[論文レビュー] A PAXOS based State Machine Replication System for Anomaly Detection

Manoj Thakur, Sugata Sanyal|arXiv (Cornell University)|Jun 11, 2012

Advanced Malware Detection Techniques参考文献 24被引用数 5

ひとこと要約

本論文では、分散システムにおける異常行動、特にDDoSおよびPing of Death攻撃を検出するPaxosベースの状態機械レプリケーションシステムを提案する。Paxosアルゴリズムによるコンセンサスを活用することで、一貫性のあるログ同期を実現し、リソースを食いきる攻撃を高い耐障害性で早期に検出できる。

ABSTRACT

A number of systems in recent times suffer from attacks like DDoS and Ping of Death. Such attacks result in loss of critical system resources and CPU cycles, as these compromised systems behave in an abnormal manner. The effect of such abnormalities is worse in case of compromised systems handling financial transaction, since it leads to severe monetary losses. In this paper we propose a system that uses the Replicated State Machine approach to detect abnormality in system usage. The suggested system is based on PAXOS algorithm, an algorithm for solving the consensus problem in a network of unreliable processors.

研究の動機と目的

• システムリソースを食い枯らす分散型サービス拒否攻撃（DDoS）およびPing of Death攻撃の増加する脅威に対処すること。
• 分散環境においてリアルタイムで異常なシステム行動を検出できる耐障害性の高いシステムを開発すること。
• 信頼性の高い異常検出を実現するため、複数レプリカ間の整合性を保つためにPaxosコンセンサスアルゴリズムを適用すること。
• 通常の運用行動からの逸脱を特定することで、金融取引システムにおけるセキュリティを強化すること。
• 状態機械レプリケーションとコンセンサスプロトコルを用いて、スケーラブルで信頼性の高い異常検出フレームワークを提供すること。

提案手法

• システムは、分散レプリカ間でコンセンサスを達成するためにPaxosアルゴリズムを採用し、すべてのノードが状態遷移の順序に合意することを保証する。
• 各レプリカはクライアント要求のログを保持し、同じ順序で適用することで、すべてのノード間での状態整合性を維持する。
• 異常は、個々のレプリカの振るまいをコンセンサスログと比較することで検出され、過剰なリクエストレートや破損したパケットなどの逸脱を特定する。
• アーキテクチャはプライマリバックアップモデルを採用しており、プライマリがクライアントリクエストを調整し、バックアップはPaxosプロトコルを通じて状態をレプリケートする。
• すべての操作がログ記録され、決定論的な状態遷移関数が使用されることで、すべてのレプリカが同一の状態に到達することが保証される。
• 異常検出は、レプリカの振るまい（CPU使用率やリクエスト量など）がコンセンサスログで観察された期待されるパターンから著しく逸脱した場合に発動する。

実験結果

リサーチクエスチョン

• RQ1 Paxosのようなコンセンサスアルゴリズムをどのように活用して分散システムの振るまいにおける異常を検出できるか？
• RQ2 複数レプリカの状態機械において、リアルタイムでの異常検出を維持しつつ、耐障害性を確保するメカニズムは何か？
• RQ3 本システムは、DDoSやPing of Deathのような悪意ある攻撃と通常の負荷のピークとをどのように区別するか？
• RQ4 単体の監視と比較して、状態機械レプリケーションは検出精度をどの程度向上させるか？
• RQ5 Paxosベースのレプリケーションを用いることで、高負荷の金融システムにおける誤検出率を低減できるか？

主な発見

• 本システムは、複数レプリカ間のノードでリクエストパターンの逸脱を特定することで、DDoSやPing of Death攻撃などの異常行動を効果的に検出できた。
• Paxosの使用により、レプリカ間で強い整合性が保たれ、ネットワーク分離や部分的障害の状況下でも信頼性の高い検出が可能になった。
• 一部のレプリカが損傷したり応答しなくなっても、システムは正常に動作し、検出機能を維持するという高い耐障害性を示した。
• 同期されたログ記録と状態比較のおかげで、攻撃者が有効に攻撃を実行できる時間窓が短縮され、早期検出が実現した。
• ヒューリスティクスやしきい値に依存するのではなく、コンセンサスに基づく振るまいの分析に依存することで、誤検出率が低く抑えられた。
• スケーラブルなアーキテクチャであり、可用性とセキュリティが求められる金融・企業システムへの導入に適している。