💻 computer science

GTI-mSEMP Framework : A Proposed Framework to Simulate Malware Propagation with Inclusion of Attacker-Defender Strategy

Dit artikel stelt het GTI-mSEMP-framework voor, dat speltheorie integreert in aangepaste epidemische modellen om de dynamische verspreiding van malware in door middelen beperkte cyber-fysieke netwerken te simuleren en te analyseren door de strategische interacties tussen aanvallers en verdedigers over verschillende operationele regimes expliciet te modelleren.

Oorspronkelijke auteurs: Shadeeb Hossain, Kristopher Wilson

Gepubliceerd 2026-06-30

📖 6 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Shadeeb Hossain, Kristopher Wilson

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een slimme stad voor waar duizenden kleine, op batterijen werkende apparaten (zoals slimme sensoren) met elkaar communiceren om het verkeer, de verlichting en de energie te beheren. Stel je nu voor dat een digitaal virus probeert zich door deze stad te verspreiden, waarbij het de behulpzame apparaten verandert in een chaotische menigte.

Dit artikel stelt een nieuwe manier voor om die chaos te simuleren. In plaats van alleen maar toe te kijken hoe het virus zich verspreidt als een simpele verkoudheid, hebben de auteurs een virtueel oorlogsspel gebouwd tussen een Aanvaller (het virus) en een Verdediger (het beveiligingsteam).

Hier is de uitsplitsing van hun idee, het "spel" dat ze speelden, en wat ze ontdekten, met behulp van eenvoudige analogieën.

1. De Oude Manier vs. De Nieuwe Manier

De Oude Manier (Statische Modellen): Stel je voor dat je probeert te voorspellen hoe een brand zich in een bos verspreidt door ervan uit te gaan dat de wind nooit verandert en de brandweerlieden altijd op dezelfde plek staan. Traditionele computermodellen behandelen beveiligingsverdedigingen als "statisch" — ze veranderen niet, zelfs niet als de aanvaller slimmer wordt.
De Nieuwe Manier (GTI-mSEMP): De auteurs zeggen: "Het echte leven is niet statisch." Als de aanvaller zijn tactieken verandert, moet de verdediger die ook onmiddellijk aanpassen. Ze hebben een framework ontwikkeld genaamd GTI-mSEMP. Zie dit als een levend schaakspel waarbij elke keer dat de aanvaller een stuk beweegt, de verdediger direct zijn volgende zet herberekent op basis van waar de dreiging op dit moment het sterkst is.

2. De Vier "Staten" van een Apparaat

Het paper volgt elk apparaat in het netwerk door vier stadia, vergelijkbaar met hoe een persoon ziek wordt:

Vatbaar (Susceptible - S): Een gezond apparaat dat nog niet is getroffen is, maar wel kwetsbaar is.
Geëxponeerd (Exposed - E): Het apparaat is door het virus "geraakt", maar is nog niet volledig kwaadaardig geworden. Het bevindt zich in een "latentieperiode", zoals een persoon die de griep heeft maar nog niet hoest.
Geïnfecteerd (Infected - I): Het apparaat is nu volledig gecompromitteerd. Het verspreidt het virus actief naar zijn buren.
Hersteld (Recovered - R): Het beveiligingsteam heeft het apparaat gepatcht en het is weer veilig (voor nu).

3. Het Spel: Aanvaller vs. Verdediger

De kern van het paper is hoe de Aanvaller en de Verdediger hun "energiepunten" (bronnen) besteden.

De Strategie van de Aanvaller: Zij hebben een matrix (een rooster) van bronnen. Ze kunnen ervoor kiezen om de "Gateways" (de hoofdwegen), de "Routers" (de lokale straten) of de "Sensors" (de individuele huizen) aan te vallen. Ze kiezen ook hun wapen: een Brute Force Attack (proberen van elk wachtwoord tot er een werkt) of een Zero-Day Exploit (gebruikmaken van een geheime, onbekende fout in de software).
De Strategie van de Verdediger: De verdediger heeft ook een rooster van bronnen. Zij moeten beslissen hoeveel van hun "beveiligingsbudget" ze uitgeven aan het beschermen van de Gateways versus de Sensoren, en hoeveel ze uitgeven aan het stoppen van Brute Force versus Zero-Day aanvallen.

