[论文解读] Orchestrating Collaborative Cybersecurity: A Secure Framework for Distributed Privacy-Preserving Threat Intelligence Sharing

Juan R. Trocoso-Pastoriza, Alain Mermoud+5 more|arXiv (Cornell University)|Sep 6, 2022

Cybercrime and Law Enforcement Studies被引用 5

一句话总结

本文提出了一种基于隐私增强技术（PETs）的隐私保护联邦框架，用于协作式网络威胁情报（CTI）共享，所采用的PETs包括同态加密和安全多方计算。通过使组织能够在不集中化敏感数据的情况下联合训练威胁检测模型，该框架缓解了免费搭车问题，同时在保护数据机密性并最小化泄露风险的前提下，实现了准确且具代表性的威胁洞察。

ABSTRACT

Cyber Threat Intelligence (CTI) sharing is an important activity to reduce information asymmetries between attackers and defenders. However, this activity presents challenges due to the tension between data sharing and confidentiality, that result in information retention often leading to a free-rider problem. Therefore, the information that is shared represents only the tip of the iceberg. Current literature assumes access to centralized databases containing all the information, but this is not always feasible, due to the aforementioned tension. This results in unbalanced or incomplete datasets, requiring the use of techniques to expand them; we show how these techniques lead to biased results and misleading performance expectations. We propose a novel framework for extracting CTI from distributed data on incidents, vulnerabilities and indicators of compromise, and demonstrate its use in several practical scenarios, in conjunction with the Malware Information Sharing Platforms (MISP). Policy implications for CTI sharing are presented and discussed. The proposed system relies on an efficient combination of privacy enhancing technologies and federated processing. This lets organizations stay in control of their CTI and minimize the risks of exposure or leakage, while enabling the benefits of sharing, more accurate and representative results, and more effective predictive and preventive defenses.

研究动机与目标

• 解决因数据保密性顾虑而导致的网络威胁情报共享中的免费搭车问题。
• 使组织能够在不暴露敏感信息的情况下协作分析分布式的CTI数据。
• 通过实现真正的分布式训练，克服集中式或过采样数据集在威胁建模中的局限性。
• 将隐私增强技术（PETs）与现有的CTI平台（如MISP）集成，以实现可扩展的、安全的协作。
• 通过涉及关键基础设施的实际用例，证明该框架的可行性和有效性。

提出的方法

• 该框架使用多方同态加密（MHE）在分布式组织间对加密的威胁数据执行计算。
• 它与恶意软件信息共享平台（MISP）集成，以提取和处理入侵指标（IoCs）、漏洞和事件数据。
• 安全多方计算（sMPC）支持在不暴露原始数据的情况下联合训练模型，从而在分析过程中保持保密性。
• 系统通过Keycloak实现基于角色的访问控制（RBAC），以实现细粒度的授权和身份管理。
• 可选地应用差分隐私以保护输出结果，防止好奇查询者发起的推理攻击。
• 该架构支持被动和主动敌手模型，并可通过支持可验证计算实现更强的安全保证。

实验结果

研究问题

• RQ1 组织如何在不损害数据保密性的情况下共享敏感的网络威胁情报？
• RQ2 与集中式或过采样方法相比，使用加密计算的联邦学习在多大程度上能提升威胁检测模型的准确性和代表性？
• RQ3 隐私保护的分布式框架能否有效缓解CTI共享中的免费搭车问题？
• RQ4 如何扩展现有的CTI平台（如MISP）以支持大规模、安全的隐私保护协作？
• RQ5 在威胁情报工作负载中，同态加密与差分隐私结合使用时，其性能与安全权衡如何？

主要发现

• 该框架成功实现了在不集中化数据的情况下，对分布式的敏感CTI数据进行威胁检测模型的联合训练。
• 同态加密的使用确保了在计算过程中，即使其他参与节点或基础设施提供商也无法暴露原始数据。
• 该系统表明，分布式训练可避免集中式或不完整数据集中常见的过采样技术所引入的偏差。
• 与医院等关键基础设施进行的初步实际试点，证实了该框架在学术概念验证之外的实际成熟度和可行性。
• 与MISP的集成使得该框架能够无缝融入现有的CTI生态系统，提升了互操作性和可扩展性。
• PETs与联邦处理的结合显著降低了数据泄露风险，同时保持了模型的实用性和准确性。