💻 computer science

A Scalable Game-Theoretic Approach for Selecting Security Controls from Standardized Catalogues

Dit artikel presenteert een schaalbare, speltheoretische aanpak voor het selecteren van optimale combinaties van beveiligingscontroles uit gestandaardiseerde catalogi, zoals ITSG-33, rekening houdend met budget, afhankelijkheden en verwachte aanvalspatronen om besluitvorming bij het beveiligen van systemen te ondersteunen.

Oorspronkelijke auteurs: Dylan Léveillé, Jason Jaskolka

Gepubliceerd 2026-04-22

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Dylan Léveillé, Jason Jaskolka

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een enorm, complex kasteel moet bouwen en beveiligen. Je hebt een enorme lijst met mogelijke sloten, muren, wachters en valkuilen (de beveiligingscontroles). Maar je hebt een beperkt budget en je kunt niet alles tegelijk installeren. Als je de verkeerde combinatie kiest, kan een inbreker toch binnenkomen en je kostbare schatten stelen.

Dit is precies het probleem waar dit wetenschappelijke artikel over gaat: Hoe kies je de perfecte combinatie van beveiliging voor een groot systeem, zonder je budget te overschrijden?

De auteurs, Dylan en Jason, stellen een slimme oplossing voor die lijkt op een strategisch bordspel. Hier is de uitleg in simpele taal, met een paar creatieve vergelijkingen.

1. Het Probleem: De Overweldigende Keuze

Stel je voor dat je in een supermarkt staat met 300 verschillende soorten sloten (zoals in de lijst ITSG-33, een standaard voor Canadese overheidsystemen). Je moet er een paar kiezen om je kasteel te beschermen.

Het dilemma: Je kunt niet alles kopen. Je hebt een budget. Sommige sloten werken goed samen, andere blokkeren elkaar. En je weet niet precies welke inbreker er komt: een die alleen op deuren let, of een die via het dak komt?
De oude manier: Veel methoden proberen dit op te lossen door wiskundige formules te gebruiken die gokken op de kans dat een inbreker slaagt. Maar in het echte leven zijn die kansen vaak onbekend. Het is alsof je probeert het weer te voorspellen zonder een thermometer.

2. De Oplossing: Een Spel van Strategie

De auteurs zeggen: "Laten we het niet als een wiskundig probleem zien, maar als een spel."
Ze gebruiken Speltheorie (Game Theory). Stel je een spel voor tussen twee spelers:

Jij (de Verdediger): Je wilt je kasteel zo goed mogelijk beschermen.
De Inbreker (de Aanvaller): Hij wil zo goed mogelijk binnenkomen.

Het is een nul-sum spel: Wat jij wint (veiligheid), verliest hij (zijn kans om binnen te komen), en andersom.

3. Hoe werkt het spel? (Stap voor Stap)

Stap 1: De Spelstukken verzamelen
Je pakt je lijst met alle mogelijke sloten (controles). Je kijkt welke nuttig zijn voor jouw specifieke kasteel. Je noteert ook:

Kosten: Hoeveel geld kost dit slot?
Effectiviteit: Hoe goed werkt dit slot tegen een bepaald type inbraak? (Bijvoorbeeld: "Dit slot werkt 80% goed tegen dieven die via het raam komen").

Stap 2: De Regels opstellen (De "Recepten")
Je mag niet zomaar willekeurige sloten kiezen. Soms moet je eerst een deur hebben voordat je een slot kunt plaatsen. Of als je een dure alarmklok koopt, moet je ook een batterij kopen.
De auteurs gebruiken een slimme wiskundige taal (algebra) om deze regels te schrijven. Dit zorgt ervoor dat alleen logische combinaties worden overwogen.

Stap 3: Het Spelbord maken
Nu maak je een groot bord (een matrix).

De rijen zijn jouw mogelijke strategieën (bijv. "Ik kies deze 20 sloten").
De kolommen zijn de doelen van de inbreker (bijv. "Hij wil de data stelen" of "Hij wil het systeem platleggen").
In de vakjes staat hoe goed jouw strategie werkt tegen die specifieke aanval.

Stap 4: De Inbreker voorspellen
Dit is het slimste deel. Je kunt niet weten wat de inbreker precies doet, maar je kunt een profiel maken.

