Evaluasi Cyber Range terhadap Agen Respons Insiden Jaringan Otonom

Reinforcement learning versus kebijakan heuristik untuk respons intrusi otomatis dalam lingkungan jaringan teremulasi

Jakob Nyberg; Teodor Sommestad; Andrei Buhaiu; Joakim Loxdal; Pontus Johnson; Mathias Ekstedt· 2026· DOI 10.48550/arXiv.2609.16541

Masalah inti

Kompleksitas dan frekuensi intrusi jaringan yang terus meningkat menuntut mekanisme respons otomatis yang dapat beroperasi pada kecepatan mesin. Makalah ini menyelidiki kinerja agen otonom yang bertugas mempertahankan jaringan terhadap penyerang red-team di dalam cyber range yang semula ditujukan untuk pelatihan operator manusia. Tantangan inti yang dibahas adalah tujuan ganda, yaitu mencegah akses host oleh penyerang sekaligus meminimalkan biaya ketersediaan yang timbul akibat tindakan defensif. Penulis memposisikan karya mereka dalam konteks respons insiden otomatis, memanfaatkan platform SIEM untuk pembangkitan alert dan bahasa pemodelan data untuk berinteraksi dengan agen. Penelitian ini bertujuan membandingkan efektivitas agen heuristik dengan kebijakan yang dipelajari melalui reinforcement learning, serta memberikan wawasan empiris dari lingkungan teremulasi yang realistis.

Eksperimen menunjukkan bahwa agen reinforcement learning secara keseluruhan lebih efisien dalam mempertahankan sistem dibandingkan kebijakan heuristik. Secara spesifik, agen RL mencapai biaya gabungan yang lebih rendah pada skenario yang diuji. Namun, kinerja semua agen sangat sensitif terhadap kebijakan penyerang dan perilaku pengguna tersimulasi. Hasil ini mengindikasikan bahwa meskipun agen RL dapat mempelajari strategi defensif yang efektif, keunggulannya atas heuristik tidak bersifat mutlak dan bergantung pada konteks operasional. Perbandingan kuantitatif menunjukkan bahwa agen RL menurunkan biaya gabungan dengan margin yang signifikan, meskipun angka pastinya tidak disediakan dalam abstrak. Variabilitas kinerja ini menegaskan pentingnya mempertimbangkan dinamika penyerang dan pengguna saat mengevaluasi sistem respons otomatis.

Kompleksitas dan frekuensi intrusi jaringan yang terus meningkat menuntut mekanisme respons otomatis yang dapat beroperasi pada kecepatan mesin. Makalah ini menyelidiki kinerja agen otonom yang bertugas mempertahankan jaringan terhadap penyerang red-team di dalam cyber range yang semula ditujukan untuk pelatihan operator manusia. Tantangan inti yang dibahas adalah tujuan ganda, yaitu mencegah akses host oleh penyerang sekaligus meminimalkan biaya ketersediaan yang timbul akibat tindakan defensif. Penulis memposisikan karya mereka dalam konteks respons insiden otomatis, memanfaatkan platform SIEM untuk pembangkitan alert dan bahasa pemodelan data untuk berinteraksi dengan agen. Penelitian ini bertujuan membandingkan efektivitas agen heuristik dengan kebijakan yang dipelajari melalui reinforcement learning, serta memberikan wawasan empiris dari lingkungan teremulasi yang realistis.

Pengaturan eksperimen memanfaatkan cyber range dengan lingkungan jaringan teremulasi bertopologi variabel, emulasi red-team, dan agen pengguna tersimulasi. Alert yang dihasilkan platform SIEM dipetakan ke bahasa pemodelan data yang dikonsumsi agen defensif. Tujuan agen defensif adalah meminimalkan fungsi biaya gabungan:

Temuan ini menunjukkan bahwa reinforcement learning adalah pendekatan yang menjanjikan untuk respons insiden jaringan otomatis, tetapi efektivitasnya bergantung pada keselarasan antara kondisi pelatihan dan skenario penerapan. Ketergantungan pada kebijakan penyerang dan perilaku pengguna tersimulasi menyoroti perlunya pelatihan yang tangguh yang memperhitungkan ancaman yang beragam dan adaptif. Penggunaan cyber range untuk evaluasi menyediakan testbed yang realistis, menjembatani kesenjangan antara simulasi dan penerapan di dunia nyata. Penelitian ini berkontribusi pada pemahaman mekanisme pertahanan otonom, dengan menekankan bahwa tidak ada satu kebijakan pun yang optimal secara universal. Pekerjaan selanjutnya dapat mengeksplorasi strategi adaptif yang menyesuaikan diri secara dinamis terhadap perilaku penyerang dan pengguna yang diamati, berpotensi menggabungkan kekuatan kebijakan heuristik dan kebijakan yang dipelajari. Kandidat taksonomi (Architecture, Cybersecurity, Network, Cryptography) mencerminkan sifat interdisipliner penelitian ini, meskipun kriptografi berperan lebih kecil dalam evaluasi spesifik ini.

Praktisi dan peneliti ilmu komputer

Membuka konten member…