[论文解读] Deception by Design: Evidence-Based Signaling Games for Network Defense

Jeffrey Pawlick, Quanyan Zhu|arXiv (Cornell University)|Mar 16, 2015

Game Theory and Applications被引用 43

一句话总结

本文提出了一种基于博弈论的网络防御模型，通过蜜罐实现欺骗，将蜜罐检测的战略影响建模为一种概率性自然动作。研究发现，检测能力可能 paradoxically 提高欺骗性防御者的效用，挑战了关于战略互动中反欺骗措施的传统假设。

ABSTRACT

Deception plays a critical role in the financial industry, online markets, national defense, and countless other areas. Understanding and harnessing deception - especially in cyberspace - is both crucial and difficult. Recent work in this area has used game theory to study the roles of incentives and rational behavior. Building upon this work, we employ a game-theoretic model for the purpose of mechanism design. Specifically, we study a defensive use of deception: implementation of honeypots for network defense. How does the design problem change when an adversary develops the ability to detect honeypots? We analyze two models: cheap-talk games and an augmented version of those games that we call cheap-talk games with evidence, in which the receiver can detect deception with some probability. Our first contribution is this new model for deceptive interactions. We show that the model includes traditional signaling games and complete information games as special cases. We also demonstrate numerically that deception detection sometimes eliminate pure-strategy equilibria. Finally, we present the surprising result that the utility of a deceptive defender can sometimes increase when an adversary develops the ability to detect deception. These results apply concretely to network defense. They are also general enough for the large and critical body of strategic interactions that involve deception.

研究动机与目标

• 使用博弈论建模网络防御中的战略欺骗，特别关注蜜罐的部署。
• 分析蜜罐检测技术的出现如何改变欺骗性互动中的均衡结果。
• 设计一种机制，捕捉战略激励框架下欺骗与检测之间的动态相互作用。
• 研究欺骗检测是否以及如何能提升而非降低欺骗性防御者的效用。

提出的方法

• 形式化一个带有证据的信号博弈，其中欺骗检测被建模为发送方消息之后的随机自然动作。
• 通过引入允许接收方以一定概率检测欺骗的证据，扩展了传统的廉价谈话博弈。
• 分析在不同检测概率下的均衡结果，包括极端情况（平凡或全知检测）。
• 使用数值模拟评估检测既非完美也非完全缺失时的均衡行为。
• 从先前关于蜜罐防御的研究中改编效用函数，嵌入检测成本与战略激励。
• 应用机制设计原则，建模环境因素（如检测能力）如何影响战略结果。

实验结果

研究问题

• RQ1 欺骗检测的引入如何改变涉及蜜罐的信号博弈中的均衡策略？
• RQ2 在基于证据的检测中，何时存在纯策略均衡？
• RQ3 当对手获得检测欺骗的能力时，欺骗性防御者能否实现更高的效用？
• RQ4 在极端检测条件下，均衡结果如何退化为传统信号博弈或完全信息博弈？
• RQ5 该模型对网络防御中蜜罐的战略部署有何启示？

主要发现

• 当检测能力为平凡或全知时，该模型将传统信号博弈和完全信息博弈作为特例推广。
• 数值结果表明，当系统类型分布处于中间范围时，不存在纯策略均衡，但当分布接近极端时则存在。
• 出人意料的是，接收方可检测欺骗的能力反而可能提高欺骗性防御者的效用，这与“检测总是降低欺骗成功率”的直觉相反。
• 该模型捕捉了发送方与接收方对检测存在的战略适应，表明检测并不总是威慑，而可能在均衡中被利用。
• 该框架具有可扩展性，可推广至边境管制、广告和国际谈判等欺骗具有战略作用的领域。
• 将内生检测结果作为自然的动作纳入，使欺骗与反欺骗在网络安全系统中的表示更加真实和动态。