[论文解读] Cyber Deception for Computer and Network Security: Survey and Challenges

Zhuo Lu, Cliff Wang+1 more|arXiv (Cornell University)|Jul 28, 2020

Network Security and Intrusion Detection参考文献 41被引用 13

一句话总结

本文全面综述并分析了网络欺骗作为主动网络防御机制的应用，将欺骗策略分类为基于博弈论的建模、网络级欺骗、主机系统级欺骗以及基于密码学的方法。文章指出了可观察性、可控性、可用性以及与移动目标防御（MTD）集成方面的关键挑战，并倡导开展跨学科研究，以建立欺骗驱动安全的科学基础。

ABSTRACT

Cyber deception has recently received increasing attentions as a promising mechanism for proactive cyber defense. Cyber deception strategies aim at injecting intentionally falsified information to sabotage the early stage of attack reconnaissance and planning in order to render the final attack action harmless or ineffective. Motivated by recent advances in cyber deception research, we in this paper provide a formal view of cyber deception, and review high-level deception schemes and actions. We also summarize and classify recent research results of cyber defense techniques built upon the concept of cyber deception, including game-theoretic modeling at the strategic level, network-level deception, in-host-system deception and cryptography based deception. Finally, we lay out and discuss in detail the research challenges towards developing full-fledged cyber deception frameworks and mechanisms.

研究动机与目标

• 为理解网络欺骗作为应对高级网络攻击的主动防御机制，提供一个正式的框架。
• 对多个领域中基于欺骗的网络防御技术的最新进展进行分类与总结：战略层面、网络层面、主机层面以及密码学方法。
• 识别并分析在可观察性、可控性、可用性以及与移动目标防御（MTD）集成方面的主要研究挑战。
• 倡导将控制理论、认知科学与安全技术相结合的跨学科研究，以构建网络欺骗的科学基础。
• 通过指出开放性问题和未来研究方向，为开发稳健、可扩展且可用的欺骗框架提供指导。

提出的方法

• 提出一种单轮欺骗模型，包含三个阶段：欺骗规划（设计欺骗目标和偏置信息）、欺骗实施（部署虚假实体，如文件、设备和网络流量）以及欺骗分析（监控攻击者行为并衡量有效性）。
• 将欺骗技术分为四类：基于博弈论建模以支持战略决策，基于网络的欺骗（利用虚假路由和流量），基于主机系统的欺骗（通过虚假系统文件和服务实现），以及基于密码学的欺骗（使用混淆技术与虚假密钥）。
• 引入欺骗中‘可观察性’的概念，定义为防御者感知和度量攻击者行为的能力；‘可控性’则指引导攻击者进入错误心理模型的能力。
• 提出欺骗有效性不仅应通过检测与干扰能力来评估，还应考虑对可用性的影响，确保对合法用户干扰最小化。
• 建议将网络欺骗与移动目标防御（MTD）结合，通过同时增加系统复杂性和误导性来提升整体弹性。
• 呼吁基于控制理论和认知科学建立正式度量标准，以量化欺骗的可观察性与可控性，从而实现对欺骗方案的系统性评估。

实验结果

研究问题

• RQ1 如何将网络欺骗正式建模为攻击者与防御者在多个阶段中交互的战略性过程？
• RQ2 基于欺骗的网络防御的关键技术类别及其代表性技术是什么？它们在实现方式与有效性方面有何差异？
• RQ3 如何基于控制理论原则，对网络欺骗中的可观察性与可控性进行形式化定义与度量？
• RQ4 欺骗部署中存在哪些可用性权衡？如何设计欺骗机制以最小化对合法用户的干扰？
• RQ5 如何有效结合网络欺骗与移动目标防御（MTD），以在攻击链的各个阶段最大化保护效果？

主要发现

• 网络欺骗是一种有前景的主动防御机制，可在攻击者的侦察与规划阶段实施干扰，从而降低后续攻击的有效性。
• 欺骗技术大致可分为基于博弈论的建模、网络级欺骗、主机系统级欺骗以及基于密码学的欺骗，各类技术针对不同的攻击面。
• 可观察性与可控性是衡量欺骗有效性的关键指标，但当前研究中仍缺乏正式的定义与量化方法。
• 可用性是主要关切：欺骗必须精心设计，以避免混淆或干扰正常用户，但目前尚无标准化的度量指标用于评估欺骗方案的可用性影响。
• 将欺骗与移动目标防御（MTD）结合可增强安全性，通过同时提升系统复杂性与误导性来实现，近期研究已成功用于干扰网络流量推断。
• 亟需开展跨学科研究——涵盖计算机安全、控制理论与认知科学——以形式化欺骗模型，并构建可扩展、高效的欺骗框架。