[论文解读] Uncertainty in Cyber Security Investments

Andrew Fielder, Sandra König+3 more|arXiv (Cornell University)|Dec 16, 2017

Information and Cyber Security参考文献 7被引用 8

一句话总结

本文提出了一种在不确定性条件下进行网络安全投资的博弈论模型，其中收益以概率分布而非固定值表示。尽管风险评估参数存在显著不确定性，该模型仍能一致地识别出一组能最小化预期损失的有效控制措施，展示了在不同不确定性水平和预算约束下最优策略选择的稳健性。

ABSTRACT

When undertaking cyber security risk assessments, we must assign numeric values to metrics to compute the final expected loss that represents the risk that an organization is exposed to due to cyber threats. Even if risk assessment is motivated from real-world observations and data, there is always a high chance of assigning inaccurate values due to different uncertainties involved (e.g., evolving threat landscape, human errors) and the natural difficulty of quantifying risk per se. Our previous work has proposed a model and a software tool that empowers organizations to compute optimal cyber security strategies given their financial constraints, i.e., available cyber security budget. We have also introduced a general game-theoretic model with uncertain payoffs (probability-distribution-valued payoffs) showing that such uncertainty can be incorporated in the game-theoretic model by allowing payoffs to be random. In this paper, we combine our aforesaid works and we conclude that although uncertainties in cyber security risk assessment lead, on average, to different cyber security strategies, they do not play significant role into the final expected loss of the organization when using our model and methodology to derive this strategies. We show that our tool is capable of providing effective decision support. To the best of our knowledge this is the first paper that investigates how uncertainties on various parameters affect cyber security investments.

研究动机与目标

• 研究风险评估参数的不确定性如何影响网络安全投资决策。
• 通过在收益值中引入不确定性，特别是针对中小企业有限预算的情境，扩展先前的决策支持模型。
• 评估不确定性是否显著改变预期损失或最优策略选择。
• 开发一种稳健的方法论，即使在参数不确定性和预算约束下，也能保持一致且有效的控制选择。

提出的方法

• 该模型采用零和博弈论框架，使用收益分布而非固定值来表示威胁与防御结果的不确定性。
• 收益分布采用与风险最小化兼容的全序关系进行排序，从而可将均衡求解算法应用于分布值收益的博弈。
• 采用改进的虚拟博弈算法计算博弈的纳什均衡，识别在不确定性条件下的最优防御策略。
• 该方法整合了来自SANS关键安全控制措施和CWE Top 25漏洞的真实世界数据，用于定义控制和攻击配置。
• 通过在不同不确定性水平（低、中、高）和预算约束下进行实验，评估策略的一致性和预期损失。
• 从多个攻击向量评估控制措施的有效性和覆盖率，以识别稳健且可重复的最优控制集合。

实验结果

研究问题

• RQ1 风险评估参数的不确定性如何影响最优网络安全策略的选择？
• RQ2 收益值的不确定性在多大程度上改变了组织的预期损失？
• RQ3 最优网络安全策略在不同不确定性水平和预算约束下是否保持一致？
• RQ4 具有分布值收益的博弈论模型能否可靠地识别出一组能缓解大部分预期损失的稳定核心控制措施？
• RQ5 预算约束如何与不确定性相互作用，从而影响最优控制解决方案的多样性与一致性？

主要发现

• 尽管风险评估参数存在显著不确定性，不同不确定性水平下的预期损失仍保持高度一致，表明模型结果具有稳健性。
• 一组核心控制措施——特别是控制1和控制3——在所有预算水平和不确定性条件下均被一致选中，显示出对关键攻击向量的强覆盖能力。
• 在低预算条件下，成本的不确定性导致解空间更加碎片化，局部最优解增多，但基础控制措施仍被识别为最优。
• 该模型识别出一组最小且稳定的控制措施（控制1–4），无论在不确定性或预算水平下，均可构成可靠的网络安全防御基础。
• 即使由于不确定性导致最优策略在具体控制组合上存在差异，整体预期损失的缓解效果仍保持高度一致。
• 结果验证了输入参数的不确定性不会显著降低所推导最优策略的质量，支持该模型在现实决策中的实际应用价值。