De Twist: Het paper introduceert een "Speltheorie"-element. De waarschijnlijkheid dat een apparaat geïnfecteerd raakt, is geen vast getal. Het verandert op basis van wie de lokale strijd wint.

Als de Aanvaller veel energie in een specifiek gebied uitgeeft, gaat het infectieratio omhoog.
Als de Verdediger daar veel energie in investeert, gaat de infectieratio omlaag en de herstelratio omhoog.

4. De Drie Scenario's (De "Wat Als" situaties)

De auteurs hebben drie verschillende simulaties uitgevoerd om te zien wat er gebeurt onder verschillende omstandigheden:

Scenario A: De Gebalanceerde Matchup
- De Analogie: Zowel de aanvaller als de verdediger hebben gelijke middelen en verspreiden deze gelijkmatig over de hele stad.
- Het Resultaat: Het virus verspreidt zich, maar de verdediger slaagt erin om de meeste apparaten te redden. Het is een eerlijk gevecht en het netwerk overleeft hier het best.
Scenario B: De Evasive Exploit Surge (De "Valstrik")
- De Analogie: De verdediger is reactief. Ze zien het virus de "Sensors" (de rand van het netwerk) raken, dus sturen ze al hun beveiligingsbewakers naar de Sensoren.
- Het Resultaat: De aanvaller ziet dit en glipt eromheen naar de "Gateways" (de hoofdwegen) waar niemand kijkt. Omdat de verdediger al haar bewakers naar de verkeerde plek heeft gestuurd, verspreidt het virus zich sneller en langer. Het paper noemt dit een "evasieve" aanval waarbij de verdediger wordt uitgemanoeuvreerd.
Scenario C: De Agressieve Quarantaine (Het "Fort")
- De Analogie: De verdediger besluit een ondoordringbare muur rond de "Gateways" (het belangrijkste deel) te bouwen en laat de rest van de stad minder beschermd.
- Het Resultaat: De Gateways zijn veilig, maar het virus vreet zich razendsnel door de rest van de stad (de Sensors en Routers). Het netwerk stort sneller in dan in het gebalanceerde scenario omdat de verdediging te veel gefocust was op één punt.

5. De Grote Ontdekking

Het belangrijkste inzicht gaat over aanpassingsvermogen.

Wanneer de Verdediger Sterker is: Als de instrumenten van de verdediger iets beter zijn dan die van de aanvaller (wat betekent dat ze sneller kunnen patchen dan het virus kan verspreiden), stabiliseert het netwerk. De "epidemische curve" vlakt af en het systeem herstelt.
Wanneer de Aanvaller Sterker is: Het paper draaide een simulatie waarbij de instrumenten van de aanvaller superkrachtig waren (5x effectiever dan die van de verdediger). In dat geval explodeerde het virus. Het aantal geïnfecteerde apparaten schoot omhoog en de gezonde apparaten werden vrijwel onmiddellijk weggevaagd.

Samenvatting

Het paper betoogt dat je cybersecurity niet kunt behandelen als een statische muur. Je moet het behandelen als een dynamisch spel.

Als je al je beveiligingsbewakers op één plek zet, gaat de vijand eromheen.
Als je je bewakers gelijkmatig verspreidt, overleef je misschien beter.
Het belangrijkste is dat de verdediger constant moet kijken waar het virus op dit moment is en zijn middelen daar onmiddellijk naartoe moet verplaatsen. Als zij dit doen, kunnen ze het virus stoppen. Als ze te traag of te rigide zijn, stort het netwerk in.

De auteurs gebruikten een computerprogramma (MATLAB) om deze "wat-als" spellen uit te voeren en bewezen dat een slimme, bewegende verdediging de enige manier is om een snel bewegend digitaal virus te overleven.

