[论文解读] Moving Target Defense for Web Applications using Bayesian Stackelberg Games

Sailik Sengupta, Satya Gautam Vadlamudi+5 more|arXiv (Cornell University)|Feb 23, 2016

Web Application Security VulnerabilitiesComputer Science参考文献 53被引用 20

一句话总结

本文提出了一种贝叶斯斯塔克尔贝格博弈框架，用于在Web应用中生成成本感知的切换策略，以实现移动目标防御（MTD），并利用真实世界的CVE数据和CVSS评分来建模攻击者类型与防御者收益。该方法在攻击者不确定性下的鲁棒性优于现有最先进方法，平均normalized loss in rewards（NLR）为0.061（对比URS方法的0.88）。

ABSTRACT

The present complexity in designing web applications makes software security a difficult goal to achieve. An attacker can explore a deployed service on the web and attack at his/her own leisure. Moving Target Defense (MTD) in web applications is an effective mechanism to nullify this advantage of their reconnaissance but the framework demands a good switching strategy when switching between multiple configurations for its web-stack. To address this issue, we propose modeling of a real-world MTD web application as a repeated Bayesian game. We then formulate an optimization problem that generates an effective switching strategy while considering the cost of switching between different web-stack configurations. To incorporate this model into a developed MTD system, we develop an automated system for generating attack sets of Common Vulnerabilities and Exposures (CVEs) for input attacker types with predefined capabilities. Our framework obtains realistic reward values for the players (defenders and attackers) in this game by using security domain expertise on CVEs obtained from the National Vulnerability Database (NVD). We also address the issue of prioritizing vulnerabilities that when fixed, improves the security of the MTD system. Lastly, we demonstrate the robustness of our proposed model by evaluating its performance when there is uncertainty about input attacker information.

研究动机与目标

• 在系统组件动态重新配置的背景下，设计一种有效且成本感知的移动目标防御（MTD）切换策略。
• 利用通用漏洞与暴露（CVEs）建模现实世界中的攻击者行为，并基于安全领域专业知识和CVSS评分分配现实的收益值。
• 开发一种框架，考虑配置间切换成本，而现有求解器忽略了这一点。
• 使用归一化收益损失（NLR）度量，评估MTD策略在攻击者类型概率不确定性下的鲁棒性。
• 识别并优先处理对MTD系统安全性影响最大的关键漏洞。

提出的方法

• 将MTD Web应用建模为重复的贝叶斯斯塔克尔贝格博弈（BSG），其中防御者（领导者）承诺采用混合策略，攻击者（跟随者）理性响应。
• 通过从国家漏洞数据库（NVD）中挖掘和分类CVE，自动为预定义的攻击者类型（如脚本小子、数据库黑客）生成攻击集合。
• 利用CVSS评分和安全专家见解，为防御者和攻击者的结果分配现实的效用值，确保实际相关性。
• 构建一个优化问题，以在惩罚高配置切换成本的同时最大化防御者效用，从而实现成本感知的策略生成。
• 使用归一化收益损失（NLR）度量，量化当攻击者类型概率被误估时策略的鲁棒性。
• 提出一种漏洞优先化方法，以识别最能提升MTD系统韧性的修复措施。

实验结果

研究问题

• RQ1 如何为Web应用中的MTD生成成本感知的切换策略，以在最小化操作开销的同时最大化安全性？
• RQ2 如何利用CVE数据和CVSS评分对现实世界中的攻击者行为进行建模，以反映真实的攻击能力和结果？
• RQ3 MTD策略对攻击者类型概率的不确定性有多鲁棒？这种鲁棒性如何进行定量衡量？
• RQ4 在所提出的博弈论框架下，修复哪些漏洞能最显著地提升MTD系统的安全性？
• RQ5 所提出的基于BSG的策略是否在安全性与不确定性下的鲁棒性方面优于现有最先进方法？

主要发现

• 所提出的贝叶斯斯塔克尔贝格博弈（BSG）策略在攻击者类型概率不确定性下，平均归一化收益损失（NLR）为0.061，而最先进方法URS的NLR为0.88。
• BSG策略显著优于URS，当攻击者概率变化时，其最大NLR为2.35，而URS为9.0。
• 主流攻击者和数据库黑客是敏感度最低的攻击者类型，因为其攻击行为在概率变化下保持不变，导致NLR = 0。
• 脚本小子是最敏感的攻击者类型；低估其概率会导致策略与最优策略产生显著偏离，凸显了准确建模的必要性。
• 该框架成功将现实世界的切换成本纳入策略生成过程，弥补了先前被适配到网络安全部分的物理安全求解器所忽视的空白。
• 所提出的漏洞优先化方法为识别能显著增强MTD系统韧性的关键修复提供了正式方法，解决了此前结构化不足的问题。