[论文解读] A Stochastic Model of Active Cyber Defense Dynamics

Shouhuai Xu, Wenlian Lu+1 more|arXiv (Cornell University)|Mar 28, 2016

Opinion Dynamics and Social Influence参考文献 46被引用 7

一句话总结

本文首次提出使用马尔可夫过程的主动网络防御动态数学模型，并通过平均场近似将其简化为可处理的动力系统。主要贡献在于对四种防御动态的解析表征，揭示了网络优势可实现全网自动清理，且网络结构（尤其是幂律图）对有效性具有决定性影响，当幂律度分布的指数 γ = 2 时效益达到最优。

ABSTRACT

The concept of active cyber defense has been proposed for years. However, there are no mathematical models for characterizing the effectiveness of active cyber defense. In this paper, we fill the void by proposing a novel Markov process model that is native to the interaction between cyber attack and active cyber defense. Unfortunately, the native Markov process model cannot be tackled by the techniques we are aware of. We therefore simplify, via mean-field approximation, the Markov process model as a Dynamic System model that is amenable to analysis. This allows us to derive a set of valuable analytical results that characterize the effectiveness of four types of active cyber defense dynamics. Simulations show that the analytical results are inherent to the native Markov process model, and therefore justify the validity of the Dynamic System model. We also discuss the side-effect of the mean-field approximation and its implications.

研究动机与目标

• 为解决缺乏评估主动网络防御有效性的数学模型的问题。
• 将网络中网络攻击与主动防御之间的动态交互建模为马尔可夫过程。
• 通过平均场近似将难以处理的马尔可夫模型简化为可分析的动力系统。
• 推导主动防御有效的解析条件，尤其关注网络结构与作战能力的关系。
• 通过仿真验证动力系统模型，并评估近似精度。

提出的方法

• 将攻击-防御交互建模为基于节点度和阈值的网络上的连续时间马尔可夫过程，其状态转移依赖于这些参数。
• 应用平均场近似，用确定性的期望值替代随机的邻居交互，将模型简化为一维微分方程。
• 推导受 dν(t)/dt = θσ(ν(t), ⟨deg(v)⟩) − ν(t) 支配的动力系统模型，其中 ν(t) 表示蓝色（受保护）节点的占比。
• 使用二项分布概率近似节点的蓝色邻居数量超过阈值 σ·⟨deg(v)⟩ 的可能性。
• 通过分析平衡点与吸引盆，确定实现全网防御所需的关键初始条件。
• 通过仿真验证动力系统模型，将其与原始马尔可夫过程在ER图与幂律图上的表现进行对比。

实验结果

研究问题

• RQ1 在何种条件下，主动网络防御能有效清理被攻陷的网络？
• RQ2 网络拓扑结构（特别是Erdős–Rényi图与幂律图）如何影响主动防御的有效性？
• RQ3 初始防御者/攻击者作战能力及在高阶度节点上的战略部署有何影响？
• RQ4 动态系统模型中的阈值 σ 与真实马尔可夫过程的阈值 σmarkov 有何差异？为何会出现漂移？
• RQ5 平均场近似在多大程度上保持了原始马尔可夫模型的动力学特性？

主要发现

• 在I型与II型动态中，攻击者与防御者作战能力相当，主动防御的有效性取决于网络结构、初始状态、作战能力与策略，其中在幂律图中具有战略优势。
• 对于度指数 γ = 2 的幂律网络，防御者通过占据高阶度节点所能获得的收益达到最大。
• 在III型动态中，当防御者具有显著作战优势时，主动防御可自动治愈整个网络，无论网络结构或攻击策略如何。
• 动态系统模型中的阈值 σ 由于对邻居数量的二项分布近似，会从真实马尔可夫阈值 σmarkov 发生漂移，尤其在低度数网络中更为明显。
• 随着平均节点度的增加，阈值漂移效应减弱，σmarkov 在ER图与幂律图中均随平均度升高而趋近于 σ。
• 动力系统模型准确捕捉了原始马尔可夫过程的动力学特性，且随着网络连通性增强，模型精度进一步提高。