[论文解读] Modelling the costs and benefits of Honeynets

Maximillian Dornseif, Sascha May|ArXiv.org|Jun 28, 2004

ICT Impact and Policies参考文献 2被引用 6

一句话总结

本文提出了一种经济模型，用于评估部署蜜网的成本与收益，将启动和维护成本与从合格攻击者处获取的情报价值进行对比分析。研究发现，当维护投入能显著提高检测可能性时，蜜网最具效益；但攻击者情报的高价值往往被较低的攻击频率和不确定的实用性所抵消。

ABSTRACT

For many IT-security measures exact costs and benefits are not known. This makes it difficult to allocate resources optimally to different security measures. We present a model for costs and benefits of so called Honeynets. This can foster informed reasoning about the deployment of honeynet technology.

研究动机与目标

• 为解决现有对蜜网部署缺乏定量分析的问题，通过建模其经济权衡来填补空白。
• 识别影响组织中蜜网可行性的关键成本与收益因素。
• 确定能最大化蜜网部署净效用的最优维护投资水平。
• 评估蜜网是否能提供超越情报收集的切实安全收益。
• 在对检测能力和成本结构做出合理假设的前提下，建模攻击者行为与蜜网响应机制。

提出的方法

• 将蜜网成本形式化为 c(t) = S + Mt，其中 S 为启动成本，M 为单位时间维护成本。
• 将效用建模为 u(t) = Pt(M/I)，其中 P 代表单次合格攻击所产生情报的价值，I 反映维护如何影响攻击频率。
• 假设攻击者具有固定的单位时间成本，并在检测到蜜网时（时间 td）终止攻击。
• 因透明重定向与检测的未解技术难题，排除主动型蜜网。
• 采用简化的攻击者模型，假设蜜网不可被篡改，且单位时间攻击成本固定。
• 使用比较曲线分析：当效用曲线 u(t) 超过成本曲线 c(t) 时，即为盈利状态。

实验结果

研究问题

• RQ1 部署和运行蜜网的主要成本构成是什么？它们如何随时间变化？
• RQ2 从合格攻击者处获取的情报具有多大的经济价值？该价值如何随维护投入而变化？
• RQ3 增加维护投入如何提高吸引合格攻击者的可能性？此类投资的回报率如何？
• RQ4 在何种条件下，蜜网部署的效用会超过其总成本？
• RQ5 攻击者检测与终止行为如何影响蜜网运营的整体成本-收益平衡？

主要发现

• 模型表明，仅当效用曲线 u(t) 超过成本曲线 c(t) 时，蜜网部署才具有盈利能力，这取决于情报价值（P）以及维护对攻击频率（I）的影响。
• 启动成本（S）相对容易估算，但情报价值（P）在技术上很高，实际效用却往往偏低，尤其对非高级攻击而言。
• I 因子（表示维护投入如何提升攻击频率）在实践中可能偏低，意味着更高的维护仅带来攻击量的边际增长。
• 蜜网在捕获低级或自动化攻击者的数据方面最为有效，而高级攻击者能快速识别并放弃蜜网，从而限制情报收益。
• 模型假设攻击者在检测到蜜网时（td）即终止攻击，这简化了分析，但可能无法反映真实场景中蜜网被攻陷的情况。
• 本文结论认为，尽管蜜网可提供有价值威胁情报，但其经济可行性受限于较低的攻击频率和不确定的实用性，尤其对非研究型组织而言。