Technische Samenvatting: GTI-mSEMP Framework

Probleemstelling

De snelle proliferatie van geautomatiseerde, multi-vector malwarebedreigingen vormt een kritiek risico voor heterogene, hulpbron-beperkte cyber-fysieke netwerken, met name binnen het Internet of Things (IoT)-ecosysteem. Bestaande epidemiologische modellen die malwarepropagatie simuleren (zoals standaard SEIR-modellen) behandelen defensieve maatregelen vaak als statische parameters. Deze benadering slaagt er niet in de strategische, asymmetrische manoeuvres tussen aanvallers en verdedigers te vatten, waarbij defensieve strategieën dynamisch moeten adapteren aan offensieve acties onder strikte computationele en operationele beperkingen. Bijgevolg kunnen traditionele modellen de lokale populatietoestanden van knooppunten of de transiënte dynamiek van netwerkbeveiliging in hoogst vijandige omgevingen niet nauwkeurig voorspellen.

Methodologie

Om deze beperkingen aan te pakken, stellen de auteurs het Game-Theory-Integrated Modified Multi-Wireless Sensor Epidemic Malware Propagation (GTI-mSEMP) framework voor. Dit model integreert stochastische speltheorie met compartimentele epidemische modellering om een dynamische simulatieomgeving te creëren.

Kern van de Wiskundige Formulering:
Het framework modificeert het standaard Susceptible-Exposed-Infected-Recovered (SEIR) model door overgangssnelheden te behandelen als dynamische variabelen die afhankelijk zijn van de strategische profielen van zowel de aanvaller ( $A$ ) als de verdediger ( $D$ ).

Susceptible State ( $S$ ): De overgangskans ( $p$ ) van Susceptible naar Exposed wordt gemodelleerd als een functie van de ruimtelijke netwerkdichtheid ( $\rho$ ), de offensieve strategie-matrix van de aanvaller ( $A$ ) en de defensieve mitigatiebeleid-matrix van de verdediger ( $D$ ). De kans wordt gedefinieerd als een ratio van de offensieve investering ten opzichte van de som van de offensieve investering en de defensieve efficiëntie.
Exposed State ( $E$ ): De overgangssnelheid ( $\lambda_1$ ) van Exposed naar Infected is niet langer een vaste constante, maar een dynamische coëfficiënt die wordt beïnvloed door de optimalisatie van de payload van de aanvaller en de intensiteit van de runtime-auditing van de verdediger.
Infected State ( $I$ ): De herstelrate ( $\gamma$ ) wordt geformaliseerd als een gezamenlijke functie van de aanvaller-verdediger-strategieën, wat de snelheid vertegenwoordigt waarmee knooppunten succesvol worden gepatcht of uit het netwerk worden verwijderd.
Recovered State ( $R$ ): Het model bevat een her-susceptibiliteitscoëfficiënt ( $\delta$ ) die rekening houdt met knooppunten die terugkeren naar een kwetsbare staat door het verlopen van patches of configuratieresets, eveneens gestuurd door de strategische interactie tussen tegenstanders.

Simulatieopstelling:
Het framework werd geëvalueerd in een MATLAB-omgeving met een 4e-orde Runge-Kutta (RK4) numerieke solver. De simulatie modelleerde een heterogene netwerktopologie bestaande uit drie klasse-knooppunten: Core Gateways, Intermediate Routing Nodes en Low-Power Peripheral Sensors. Twee primaire dreigvectoren werden gesimuleerd: Brute-Force Attacks (BFA) en Zero-Day Exploits.

Drie operationele regimes werden geanalyseerd om de sensitiviteit van het framework te testen:

Balanced Equilibrium Matchup: Symmetrische toewijzing van middelen tussen aanvaller en verdediger.
Evasive Exploit Surge: Een scenario waarin de verdediger wordt overmanoeuvreerd, wat een strategische mismatch simuleert.
Aggressive Quarantine: Een verhard defensief postuur met geconcentreerde middelen op core gateways.

