[论文解读] Dynamic Information Flow Tracking for Detection of Advanced Persistent Threats: A Stochastic Game Approach

Shana Moothedath, Dinuka Sahabandu+5 more|arXiv (Cornell University)|Jun 22, 2020

Network Security and Intrusion Detection参考文献 27被引用 7

一句话总结

本文提出了一种随机博弈论框架，用于优化高级持续性威胁（APT）检测中的动态信息流跟踪（DIFT），将防御者与攻击者之间的战略互动建模为一个非零和、回合制、具有不完全信息的随机博弈。主要贡献在于证明了纳什均衡对应于从系统中导出的流网络中的最小容量割集，从而实现资源高效的检测，平衡检测有效性与分析成本，同时考虑了误报和漏报问题。

ABSTRACT

Advanced Persistent Threats (APTs) are stealthy customized attacks by intelligent adversaries. This paper deals with the detection of APTs that infiltrate cyber systems and compromise specifically targeted data and/or infrastructures. Dynamic information flow tracking is an information trace-based detection mechanism against APTs that taints suspicious information flows in the system and generates security analysis for unauthorized use of tainted data. In this paper, we develop an analytical model for resource-efficient detection of APTs using an information flow tracking game. The game is a nonzero-sum, turn-based, stochastic game with asymmetric information as the defender cannot distinguish whether an incoming flow is malicious or benign and hence has only partial state observation. We analyze equilibrium of the game and prove that a Nash equilibrium is given by a solution to the minimum capacity cut set problem on a flow-network derived from the system, where the edge capacities are obtained from the cost of performing security analysis. Finally, we implement our algorithm on the real-world dataset for a data exfiltration attack augmented with false-negative and false-positive rates and compute an optimal defender strategy.

研究动机与目标

• 为解决传统基于签名的防御机制难以检测隐蔽且长期存在的 APT 攻击的挑战。
• 将 APT 与 DIFT 之间的战略互动建模为具有不完全信息和不完全检测（误报/漏报）的随机博弈。
• 开发一种资源高效的检测策略，以最小化安全分析成本，同时最大化检测概率。
• 提供一种博弈论均衡解，以体现检测准确性与系统资源开销之间的权衡。
• 利用 RAIN 系统在数据外泄攻击上的真实世界数据验证该方法。

提出的方法

• 将防御者-攻击者互动形式化为一个非零和、回合制、具有不完全信息的随机博弈。
• 将防御者对分析位置的选择以及攻击者路径选择建模为流网络中的状态转移。
• 定义收益函数，其中包含检测成本、成功检测的奖励，以及对误报和漏报的惩罚。
• 证明了纳什均衡等价于从系统中导出的流网络上的最小容量割集问题的解。
• 根据在每个节点执行安全分析的成本，为流网络中的边分配容量。
• 在 RAIN 框架的真实世界系统日志上实现该算法，以计算最优防御者策略。

实验结果

研究问题

• RQ1 如何通过博弈论模型捕捉使用 DIFT 的防御者与 APT 攻击者在具有不完全信息的系统中的战略互动？
• RQ2 在存在误报和漏报的情况下，防御者的均衡策略是什么，能够最优地平衡检测有效性和资源成本？
• RQ3 在分析成本变化的情况下，所提出的随机博弈模型与基于启发式规则的 DIFT 策略相比，在收益方面表现如何？
• RQ4 最小容量割集问题是否可用于计算基于 DIFT 的 APT 检测系统中防御者的最优策略？
• RQ5 随着安全分析成本的变化，防御者策略如何演变？其中出现了哪些权衡？

主要发现

• 该随机博弈的纳什均衡等价于从系统信息流图导出的流网络上的最小容量割集问题的解。
• 与基于启发式规则的 DIFT 相比，博弈论方法在分析成本较高的情况下表现更优，尤其是在涉及高成本、高流量节点时。
• 在低成本参数下，启发式方法表现更佳，因其覆盖范围更广；但随着成本上升，其性能迅速下降。
• 最优防御者策略选择检测价值高且资源成本低的节点（如案例研究中的节点 2），而非高流量节点（如 16 号节点），后者会带来过高的成本。
• 该模型成功地将误报率和漏报率纳入收益函数，实现了检测准确性与资源效率之间有原则的权衡。
• 基于真实世界数据的实证评估表明，与启发式方法相比，博弈论解在广泛的成本参数范围内均保持更高的收益（单位成本下的有效性）。