[论文解读] Optimizing Active Cyber Defense

Wenlian Lu, Shouhuai Xu+1 more|arXiv (Cornell University)|Mar 28, 2016

Network Security and Intrusion Detection参考文献 23被引用 4

一句话总结

本文利用最优控制与博弈论模型，制定最优主动网络防御策略，分析防御者与攻击者之间的战略互动。推导出最优防御能力调节的条件，识别在不同成本敏感度下的纳什均衡，并揭示当成本过高时防御者可能放弃主动防御，而当成本过高时攻击者可能避免使用高级攻击手段。

ABSTRACT

Active cyber defense is one important defensive method for combating cyber attacks. Unlike traditional defensive methods such as firewall-based filtering and anti-malware tools, active cyber defense is based on spreading "white" or "benign" worms to combat against the attackers' malwares (i.e., malicious worms) that also spread over the network. In this paper, we initiate the study of {\em optimal} active cyber defense in the setting of strategic attackers and/or strategic defenders. Specifically, we investigate infinite-time horizon optimal control and fast optimal control for strategic defenders (who want to minimize their cost) against non-strategic attackers (who do not consider the issue of cost). We also investigate the Nash equilibria for strategic defenders and attackers. We discuss the cyber security meanings/implications of the theoretic results. Our study brings interesting open problems for future research.

研究动机与目标

• 将主动网络防御建模为攻击者与防御者之间的战略互动，超越非战略模型。
• 研究防御者为最小化长期防御成本而采用的无限时域最优控制。
• 分析快速最优控制场景，即防御者在最小成本下尽快占领网络节点。
• 在防御者与攻击者均基于成本考量采取战略行动时，识别纳什均衡策略。
• 探讨理论结果对网络安全性的影响，特别是高级防御与攻击工具的使用。

提出的方法

• 构建同质（均匀混合）网络模型，其中每个被攻陷的节点可均匀地攻击任意其他节点。
• 应用无限时域最优控制理论，基于初始网络状态与成本参数推导最优防御能力轨迹。
• 利用快速最优控制方法，最小化在防御行动的线性与二次成本函数下的占领时间。
• 通过求解防御者与攻击者的耦合汉密尔顿-雅可比-贝尔曼方程，推导纳什均衡策略。
• 引入归一化比率（kB, kR）以比较检测成本与恢复成本，并使用贴现率 z 来建模时间偏好。
• 分析特征方程根（FB(iB)=0 与 FR(iB)=0）以确定最优控制策略中的切换行为。

实验结果

研究问题

• RQ1 在何种条件下，战略防御者应使用主动网络防御，何时应转为其他防御方法？
• RQ2 防御成本形式（线性与二次）如何影响快速部署场景下的最优控制策略？
• RQ3 当防御者与攻击者均采取战略行动并考虑自身成本约束时，其均衡策略为何？
• RQ4 成本敏感度阈值（如 kBz > 1/4(a−b)）如何影响主动防御或主动攻击的升级或放弃决策？
• RQ5 当一方或双方均不愿使用高级工具（如零日漏洞或高级防御机制）时，系统动态行为如何变化？

主要发现

• 若防御者的成本比率 kBz 超过 1/4(a−b)，则无论初始网络状态如何，防御者均不应使用主动防御。
• 当攻击者高度敏感于成本（kRz > 1/4(a−b)）时，攻击者将永远不使用主动攻击工具，导致 lim(t→∞) iB(t) = 1。
• 当防御者与攻击者均高度规避成本（kBz > 1/4(a−b) 且 kRz > 1/4(a−b)）时，双方均不施加控制（ˆπB = ˆπR = 0），导致网络状态保持静态。
• 当双方均中等程度规避成本时，系统表现出阈值行为：若防御者初始占据比例较小（iB(0) < i1），则不会升级；若初始占据比例较大（iB(0) > i2），则将完全升级。
• 对于中间初始状态，系统可能达到动态均衡，其中控制输入仅在特定区间内非零（如 i3 < iB(0) < i4），且轨迹收敛至稳定点。
• 特征方程 FB(iB)=0 与 FR(iB)=0 中存在实根，决定控制动作是否被触发，无实根意味着不采取控制为最优策略。