[论文解读] SODEXO: A System Framework for Deployment and Exploitation of Deceptive Honeybots in Social Networks

Quanyan Zhu, Andrew Clark+2 more|arXiv (Cornell University)|Jul 24, 2012

Network Security and Intrusion Detection参考文献 20被引用 5

一句话总结

SODEXO 是一种主动网络防御框架，通过在社交网络中部署欺骗性蜜罐机器人（honeybots）来渗透并监控僵尸网络。通过将交互建模为斯塔克尔伯格博弈（Stackelberg game），并使用凸优化进行部署，该框架显著降低了僵尸网络规模——实证表明，仅25个蜜罐机器人即可大幅遏制百万用户规模网络中的大规模恶意软件传播。

ABSTRACT

As social networking sites such as Facebook and Twitter are becoming increasingly popular, a growing number of malicious attacks, such as phishing and malware, are exploiting them. Among these attacks, social botnets have sophisticated infrastructure that leverages compromised users accounts, known as bots, to automate the creation of new social networking accounts for spamming and malware propagation. Traditional defense mechanisms are often passive and reactive to non-zero-day attacks. In this paper, we adopt a proactive approach for enhancing security in social networks by infiltrating botnets with honeybots. We propose an integrated system named SODEXO which can be interfaced with social networking sites for creating deceptive honeybots and leveraging them for gaining information from botnets. We establish a Stackelberg game framework to capture strategic interactions between honeybots and botnets, and use quantitative methods to understand the tradeoffs of honeybots for their deployment and exploitation in social networks. We design a protection and alert system that integrates both microscopic and macroscopic models of honeybots and optimally determines the security strategies for honeybots. We corroborate the proposed mechanism with extensive simulations and comparisons with passive defenses.

研究动机与目标

• 解决基于黑名单的被动防御机制在应对社交型僵尸网络时存在的检测延迟高、准确率低等局限性。
• 设计一种主动防御机制，利用模仿感染用户的欺骗性蜜罐机器人，渗透并从僵尸网络中收集情报。
• 利用博弈论建模僵尸网络控制者与蜜罐机器人之间的战略互动，并优化蜜罐机器人部署以实现最大信息收益。
• 开发一种保护与预警系统（Protection and Alert System, PAS），整合微观与宏观模型，实现对僵尸网络行为的实时适应。
• 通过仿真验证该框架，展示在极少部署蜜罐机器人的情况下，僵尸网络规模显著降低。

提出的方法

• 构建僵尸网络规模动态增长与衰减的模型，捕捉感染率、清除率及蜜罐机器人渗透率。
• 采用凸优化方法，确定最优蜜罐机器人数量，以在最小化部署成本的同时最大化信息获取。
• 将利用阶段建模为斯塔克尔伯格博弈（Stackelberg game），其中僵尸网络控制者作为领导者，蜜罐机器人作为响应者，以在信息收集与网络影响之间实现战略平衡。
• 基于斯塔克尔伯格均衡概念，推导出僵尸网络控制者与蜜罐机器人最优策略的闭式解。
• 将实时行为反馈整合至保护与预警系统（PAS），用于动态更新参数并自适应调整部署策略。
• 采用混合模型，结合微观（单个节点行为）与宏观（群体级动态）视角，实现稳健的决策制定。

实验结果

研究问题

• RQ1 如何在社交网络中最优部署蜜罐机器人，以在最小化成本与检测风险的同时最大化从僵尸网络中获取的信息？
• RQ2 蜜罐机器人部署对受感染用户与僵尸网络长期规模动态的影响是什么？
• RQ3 僵尸网络控制者与蜜罐机器人之间的战略互动如何影响基于欺骗的防御机制的有效性？
• RQ4 网络异质性（如无标度度分布）在多大程度上影响僵尸网络的传播与控制？
• RQ5 与被动防御机制（如URL黑名单）相比，该系统在检测速度与缓解效率方面表现如何？

主要发现

• 仅需少量蜜罐机器人（最少25个）即可显著减少百万节点社交网络中的感染用户数量，即使部署密度较低。
• 随着部署成本降低，最优蜜罐机器人数量增加，但相对于总网络规模仍保持较小，表明其效率极高。
• 仿真结果表明，蜜罐机器人部署在减少僵尸网络规模方面优于被动黑名单机制，尤其在黑名单更新平均存在25天延迟的背景下。
• 斯塔克尔伯格博弈模型成功捕捉了信息获取与网络影响之间的战略权衡，得出可解析求解的最优策略。
• 异质性网络结构（如无标度度分布）即使在平均度相近的情况下，也会显著影响僵尸网络的传播速率。
• 保护与预警系统（PAS）能有效适应观测到的僵尸网络行为，实现策略的实时更新，提升防御响应能力。