云系统中多租户攻击的依赖性感知建模

《RELIABILITY ENGINEERING & SYSTEM SAFETY》：Dependence-aware modeling of multi-tenant attacks in cloud systems

多租户云系统中共驻攻击的依赖-aware风险评估框架，基于copula模型量化SCV故障相关性，分析不同AVM部署策略和IDS检测灵敏度对攻击成功率的影响，构建Stackelberg博弈模型求解预算与风险约束下的攻防均衡策略，发现依赖性使腐败概率较独立模型增加75%。

　　在现代云计算环境中，多租户架构成为实现高效资源利用和大规模服务部署的关键方式。然而，这种架构也带来了独特的安全挑战，尤其是在面对共居攻击（co-residency attacks）时。共居攻击是一种利用共享物理资源（如CPU、内存、网络）来影响多个虚拟机（VM）或服务组件版本（SCV）的攻击手段。攻击者通常会部署攻击虚拟机（AVM），通过这些虚拟机渗透到同一物理服务器上运行的其他服务组件中，从而实现信息窃取、系统破坏等目标。这种攻击方式的潜在危害在于，其能够通过共享资源引发一系列连锁反应，导致系统整体安全性受到严重威胁。

当前的可靠性模型在评估多租户云环境中的安全风险时，往往假设服务组件版本之间的故障是相互独立的。然而，这一假设忽略了现实中由于共享漏洞、协同攻击或共模故障等因素所导致的组件间依赖关系。事实上，攻击者可以通过精心设计的攻击策略，使得某些组件的失败会增加其他组件被攻击的可能性。这种依赖性不仅体现在攻击路径的复杂性上，还可能影响整个系统的稳定性，使得原本独立的组件失败概率显著上升。因此，建立一个能够准确反映这种依赖性的模型，对于提升云服务的安全性和可靠性至关重要。

为了应对这一挑战，本文提出了一种依赖感知的概率框架，该框架通过基于copula的联合分布模型，明确地捕捉服务组件版本之间失败的统计依赖关系。copula理论为建模多个随机变量之间的相关性提供了强大的工具，它能够将变量的边缘分布与它们之间的依赖结构分离，从而更加灵活地描述不同类型的依赖关系。在本文中，我们引入了多种常见的copula函数，如高斯copula、t-copula和阿基米德copula等，以评估不同依赖强度下系统被攻击的风险。这些函数不仅能够刻画服务组件版本之间失败的正相关或负相关，还能反映在极端攻击条件下可能出现的系统性崩溃。

此外，本文还考虑了攻击虚拟机的部署策略对攻击成功率的影响。在多租户云环境中，虚拟机的部署方式通常包括随机部署、哈希部署和亲和部署。随机部署意味着攻击虚拟机会被均匀地分布在不同的物理服务器上，这种方式在一定程度上可以降低攻击者集中攻击某一服务器的可能性。哈希部署则通过某种算法将虚拟机分配到特定的物理服务器上，这种方式可能更有利于攻击者利用特定的资源特征进行攻击。亲和部署则考虑了虚拟机之间的关联性，例如将具有相似配置或功能的服务组件部署在同一物理服务器上，这在某些情况下可能增加攻击成功的概率。因此，本文在模型中引入了这些不同的部署策略，并分析了它们如何影响攻击者利用依赖性进行攻击的可能性。

在模型构建过程中，我们还引入了入侵检测系统（IDS）的检测敏感度这一关键因素。IDS作为云环境中的重要安全机制，能够实时监控网络流量和系统行为，识别潜在的恶意活动。然而，IDS的检测能力受到多种因素的影响，包括检测配置、资源分配和攻击者的策略。例如，如果IDS的检测敏感度较高，那么攻击者可能需要采用更加隐蔽的攻击方式，以避免被系统及时发现。反之，如果检测敏感度较低，攻击者可能更容易成功地部署攻击虚拟机并实现对多个服务组件的渗透。因此，本文不仅考虑了攻击者的行为模式，还分析了IDS的检测策略如何影响攻击的成功率，从而为云服务提供商提供更加全面的风险评估工具。

本文的研究还探讨了攻击者账户异质性对系统风险的影响。在实际的云环境中，攻击者可能拥有多个账户，这些账户之间可能存在不同的安全防护水平。例如，某些账户可能更容易受到攻击，而另一些账户则可能具备更强的防护能力。因此，攻击者在选择攻击目标时，可能会根据账户的异质性调整其攻击策略。例如，攻击者可以选择将攻击虚拟机的请求集中在少数几个高风险账户上，以提高攻击成功的概率。或者，攻击者可能选择均匀地分配攻击请求，以避免被IDS集中检测到。通过分析这些策略，本文揭示了账户异质性在系统风险评估中的重要作用，并为云服务提供商提供了应对这一问题的策略建议。

