[论文解读] Markov Game Modeling of Moving Target Defense for Strategic Detection of Threats in Cloud Networks

Ankur Chowdhary, Sailik Sengupta+2 more|arXiv (Cornell University)|Dec 23, 2018

Network Security and Intrusion Detection参考文献 17被引用 20

一句话总结

本文提出了一种零和马尔可夫博弈模型，通过利用攻击图和CVSS评分来平衡安全与性能，优化云网络中的入侵检测系统（IDS）部署。该方法计算混合最小最大均衡策略，在检测多阶段攻击方面优于静态和随机部署，同时最小化性能退化。

ABSTRACT

The processing and storage of critical data in large-scale cloud networks necessitate the need for scalable security solutions. It has been shown that deploying all possible security measures incurs a cost on performance by using up valuable computing and networking resources which are the primary selling points for cloud service providers. Thus, there has been a recent interest in developing Moving Target Defense (MTD) mechanisms that helps one optimize the joint objective of maximizing security while ensuring that the impact on performance is minimized. Often, these techniques model the problem of multi-stage attacks by stealthy adversaries as a single-step attack detection game using graph connectivity measures as a heuristic to measure performance, thereby (1) losing out on valuable information that is inherently present in graph-theoretic models designed for large cloud networks, and (2) coming up with certain strategies that have asymmetric impacts on performance. In this work, we leverage knowledge in attack graphs of a cloud network in formulating a zero-sum Markov Game and use the Common Vulnerability Scoring System (CVSS) to come up with meaningful utility values for this game. Then, we show that the optimal strategy of placing detecting mechanisms against an adversary is equivalent to computing the mixed Min-max Equilibrium of the Markov Game. We compare the gains obtained by using our method to other techniques presently used in cloud network security, thereby showing its effectiveness. Finally, we highlight how the method was used for a small real-world cloud system.

研究动机与目标

• 解决大规模云网络中静态和单步攻击检测模型的局限性。
• 优化IDS部署，以最小化性能影响并最大化对多阶段攻击的检测能力。
• 克服在单一主机上部署多个IDS导致的性能不对称退化问题。
• 将现实世界中的漏洞数据（CVE）和安全评分（CVSS）整合到博弈论框架中，实现战略性防御。
• 开发一种可扩展的动态防御策略，兼顾长期攻击路径和系统资源约束。

提出的方法

• 将云网络建模为马尔可夫博弈，其中状态代表从攻击图派生的子网络。
• 将攻击者动作定义为来自NVD中已知CVE的利用序列，将防御者动作定义为在脆弱节点上部署IDS。
• 使用通用漏洞评分系统（CVSS）分配效用值，以反映利用影响和严重程度。
• 将博弈形式化为零和马尔可夫博弈，以计算混合最小最大均衡作为最优IDS部署策略。
• 使用折扣因子来建模长期攻击后果，根据博弈的时间范围调整策略。
• 在每个状态下限制IDS部署数量，以防止任何单个主机上的性能退化，确保资源使用均衡。

实验结果

研究问题

• RQ1 马尔可夫博弈模型能否有效表示云网络中的多阶段攻击，同时整合现实世界中的漏洞严重程度（CVSS）？
• RQ2 从最小最大均衡推导出的最优IDS部署策略与静态和随机部署相比，在检测有效性方面表现如何？
• RQ3 在使用不同防御策略时，IDS部署对网络子网的性能影响在多大程度上存在差异？
• RQ4 所建模的子网络规模和折扣因子如何影响马尔可夫博弈中防御者的效用？
• RQ5 所提出的方法能否在具有已知漏洞和攻击路径的真实云系统中有效应用？

主要发现

• 马尔可夫博弈得出的最优混合策略在防御者效用方面优于静态和均匀随机IDS部署策略。
• 随着子网络规模增大和折扣因子提高，改进幅度增大，表明长期战略优势更显著。
• 该方法通过避免在单一主机上部署多个IDS的纯策略，防止了性能退化，确保了资源使用的均衡。
• 在一个涉及Debian和CentOS 6虚拟机的真实场景中，当折扣因子趋近于1时，马尔可夫博弈策略的防御者效用高于随机部署。
• 该方法通过使用攻击图建模连续的利用链，有效检测了包括数据外泄和服务中断在内的多阶段攻击路径。
• 该公式化方法实现了可扩展的、动态的IDS部署，尊重性能约束的同时最大化对高影响漏洞的检测。