[论文解读] TRIDEnT: Building Decentralized Incentives for Collaborative Security

Νικόλαος Αλεξόπουλος, Emmanouil Vasilomanolakis+3 more|arXiv (Cornell University)|May 9, 2019

Network Security and Intrusion Detection参考文献 42被引用 4

一句话总结

TRIDEnT 提出了一种基于以太坊智能合约的去中心化市场，用于组织间点对点共享网络入侵检测警报，实现无信任、激励驱动的合作，即使合作方可能具有竞争关系。通过博弈论模型证明，合作将无限次发生；并实现了完整功能的原型系统，验证了其可行性与激励机制的有效性。

ABSTRACT

Sophisticated mass attacks, especially when exploiting zero-day vulnerabilities, have the potential to cause destructive damage to organizations and critical infrastructure. To timely detect and contain such attacks, collaboration among the defenders is critical. By correlating real-time detection information (alerts) from multiple sources (collaborative intrusion detection), defenders can detect attacks and take the appropriate defensive measures in time. However, although the technical tools to facilitate collaboration exist, real-world adoption of such collaborative security mechanisms is still underwhelming. This is largely due to a lack of trust and participation incentives for companies and organizations. This paper proposes TRIDEnT, a novel collaborative platform that aims to enable and incentivize parties to exchange network alert data, thus increasing their overall detection capabilities. TRIDEnT allows parties that may be in a competitive relationship, to selectively advertise, sell and acquire security alerts in the form of (near) real-time peer-to-peer streams. To validate the basic principles behind TRIDEnT, we present an intuitive game-theoretic model of alert sharing, that is of independent interest, and show that collaboration is bound to take place infinitely often. Furthermore, to demonstrate the feasibility of our approach, we instantiate our design in a decentralized manner using Ethereum smart contracts and provide a fully functional prototype.

研究动机与目标

• 解决阻碍协作式入侵检测系统（CIDS）在现实世界中采用的激励不足与信任缺失问题。
• 设计一个去中心化平台，使组织能够实时选择性地发布、购买和出售安全警报。
• 利用博弈论建模并验证长期合作的经济激励机制，证明合作具有可持续性。
• 使用以太坊智能合约实现完整功能的原型系统，以证明其可行性。
• 将 TRIDEnT 定位为现有威胁情报平台（如 MISP）的底层激励层。

提出的方法

• 利用以太坊智能合约设计点对点的警报流市场，以强制执行无信任交易。
• 实现警报共享的博弈论模型，分析策略性激励，并证明在理性行为下合作将无限次发生。
• 采用声誉系统和流重售防护机制，确保警报质量并防止滥用。
• 作为现有平台（如 MISP）的扩展层进行集成，以支持现实世界部署。
• 采用数据脱敏技术，保护 IP 地址等敏感信息。
• 设计模块化架构，支持多种警报类型，包括 Snort 规则、布隆过滤器和机器学习模型。

实验结果

研究问题

• RQ1 一个去中心化、无信任的警报市场能否在具有竞争关系的组织之间维持长期合作？
• RQ2 如何设计经济激励机制，以防止搭便车行为并确保积极参与警报共享？
• RQ3 哪些博弈论条件可确保理性参与者持续重复合作而非背叛？
• RQ4 在无中心权威机构的去中心化系统中，如何维持警报质量和信任？
• RQ5 基于智能合约的系统能否在大规模场景下有效管理实时、点对点的警报交换？

主要发现

• 博弈论模型证明，在理性自利行为下，警报共享中的合作将无限次发生，验证了激励机制的长期可持续性。
• 基于以太坊智能合约的原型实现证明了 TRIDEnT 设计在实时、去中心化警报交换方面的技术可行性。
• TRIDEnT 支持选择性、点对点的警报共享，无需中心化机构，降低了信任与隐私风险。
• 该系统支持多种警报格式，包括 Snort 风格规则、布隆过滤器和机器学习模型，增强了检测能力。
• 该平台可作为现有威胁情报平台（如 MISP）的激励层进行集成，增强其采用率，同时不取代其核心功能。
• 该模型识别出潜在风险，如流重售，可能需要在生产环境中采取额外的缓解策略。