[论文解读] Attack--Defense Trees and Two-Player Binary Zero-Sum Extensive Form Games Are Equivalent - Technical Report with Proofs

Barbara Kordy, Sjouke Mauw+2 more|arXiv (Cornell University)|Jun 14, 2010

Information and Cyber Security参考文献 7被引用 12

一句话总结

本文建立了攻击-防御树（ADTerms）与双人二元零和广义形式博弈之间的形式等价性，表明二者在可满足性方面具有等价的表达能力。作者定义了ADTerms与博弈之间的双向映射，保持结果与结构关系不变，从而使得博弈论分析可应用于安全建模，同时保留直观的树形表示。

ABSTRACT

Attack--defense trees are used to describe security weaknesses of a system and possible countermeasures. In this paper, the connection between attack--defense trees and game theory is made explicit. We show that attack--defense trees and binary zero-sum two-player extensive form games have equivalent expressive power when considering satisfiability, in the sense that they can be converted into each other while preserving their outcome and their internal structure.

研究动机与目标

• 正式建立攻击-防御树（ADTerms）与双人二元零和广义形式博弈之间的等价性。
• 通过ADTerms使成熟的博弈论分析技术可应用于安全建模。
• 解决ADTerms与博弈之间在结构上的不匹配问题，特别是合取节点与细化机制方面。
• 在两种形式化方法之间的转换过程中，同时保持结果与内部结构。

提出的方法

• 将ADTerms定义为在包含攻击者（p）与防御者（o）的命题算子（析取、合取、对策节点）签名上的类型化基项。
• 通过基于博弈结构规则的映射，将博弈转换为ADTerms，将决策节点、机会移动与结果节点转换为相应的ADTerm结构。
• 通过递归地将子项转换为博弈子树，并引入虚拟移动以建模细化，定义从ADTerms到博弈的反向映射。
• 使用策略转换函数 J·KG 将ADTerms中的基本赋值映射到博弈中的策略，确保可满足性与获胜结果相对应。
• 证明：当且仅当对应ADTerm在相同赋值下可满足时，该玩家在博弈中获胜。
• 通过将不对应元素（合取节点与细化）转换为等价的析取或虚拟结构博弈组件，加以处理。

实验结果

研究问题

• RQ1 能否在保持结果与结构的前提下，将攻击-防御树正式映射为双人广义形式博弈？
• RQ2 ADTerms中的合取节点如何语义地映射到博弈论结构？
• RQ3 ADTerms中的细化机制如何在不损失表达力的前提下表示为博弈？
• RQ4 ADTerms与博弈之间是否存在双向且保持结构的转换？
• RQ5 博弈论分析技术能否有意义地应用于基于ADTerm的安全模型？

主要发现

• ADTerms与双人二元零和广义形式博弈之间存在双向转换，同时保持结果与内部结构。
• 当且仅当对应博弈中该玩家具有获胜策略时，ADTerm对该玩家可满足。
• 某一玩家的合取节点被转换为对手的析取节点，从而在结构差异下实现语义等价。
• ADTerms中的细化通过引入中间虚拟移动（对手仅有一个选择）进行建模，保持逻辑流程。
• 该转换在严格意义上不可逆，即 [[t]G]AD ≠ t 且 [[t]AD]G ≠ t，表明映射并非互逆。
• 该等价性使得成熟的博弈论分析可应用于基于ADTerm的安全模型，从而增强形式化验证与战略推理能力。