Vergelijking: Stel je voor dat je denkt: "Deze inbreker is slim en wil vooral mijn goudstaven (gevoelige data) stelen, maar hij is niet geïnteresseerd in mijn oude meubels."
Je speelt het spel dan tegen dit specifieke profiel. Welke combinatie van sloten geeft de beste bescherming tegen die specifieke inbreker, binnen je budget?

4. De Hulp: CSAT (De Digitale Spelmeester)

Omdat er duizenden mogelijke combinaties zijn, is het voor een mens onmogelijk om dit handmatig uit te rekenen. Het is alsof je alle mogelijke zetten in een schaakpartij tegelijk moet berekenen.
Daarom hebben de auteurs een computerprogramma gemaakt genaamd CSAT.

Je vult je lijst met sloten en kosten in.
Je vertelt het programma wie de "inbreker" is (wat zijn doelen zijn).
Het programma rekent in een paar seconden of minuten uit welke combinatie van sloten het beste werkt.

5. Het Voorbeeld: Het Ravenclaw-systeem

Om te bewijzen dat dit werkt, hebben ze het getest op een fictief Canadees militair systeem (genaamd Ravenclaw).

Het systeem: Sensoren op het slagveld, satellieten, en databases.
De uitdaging: Ze hadden 39 mogelijke extra beveiligingsmaatregelen om uit te kiezen, met een budget van bijna een miljoen dollar.
Het resultaat: Het programma vond in minder dan 11 seconden de perfecte combinatie van controles die het systeem optimaal beschermde tegen de verwachte aanvallen. Zonder de computer hadden ze hier dagen over gedaan, of misschien wel nooit de beste oplossing gevonden.

Waarom is dit belangrijk?

De kernboodschap is: Beveiliging is menselijk.
Veel oude methoden kijken alleen naar cijfers en kansen. Deze methode kijkt naar het gedrag van de tegenstander. Door te denken als een speler die tegen een slimme tegenstander speelt, kun je betere beslissingen nemen.

Het is alsof je niet zomaar een slot koopt omdat het "goed" is, maar je kiest het slot dat precies past bij de manier waarop jouw specifieke dief denkt. En met deze nieuwe tool kunnen grote organisaties dit doen zonder in de war te raken door de enorme hoeveelheid opties.

Kortom: Het is een slimme, spel-achtige manier om met beperkt geld de beste beveiliging te kiezen, door te denken als een strateeg in plaats van als een rekenmachine.

Probleemstelling

Het selecteren van de optimale combinatie van beveiligingscontroles uit grote gestandaardiseerde catalogi (zoals NIST SP 800-53 of ITSG-33) is een complexe taak. In de praktijk is het onmogelijk om alle mogelijke controles te implementeren vanwege beperkingen in budget, tijd en afhankelijkheden tussen controles. Bestaande oplossingen, vaak gebaseerd op optimalisatieproblemen, hebben twee belangrijke tekortkomingen:

Afhankelijkheid van onrealistische aannames: Ze vereisen vaak nauwkeurige waarschijnlijkheidsverdelingen voor bedreigingen of het succes van controles, wat in de praktijk zelden bekend is.
Gebrek aan menselijke factor: Ze negeren het strategische gedrag van aanvallers en behandelen beveiliging als een statisch optimalisatieprobleem in plaats van een dynamisch conflict tussen verdediger en aanvaller.
Schalingsproblemen: De combinatorische explosie van mogelijke controlecombinaties (vooral bij grote systemen met veel afhankelijkheden) maakt brute-force optimalisatie onuitvoerbaar.

Methodologie

De auteurs stellen een game-theoretische aanpak voor die het probleem modelleert als een twee-persoons nul-sum een-slag spel (two-person zero-sum one-shot game). De methode bestaat uit zes stappen, uitgevoerd door een beveiligingsanalist:

