应用于网络安全与隐私领域的防御欺骗。
• 基于博弈论的基本要素，提出了六类分类：扰动、移动目标防御、混淆、混合、蜜罐-x和攻击者互动。
• 每类欺骗类型均通过其信息结构（如完全信息与不完全信息）、参与方（防御者、攻击者、第三方）、行动方式（如随机化、配置变更）以及持续时间（一次性与动态博弈）进行定义。
• 通过每篇论文的详细分类依据对分类体系进行验证，区分内在欺骗机制（如数据/配置修改）与外在欺骗机制（如流量隐藏、多方交换）。
• 该框架利用博弈论建模，将欺骗形式化为防御者利用信息不对称误导攻击者的战略互动。
• 分析涵盖隐蔽型欺骗（隐藏真实状态）与模仿型欺骗（伪装成正常状态），并采用静态与动态博弈模型分别表示攻击者互动与蜜罐部署。

实验结果

研究问题

• RQ1 如何基于博弈论原则对网络安全与隐私中的防御欺骗进行系统化分类？
• RQ2 不同欺骗类型在信息结构、参与方角色、行动方式与时间动态方面有何区别特征？
• RQ3 博弈论模型如何表征防御者与攻击者在欺骗场景中的战略互动？
• RQ4 隐蔽型欺骗（隐藏真实状态）与模仿型欺骗（伪装成正常状态）在实现方式与博弈结构上存在哪些关键差异？
• RQ5 哪些防御欺骗技术最适于形式化的博弈论建模？其战略优势为何？

主要发现

• 作者识别出六类独特的防御欺骗类型——扰动、移动目标防御、混淆、混合、蜜罐-x和攻击者互动，每类均具有独特的博弈论特征。
• 当防御者直接修改数据或配置时，扰动与混淆被归类为内在机制；当通过添加噪声来掩盖信号时，则属于信息型机制。
• 混合与蜜罐-x欺骗依赖于外在机制：混洗网络使用虚假流量，蜜罐则通过模仿真实系统误导攻击者。
• 该分类体系区分了静态（一次性）与动态（多期、无限时域）博弈，其中动态模型更能捕捉攻击者行为的演化过程。
• 基于蜜罐的欺骗（蜜罐-x）在攻击者相信系统为真实系统时最为有效，这通过动态博弈中的信念操控机制进行建模。
• 研究发现，24篇被调研论文中有14篇聚焦于隐蔽型欺骗（如隐藏数据、位置或漏洞），而10篇聚焦于模仿型欺骗（如蜜罐、混洗网络），表明当前研究存在对隐藏技术的偏好，而非仿真技术。