[论文解读] Sludge for Good: Slowing and Imposing Costs on Cyber Attackers

Josiah Dykstra, Kelly Shortridge+2 more|arXiv (Cornell University)|Nov 29, 2022

Information and Cyber Security被引用 5

一句话总结

本文提出「善用淤积」策略——一种通过刻意引入摩擦以减缓攻击者速度并提高其资源成本的网络安全部署方法，结合欺骗技术和选择架构。通过在攻击前、期间和之后各阶段应用淤积，防御者可对攻击者施加可衡量的时间、资金和运营成本，同时最大限度减少对合法用户的影响。

ABSTRACT

Choice architecture describes the design by which choices are presented to people. Nudges are an aspect intended to make "good" outcomes easy, such as using password meters to encourage strong passwords. Sludge, on the contrary, is friction that raises the transaction cost and is often seen as a negative to users. Turning this concept around, we propose applying sludge for positive cybersecurity outcomes by using it offensively to consume attackers' time and other resources. To date, most cyber defenses have been designed to be optimally strong and effective and prohibit or eliminate attackers as quickly as possible. Our complimentary approach is to also deploy defenses that seek to maximize the consumption of the attackers' time and other resources while causing as little damage as possible to the victim. This is consistent with zero trust and similar mindsets which assume breach. The Sludge Strategy introduces cost-imposing cyber defense by strategically deploying friction for attackers before, during, and after an attack using deception and authentic design features. We present the characteristics of effective sludge, and show a continuum from light to heavy sludge. We describe the quantitative and qualitative costs to attackers and offer practical considerations for deploying sludge in practice. Finally, we examine real-world examples of U.S. government operations to frustrate and impose cost on cyber adversaries.

研究动机与目标

• 应对日益严峻的持续性网络攻击者挑战，这些攻击者具备高度的资源效率和低检测风险。
• 从纯粹的防御性、拒绝服务型策略转向一种互补策略，通过战略性摩擦对攻击者施加成本。
• 探讨行为经济学中的「淤积」原则如何被重新利用于网络安全领域，以干扰攻击者的工作流程。
• 提供一个设计与评估淤积机制的框架，确保其有效、可衡量且对合法用户伤害最小。
• 通过美国政府行动的案例研究，展示该策略在现实中的适用性，证明其已成功对攻击者施加成本。

提出的方法

• 借鉴行为经济学中的「选择架构」概念，将网络防御重新构架为一种有意制造摩擦的系统。
• 将「淤积」设计为一种战略性工具，通过引入延迟、复杂性与认知负荷，提高攻击者的交易成本。
• 实施欺骗技术，如蜜罐、虚假凭证和误导性系统行为，以延缓攻击者的侦察与横向移动。
• 使用真实的设计特征（例如，逼真但虚假的系统提示）以维持可信度，同时增加攻击者的工作量。
• 构建从「轻度」（如延迟响应）到「重度」（如模拟系统故障）的淤积谱系，以匹配威胁等级与操作情境。
• 通过定性与定量指标评估有效性，包括系统被攻陷的时间、检测率以及攻击者资源消耗情况。

实验结果

研究问题

• RQ1 如何在攻击生命周期的各个阶段战略性地部署淤积，以最大化攻击者成本，同时最小化对合法用户的影响？
• RQ2 淤积通过何种行为与心理机制影响攻击者的决策与持续攻击意愿？
• RQ3 淤积在何种方式下可与现有的零信任和假设已被攻破的安全模型相辅相成？
• RQ4 现实世界中淤积的实施（如制裁或公开归因）如何影响攻击者的行为与运营成本？
• RQ5 哪些组织与人为因素会影响淤积在干扰网络行动中的有效性？

主要发现

• 淤积策略已成功对攻击者施加可衡量的时间与资源成本，证据表明制裁与金融摩擦已实际减缓了勒索软件活动。
• 美国政府行动，包括对恶意软件的公开归因与金融制裁，通过增加攻击者的操作复杂性与风险，已成功扰乱其行动。
• 2022年初，勒索软件活动出现下降趋势，部分原因可归因于制裁，使俄罗斯背景攻击者更难获取基础设施与完成资金转移。
• 基于欺骗的淤积（如蜜文件与蜜罐）在侦察与横向移动阶段已被证明能有效延迟并扰乱攻击者。
• 淤积可通过利用认知偏见与内部协作缺陷（如责任推诿与沟通中断）来干扰协同攻击团队。
• 尽管并非完全威慑，淤积显著提高了攻击的机会成本，使部分攻击对资源较少的威胁行为者不再具备经济可行性。