在模型的理论框架中，我们进一步将攻击者与防御者之间的互动建模为一个斯塔克尔伯格博弈（Stackelberg game）。在这一博弈框架下，防御者作为领导者，首先选择其检测策略，而攻击者作为跟随者，观察防御者的策略后，选择最优的攻击策略以最大化其攻击成功的可能性。为了使模型更加贴近现实，我们引入了预算约束和风险上限（risk-cap）这一关键因素。云服务提供商通常需要在有限的资源下进行安全投资，因此，防御者在选择检测策略时，必须考虑其成本效益。同样，攻击者在部署攻击虚拟机时，也需要在有限的预算内优化其攻击策略，以最大化其成功的可能性。通过这一博弈模型，我们不仅能够分析攻击者与防御者之间的策略互动，还能够推导出在不同成本结构下的最优策略。

本文的研究结果表明，依赖性在多租户云环境中对系统风险具有显著影响。通过模拟研究，我们发现，在考虑依赖性的前提下，系统被攻击的概率可以比独立模型高出高达75%。这一结果表明，传统的可靠性模型在评估云环境中的安全风险时存在明显低估，因此，引入依赖性模型对于提升云系统的安全性具有重要意义。此外，我们还发现，IDS的检测敏感度与攻击者的攻击策略之间存在复杂的互动关系。在不同的成本结构下，攻击者和防御者都可能调整其策略，以达到各自的目标。例如，在线性检测成本结构下，防御者可能倾向于采用更高的检测敏感度以降低攻击成功的可能性，而在指数检测成本结构下，防御者可能需要在检测敏感度和资源投入之间进行权衡。

在实际应用中，本文提出的依赖感知模型可以为云服务提供商提供重要的决策支持。首先，该模型能够帮助云服务提供商更准确地评估其系统在面对共居攻击时的风险水平。通过引入copula函数，云服务提供商可以更好地理解不同服务组件之间的依赖关系，并据此制定更加合理的安全策略。其次，该模型能够支持云服务提供商在有限资源下优化其检测策略。通过分析不同检测成本结构下的最优策略，云服务提供商可以找到在预算约束下实现最佳安全性的检测配置。最后，该模型还能够为云服务提供商提供关于攻击者行为的洞察，例如攻击者如何利用账户异质性和部署策略来提高攻击成功率。这些洞察可以帮助云服务提供商提前识别潜在的攻击路径，并采取相应的防御措施。

为了验证模型的有效性，本文进行了广泛的模拟研究。模拟研究涵盖了多种依赖结构、检测敏感度、部署策略和攻击者账户异质性的情景。通过比较不同copula函数、Kendall’s τ值和成本结构下的结果，我们发现，依赖性模型在不同场景下均能显著提升系统风险评估的准确性。此外，模拟结果还表明，攻击者账户的异质性在某些情况下可能增加系统被攻击的风险，尤其是在攻击者能够集中资源攻击少数高风险账户时。因此，云服务提供商需要关注账户之间的安全差异，并采取相应的措施来平衡账户的安全性，以降低整体风险。

本文的研究不仅对多租户云环境的安全性评估具有重要意义，还为其他复杂系统的安全性建模提供了参考。例如，在工业物联网（IIoT）和智能电网等系统中，攻击者可能利用共享资源和依赖关系对多个组件进行攻击。因此，本文提出的依赖感知模型可以被扩展应用于这些领域，以评估系统在面对协同攻击时的风险水平。此外，本文还强调了在安全性建模中需要考虑操作约束和资源限制的重要性。云服务提供商在制定安全策略时，必须在安全性和成本之间找到平衡，而本文的模型正是基于这一现实需求进行设计的。

总的来说，本文通过引入依赖感知的概率框架，为多租户云环境中的共居攻击风险评估提供了新的视角。该模型不仅能够更准确地捕捉服务组件版本之间的依赖关系，还能够结合攻击者的行为模式、防御者的策略选择以及系统的资源限制，为云服务提供商提供更加全面和实用的风险评估工具。通过模拟研究和博弈分析，本文揭示了依赖性、检测敏感度、部署策略和账户异质性对系统风险的综合影响，并为未来的研究和实际应用提供了重要的理论支持和实践指导。