[論文レビュー] A New Trusted and Collaborative Agent Based Approach for Ensuring Cloud Security

Shantanu Pal, Sunirmal Khatua+2 more|arXiv (Cornell University)|Aug 20, 2011

Cloud Data Security Solutions参考文献 7被引用数 45

ひとこと要約

本稿では、仮想マシン（VM）の監視とネットワーク、ストレージ、インfra構成の活動に基づく信頼ポリシーを活用することで、異種のクラウド環境におけるユーザーおよびプロバイダーの両レベルでエンドツーエンドのプライバシーとセキュリティを確保する、動的信頼評価と協調的監視を特徴とする、二段階型のエージェントベースの新規フレームワークWAY（Who Are You?）を提案する。

ABSTRACT

In order to determine the user's trust is a growing concern for ensuring privacy and security in a cloud computing environment. In cloud, user's data is stored in one or more remote server(s) which poses more security challenges for the system. One of the most important concerns is to protect user's sensitive information from other users and hackers that may cause data leakage in cloud storage. Having this security challenge in mind, this paper focuses on the development of a more secure cloud environment, to determine the trust of the service requesting authorities by using a novel VM (Virtual Machine) monitoring system. Moreover, this research aims towards proposing a new trusted and collaborative agent-based two-tier framework, titled WAY (Who Are You?), to protect cloud resources. The framework can be used to provide security in network, infrastructure, as well as data storage in a heterogeneous cloud platform. If the trust updating policy is based on network activities, then the framework can provide network security. Similarly, it provides storage security by monitoring unauthorized access activities by the Cloud Service Users (CSU). Infrastructure security can be provided by monitoring the use of privileged instructions within the isolated VMs. The uniqueness of the proposed security solution lies in the fact that it ensures security and privacy both at the service provider level as well as at the user level in a cloud environment.

研究の動機と目的

• クラウドコンピューティング環境におけるユーザーの信頼とデータプライバシーに関する懸念を解決すること。
• リモートクラウドストレージにおける不正アクセス、データ漏洩、悪意ある活動に起因するセキュリティリスクを軽減すること。
• ネットワーク、インfra構成、データストレージの各レベルでクラウドリソースを保護する、統合的かつ拡張可能なフレームワークを開発すること。
• リアルタイム監視とポリシーに基づく更新を通じて、ユーザーおよびサービスプロバイダーの両レベルでの信頼評価を可能にすること。
• モジュラーでエージェントベースのアーキテクチャにより、異種のクラウド環境でのクロスプラットフォーム互換性を確保すること。

提案手法

• 信頼とセキュリティの分散化を実現する二段階型のエージェントベースのフレームワークWAY（Who Are You?）を設計する。
• ネットワークトラフィック、ストレージアクセス、特権命令の使用状況を含むシステム動作の観測と分析を実施するVM監視エージェントを実装する。
• 不正アクセス試行や疑わしい命令列などの観察された活動に基づく信頼度更新ポリシーを用い、動的に信頼性を評価する。
• クラウドノード間で協調的エージェントを統合し、脅威インテリジェンスを共有するとともに、リアルタイムでの信頼状態の同期を実現する。
• 通信パターンに基づくネットワークセキュリティ（監視モジュール）、アクセス制御違反に基づくストレージセキュリティ（監視モジュール）、特権命令使用に基づくインfra構成セキュリティ（監視モジュール）を別々に適用する。
• 異常を中央の信頼管理コンponentにログおよび報告する、隔離されたVMを用いてセキュリティポリシーを強制する。

実験結果

リサーチクエスチョン

• RQ1 リモートデータストレージを伴う異種のクラウド環境において、どのようにして動的かつ正確に信頼を評価できるか？
• RQ2 分散型仮想マシン上でクラウドリソースを協調的かつリアルタイムに監視するためのメカニズムは何か？
• RQ3 統合的フレームワークが、ネットワーク、インfra構成、データストレージレイヤーの同時にセキュリティを確保する方法は何か？
• RQ4 VMレベルの監視とポリシーに基づく信頼度更新が、データ漏洩や不正アクセスの防止に果たす役割は何か？
• RQ5 エージェントベースのアーキテクチャが、クラウドコンピューティングにおけるユーザーおよびプロバイダーの両レベルでのセキュリティとプライバシーをどのように強化するか？

主な発見

• WAYフレームワークは、ネットワーク通信、ストレージアクセス、特権命令使用状況などのVMレベルの活動を分析することで、動的信頼評価を実現した。
• 協調的エージェントの展開により、信頼状態のリアルタイム同期が可能となり、クラウドインfra全体での脅威検出と応答時間の向上が達成された。
• フレームワークは、ネットワーク、インfra構成、データストレージレイヤーにわたりエンドツーエンドのセキュリティを提供し、一度のアーキテクチャで複数の攻撃ベクトルをカバーした。
• 監視エージェントをVM内に隔離することで、改ざんを防止し、信頼評価プロセスの整合性を保証した。
• 本アプローチは異種のクラウドプラットフォームをサポートし、多様な展開環境における適応性と拡張性を示した。
• ポリシーに基づく信頼度更新の活用により、悪意ある行動への対応性が向上し、データ漏洩や不正アクセスのリスクが低減した。