[論文レビュー] Anomaly Detection in Business Process Runtime Behavior -- Challenges and Limitations

Kristof Böhmer, Stefanie Rinderle‐Ma|arXiv (Cornell University)|May 18, 2017

Network Security and Intrusion Detection被引用数 10

ひとこと要約

本系統的文献レビューは、業務プロセス実行時動作における異常検出に関する35件の研究を特定・分析し、点異常への過剰依存、集合的および文脈的異常の無視、進化するプロセスモデルに対する十分なサポートの欠如といった重要な制限を明らかにした。本研究では、複数インスタンスにまたがる攻撃およびデータフロー異常を検出するための今後の研究方向性を提案する。

ABSTRACT

Anomaly detection is generally acknowledged as an important problem that has already drawn attention to various domains and research areas, such as, network security. For such "classic" application domains a wide range of surveys and literature reviews exist already - which is not the case for the process domain. Hence, this systematic literature review strives to provide an organized holistic view on research related to business process runtime behavior anomaly detection. For this the unique challenges of the process domain are outlined along with the nature of the analyzed data and data sources. Moreover, existing work is identified and categorized based on the underlying fundamental technology applied by each work. Furthermore, this work describes advantages and disadvantages of each identified approach. Based on these information limitations and gaps in existing research are identified and recommendations are proposed to tackle them. This work aims to foster the understanding and development of the process anomaly detection domain.

研究の動機と目的

• 業務プロセス実行時動作における異常検出に関する研究を包括的かつ体系的に概説すること。
• 基盤技術および手法に基づいて、既存のアプローチを特定・分類すること。
• プロセス固有の課題を踏まえた各アプローチの利点と欠点を分析すること。
• 進化するプロセスや複雑な異常に関して、現在の研究におけるギャップと制限を明らかにすること。
• より強固で包括的な業務プロセスにおける異常検出のための今後の研究方向性を提案すること。

提案手法

• 学術的レビューに定められたガイドラインに従い、系統的文献レビューを実施した。
• タイトル、要約、キーワードに焦点を当てたキーワードを用いて主要な研究データベースを検索した。
• 業務プロセス実行時動作における異常検出に関する関連性に基づき、35件の関連出版物を選定・分析した。
• 基盤技術ごとにアプローチを分類し、各アプローチの強みと弱みを評価した。
• 柔軟なプロセスモデル、定義の進化、集合的および文脈的異常の低代表性といった課題を特定した。
• 雪だるま式および複数のデータベース検索を用いて包括的なカバーを確保し、電子的でないまたは手動でキュレートされた資料以外は除外した。

実験結果

リサーチクエスチョン

• RQ1 他の分野と比較して、業務プロセス実行時動作における異常検出に特有の課題は何ですか？
• RQ2 プロセス分野で主に使用されている異常検出技術は何か、その有効性とカバー範囲はどのように比較できますか？
• RQ3 現在のアプローチにおける主な制限と研究ギャップは何か、特に進化するプロセスや複雑な攻撃パターンに関しては？
• RQ4 既存の手法は集合的および文脈的異常をどのように処理しており、セキュリティにどのような影響を及えるか？
• RQ5 洗練された複数インスタンスにまたがる攻撃を改善して検出するためには、どのような今後の研究方向性が必要ですか？

主な発見

• プロセス異常検出分野は主に点異常依存であり、集合的および文脈的異常はほとんど検出されていない。
• 技術使用に顕著な不均衡があり、他の分野で利用可能な多様なアプローチにもかかわらず、少数の手法が支配的である。
• 既存のアプローチは、現実の業務プロセスの核となる特徴である進化する柔軟なプロセスモデルを処理できていない。
• 多数のプロセスインスタンスにわたり悪意のある意図を分散させた攻撃は、個々に正常に見えるため、多くの研究で検出されていない。
• ラベル付きの異常を含む、実世界で公開可能なプロセス動作データの不足が、手法の検証およびベンチマーク化を妨げている。
• GDPR や HIPAA といった規制フレームワークは、より強固な異常検出の必要性を強調しているが、現在のソリューションはコンプライアンスおよびセキュリティ要件を満たせていない。