Belangrijkste Bijdragen

Dynamische Overgangssnelheden: Het artikel introduceert een wiskundige formulering waarbij transmissiesnelheden, herstelsnelheden en effectieve reproductienummers niet tijd-invariant zijn, maar dynamische variabelen die afhankelijk zijn van gelokaliseerde strategieprofielen die binnen een stochastisch spelraamwerk worden uitgevoerd.
Strategische Matrixmodellering: De auteurs formaliseren offensieve en defensieve strategieën als $n \times m$ matrices, waardoor middelen gelijktijdig over verschillende klasse-knooppunten en exploit-vectoren kunnen worden toegewezen.
Closed-Loop Optimalisatie: Het framework demonstreert een reactief defensief mechanisme waarbij de verdediger de toewijzingsgewichten van middelen dynamisch bijwerkt op basis van de real-time infectie-footprint ( $I$ en $E$ staten) van specifieke netwerklagen.

Resultaten en Discussie
Numerieke simulaties leverden de volgende observaties op over de drie operationele regimes:

Balanced vs. Asymmetric Defense: In de Balanced Matchup (Geval I) bereikte het netwerk de hoogste globale remediatieplafond (~435 knooppunten), wat suggereert dat een gebalanceerde distributie van defensief kapitaal over alle topologische lagen een superieure langetermijnresiliëntie oplevert vergeleken met hyper-gelokaliseerde strategieën.
Kwetsbaarheid van Geconcentreerde Defensie: In de Aggressive Quarantine (Geval III), terwijl de core gateways werden verhard, liet de concentratie van defensieve activa de intermediaire routing- en perifere lagen kwetsbaar achter. Dit stelde tegenstanders in staat om onverharde sectoren te exploiteren, wat de systeembrede uitputting van gezonde knooppunten versnelde in vergelijking met het meer geleidelijke verval in andere gevallen.
Impact van Schalingsvectoren: De studie benadrukte het cruciale belang van schalingsefficiëntiecoëfficiënten ( $\eta$ $η$ voor defensie vs. $\mu$ $μ$ voor aanval).
- Wanneer de defensieve schalingsfactoren een voordeel hadden ( $\eta > \mu$ ), vertoonde het systeem een onderdrukte epidemische footprint en een afgeplatte Infectious ( $I$ ) piek.
- Wanneer de schalingsvectoren werden omgekeerd ten gunste van offensieve capaciteiten (het simuleren van een ernstig voordeel voor de tegenstander), ervoer het netwerk een massale, ongecontroleerde epidemische cascade. De populatie van de 'Infectious' piekte op ongeveer 450 knooppunten (een stijging van >400% vergeleken met het verdediger-gunstige scenario), en de 'Susceptible' populatie daalde tot kritiek lage niveaus (125 knooppunten).
Dynamische Middelenallocatie: De simulatie bevestigde dat het continu bijwerken van de middelenverdeling in real-time, gebaseerd op het verschuivende dreigingslandschap, succesvol is in het bestrijden van evasieve aanvallersstrategieën en de herstelrate van het netwerk dicteert.

Significantie en Claims
Het artikel claimt dat het GTI-mSEMP framework een rigoureuze wiskundige en numerieke basis biedt voor het evalueren van dynamische malwarepropagatie in hoogst vijandige netwerkomgevingen. Door verder te gaan dan statische parameters, biedt het model een realistischere simulatie van de "kat-en-muis"-dynamiek die inherent is aan cyberoorlogvoering. De auteurs stellen dat hun bevindingen de noodzaak valideren van real-time state-dependent resource optimization om geautomatiseerde propagatiemotoren, zoals Brute-Force Attacks en Zero-Day threats, te verstoren. Het framework wordt gepresenteerd als een instrument om de lokale populatietoestanden van knooppunten te voorspellen en de effectiviteit van dynamische cyberdefensiestrategieën te evalueren in hulpbron-beperkte cyber-fysieke systemen.