[论文解读] An Argumentation-Based Framework to Address the Attribution Problem in Cyber-Warfare

Paulo Shakarian, Gerardo I. Simari+3 more|arXiv (Cornell University)|Apr 27, 2014

Logic, Reasoning, and Knowledge参考文献 17被引用 9

一句话总结

本文提出 InCA，一种基于论证的框架，通过在不确定性下系统整合技术证据与情报证据，结合概率推理与逻辑编程，以解决网络溯源问题。该框架可在证据冲突或具有欺骗性时实现自动化、可解释的溯源，为军事与安全分析师提供形式化、可追溯的推理过程。

ABSTRACT

Attributing a cyber-operation through the use of multiple pieces of technical evidence (i.e., malware reverse-engineering and source tracking) and conventional intelligence sources (i.e., human or signals intelligence) is a difficult problem not only due to the effort required to obtain evidence, but the ease with which an adversary can plant false evidence. In this paper, we introduce a formal reasoning system called the InCA (Intelligent Cyber Attribution) framework that is designed to aid an analyst in the attribution of a cyber-operation even when the available information is conflicting and/or uncertain. Our approach combines argumentation-based reasoning, logic programming, and probabilistic models to not only attribute an operation but also explain to the analyst why the system reaches its conclusions.

研究动机与目标

• 解决军事背景下网络行动溯源的复杂挑战，其中证据往往相互冲突、不确定或被故意误导。
• 开发一种形式化推理系统，支持分析师整合多种证据类型，包括恶意软件 forensics、源追踪以及传统情报（HUMINT/SIGINT）。
• 通过论证与概率建模提供可追溯的论证依据，实现可解释的溯源。
• 支持对竞争性假设、欺骗策略以及网络战场景中行为者、恶意软件与行动之间关系的推理。
• 构建可扩展、可扩展的框架，能够建模非国家行为体、国家支持的攻击以及协调一致的网络行动。

提出的方法

• 该框架使用两个核心模型：环境模型（EM），用于编码概率性背景知识，如技术证据与情报报告；分析模型（AM），用于表示溯源的竞争性假设。
• 采用基于论证的推理处理冲突或可废止的证据，使系统能够基于一致性和具体性评估并排序竞争性解释。
• 扩展缺陷性逻辑编程（DLP）以整合概率信息，实现在保持逻辑一致性的同时进行不确定性推理。
• 系统为 AM 中的陈述标注来自 EM 的条件，确保结论基于可验证证据，并可追溯至原始数据。
• 通过引入可在论证结构内被评估和驳回的反论证，支持对欺骗行为（如虚假旗帜或被入侵系统）的建模。
• 通过追溯论证路径至其证据根源生成解释，使分析师能够审计并验证推理过程。

实验结果

研究问题

• RQ1 如何构建一个形式化推理系统，以整合来自技术取证与传统情报来源的异构、不确定且可能冲突的证据，用于网络溯源？
• RQ2 如何将论证理论与概率推理相结合，以在网络溯源中支持可废止、可解释的结论？
• RQ3 如何以系统化且可追溯的方式建模和推理欺骗行为，如虚假旗帜或被破坏的基础设施？
• RQ4 如何使该框架支持对复杂关系（如非国家行为体与国家之间的协作）在网络行动中的建模？
• RQ5 如何使系统提供可审计、人类可读的溯源决策解释，以增强分析师信任与决策支持？

主要发现

• InCA 框架成功整合了概率证据、逻辑编程与论证方法，支持在不确定性下实现自动化、可解释的网络溯源。
• 该框架通过运用广义具体性等原则评估竞争性论证，实现对冲突证据的推理，能够在真实案例（如 Stuxnet）中解决模糊性问题。
• 系统可通过在论证框架内引入并评估反论证，对欺骗场景（如在恶意软件中植入虚假线索）进行建模。
• InCA 支持对复杂网络战场景的建模，包括国家行为体与非国家行为体之间的协作，以及涉及多次攻击或多种恶意软件家族的行动。
• 该框架通过允许分析师追溯论证路径至其证据来源，提供可追溯的解释，从而增强自动化决策的透明度与可信度。
• 该方法具有可扩展性，支持未来增强功能，如实时溯源、自动模型学习与证据推荐。