[論文レビュー] Anomaly Sequences Detection from Logs Based on Compression

Nan Wang, Jizhong Han+1 more|arXiv (Cornell University)|Sep 8, 2011

Software System Performance and Reliability被引用数 4

ひとこと要約

本稿では、統計的仮定やマルコフ仮定に依存せずに奇妙さを測定するため、文法に基づく圧縮を用いたログシーケンスのための新しい異常検出手法を提案する。正常なシーケンスで訓練を行い、異常と疑われるシーケンスを追加した際の圧縮サイズの増加を測定することで、高レベルおよび低レベルの異常を効果的に同定する。実システムコールトレースを用いたバグ検出および侵入検出において優れた結果を達成した。

ABSTRACT

Mining information from logs is an old and still active research topic. In recent years, with the rapid emerging of cloud computing, log mining becomes increasingly important to industry. This paper focus on one major mission of log mining: anomaly detection, and proposes a novel method for mining abnormal sequences from large logs. Different from previous anomaly detection systems which based on statistics, probabilities and Markov assumption, our approach measures the strangeness of a sequence using compression. It first trains a grammar about normal behaviors using grammar-based compression, then measures the information quantities and densities of questionable sequences according to incrementation of grammar length. We have applied our approach on mining some real bugs from fine grained execution logs. We have also tested its ability on intrusion detection using some publicity available system call traces. The experiments show that our method successfully selects the strange sequences which related to bugs or attacking.

研究の動機と目的

• 大規模なログ、特にクラウドコンピューティング環境における非決定的システム障害を検出する課題に対処すること。
• 従来の異常検出手法がマルコフ仮定や確率的モデルに依存するため、高レベルの誤動作を多く見逃してしまうという限界を克服すること。
• 情報含量に基づいて、構造に注意を払った軽量な手法を構築し、圧縮を活用して異常なログシーケンスを検出すること。
• 実世界のログを用いてバグ検出および侵入検出の両方に対して評価し、多様なシステム行動にわたる有効性を示すこと。

提案手法

• 本手法は、訓練ログシーケンスから正常な挙動パターンを学ぶために、文法に基づく圧縮（特にSEQUITURアルゴリズム）を用いる。
• 候補シーケンスの奇妙さは、訓練セットにシーケンスを追加した際の圧縮サイズの増加量（$I_n = Q_n - Q_0$）を計算することで測定する。
• 中心的な考えは、異常なシーケンスは圧縮が難しく、正常なパターンから構造的に逸脱しているため、圧縮サイズの増加が著しくなるということである。
• 統計的モデリングを避けるために、圧縮可能性が構造的規則性と予測可能性を反映する情報理論的原則に依存する。
• 効率性を高めるために、候補シーケンスを既存の文法規則と照合する際にプレフィックスツリーのデータ構造を用いる。
• 異常をランク付けするために、圧縮サイズの絶対増加量（$I_n$）と情報密度（$D_n = I_n / \text{sequence length}$）の両方を評価する。

実験結果

リサーチクエスチョン

• RQ1 統計的モデルに依存せずに、細粒度の実行ログにおいて高レベルの誤動作を圧縮に基づく異常検出で効果的に同定できるか？
• RQ2 従来のマルコフベースの手法と比較して、本手法はシステムコールトレースにおける既知の侵入をどの程度効果的に検出できるか？
• RQ3 構造的特徴および圧縮可能性特徴のみを用いて、実システムコールトレースにおける良性および悪意あるプロセス行動を区別できるか？
• RQ4 本手法は、生産環境からの大規模ログデータに適用した際の性能オーバーヘッドはどの程度か？

主な発見

• 本手法は、xlockデータセットにおいて、2つの既知の攻撃を受けたプロセスをすべて検出できた。情報密度（$D$）の値は、トップの正常シーケンスの2倍以上であった。
• namedデータセットでは、5番目に異常なシーケンスのうち3つを同定でき、正常シーケンスと比較して情報密度の値が顕著に高かった。
• xlockデータセットでは、上位5つの正常シーケンスの$I_n$値は46から776の間であったが、2つの攻撃を受けたシーケンスの$I_n$値は183および176であり、強い異常信号を示していた。
• 本手法は高いスループットを達成した：memcachedログでは1秒間に85,409.5エントリ、large namedデータセットでは1秒間に585.4エントリであった。
• アルゴリズムは、$I_n = 1$ のシーケンスが訓練シーケンスの複製である可能性が高いと正しく同定しており、繰り返しパターンの処理において堅牢性を示した。
• 本手法は、局所的な状態遷移を超えた構造的パターンを捉えられるため、従来のマルコフベースのモデルに比べて高レベルの異常をより効果的に検出できた。