Identificatie van atomaire controles: Selectie van relevante, ondeelbare controles uit een standaardcatalogus (bijv. ITSG-33) op basis van een bedreigingsmodel (zoals STRIDE).
Toewijzing van effectiviteit: De analist wijst een effectiviteitswaarde (0 tot 1) toe aan elke atomaire controle voor het bereiken van specifieke beveiligingsdoelen (CIA: Confidentiality, Integrity, Availability) per actief.
Toewijzing van kosten: Elke controle krijgt een kostenwaarde toegewezen (bijv. in dollars of implementatie-inspanning).
Generatie van geldige combinaties: Om afhankelijkheden (bijv. "Controle A vereist Controle B") en budgetbeperkingen te hanteren, wordt een algebraïsche formalisme gebruikt (gebaseerd op product-familie algebra). Dit definieert een "veiligheidscontrole-algebra" met operatoren voor keuze ( $\oplus$ ) en verplichte compositie ( $\odot$ ). Geldige combinaties zijn die binnen het budget vallen en aan de afhankelijkheidsregels voldoen.
Constructie van de spelmatrix:
- Rijen: Geldige controlecombinaties (strategieën van de verdediger).
- Kolommen: Beveiligingsdoelen die door de aanvaller kunnen worden geschonden (strategieën van de aanvaller).
- Payoffs: De effectiviteit van een controlecombinatie tegen een specifiek doel, berekend via een inductieve formule die de gecombineerde effectiviteit van individuele controles berekent (gebaseerd op NASA's DDP-methode).
Spelen van het spel: De analist definieert een aanvallersprofiel (een prioriteitslijst van welke activa en doelen het meest waarschijnlijk worden aangevallen). De oplossing is de controlecombinatie die de totale effectiviteit maximaliseert voor dit profiel, binnen de gegeven budgetbeperking.

Belangrijkste Bijdragen

Game-Theoretisch Kader: Een nieuw model dat het menselijke element (strategisch denken over aanvallerstactieken) centraal stelt zonder afhankelijk te zijn van onbekende waarschijnlijkheidsstatistieken.
Algebraïsche Formalisering: Het gebruik van product-familie algebra om complexe afhankelijkheden tussen controles formeel te specificeren en geldige combinaties te genereren.
Schalbaarheid: De ontwikkeling van een aanpak die in staat is om grote zoekruimtes te navigeren zonder brute-force enumeratie van alle mogelijke combinaties.
CSAT Tool: De introductie van de Control Selection Assistant Tool (CSAT), een geautomatiseerde softwaretool die de voorgestelde methode implementeert. CSAT lost het NP-complete "bounded 0-1 knapsack problem" op om kandidaat-combinaties te vinden en filtert deze vervolgens op basis van het aanvallersprofiel.

Resultaten

De methode en tool werden getest op een fictief, groot militair IoT-systeem genaamd "Ravenclaw" (Canadese krijgsmacht), gebruikmakend van de ITSG-33 catalogus.

Schaal: Het systeem omvatte 7 activa en 39 optionele controles (naast verplichte controles), wat resulteert in $2^{39}$ mogelijke combinaties.
Efficiëntie: CSAT slaagde erin om binnen redelijke tijd (binnen enkele minuten tot ongeveer een uur, afhankelijk van de complexiteit en het aantal optionele controles) de optimale controlecombinaties te vinden.
Scenario's:
- In Scenario 1 (focus op interface- en databasessystemen) leverde de tool één optimale combinatie op van $940.000.
- In Scenario 2 (focus op sensoren en UAV's) leverde de tool twee varianten op, afhankelijk van de onzekerheid in de effectiviteit van een specifieke controle.
Validatie: De resultaten toonden aan dat de tool in staat is om complexe afhankelijkheden en budgetbeperkingen te hanteren en dat de geselecteerde controles logisch aansluiten bij het specifieke aanvallersprofiel (bijv. geen fysieke controles bij een cyber-aanvaller).

Betekenis en Conclusie

Dit artikel biedt een praktische en schaalbare oplossing voor een kritiek probleem in cybersecurity: het selecteren van controles in een omgeving met onzekerheid en beperkte middelen.

Praktische toepasbaarheid: Door te focussen op prioriteiten en profielen in plaats van onberekenbare waarschijnlijkheden, is de methode realistischer voor organisaties.
Automatisering: De CSAT-tool maakt de toepassing van deze complexe theorie mogelijk voor grote systemen, waarbij de rekenkracht van de computer het menselijke oordeel ondersteunt in plaats van vervangt.
Toekomstperspectief: De auteurs suggereren dat toekomstig werk zich kan richten op het spelen van het spel vanuit het perspectief van de aanvaller om zwakke plekken in de verdediging te identificeren, en op het verbeteren van de gebruiksvriendelijkheid van de tool.

Samenvattend biedt deze aanpak een systematische, herhaalbare en mensgerichte methode om beveiligingsinvesteringen te optimaliseren in complexe, realistische omgevingen.