[論文レビュー] BAD: Blockchain Anomaly Detection

Matteo Signorini, Matteo Pontecorvi+2 more|arXiv (Cornell University)|Jul 10, 2018

Blockchain Technology Applications and Security参考文献 40被引用数 15

ひとこと要約

BADは、エクリプス攻撃のような繰り返し攻撃を検出・防止するため、改ざん不能でプライベートな悪意のある取引ハッシュの分散ログを用いる、ブロックチェーン特化型の異常検出フレームワークである。これはブロックチェーンメタデータを活用して共有脅威データベースを構築し、誤検出を低減するとともに、1件あたりO(k)のオーバーヘッドでリアルタイム検出を可能にする。ここでkは既知の攻撃シーケンスの数を表す。

ABSTRACT

Anomaly detection tools play a role of paramount importance in protecting networks and systems from unforeseen attacks, usually by automatically recognizing and filtering out anomalous activities. Over the years, different approaches have been designed, all focused on lowering the false positive rate. However, no proposal has addressed attacks targeting blockchain-based systems. In this paper we present BAD: the first Blockchain Anomaly Detection solution. BAD leverages blockchain meta-data, named forks, in order to collect potentially malicious activities in the network/system. BAD enjoys the following features: (i) it is distributed (thus avoiding any central point of failure), (ii) it is tamper-proof (making not possible for a malicious software to remove or to alter its own traces), (iii) it is trusted (any behavioral data is collected and verified by the majority of the network) and (iv) it is private (avoiding any third party to collect/analyze/store sensitive information). Our proposal is validated via both experimental results and theoretical complexity analysis, that highlight the quality and viability of our Blockchain Anomaly Detection solution.

研究の動機と目的

• ブロックチェーンベースのシステムに特化した異常検出ソリューションの不足、特にゼロデイ攻撃およびリプレイ攻撃に対する対策を講じること。
• 単一障害点を回避し、コンSENSUSを通じて信頼性を確保する分散型・改ざん不能・プライバシー保護型のシステムを設計すること。
• 共有され、ブロックチェーンで保護された脅威データベースを活用して、以前に観測された攻撃パターンを再利用することで、エクリプス攻撃などの悪意ある行動を検出すること。
• プロトタイプ実装とテストブロックチェーンネットワーク上での実験的評価を通じて、アプローチの実現可能性と効率性を検証すること。
• エクリプス攻撃を超える新しい種類のブロックチェーン特化型脅威を検出できるように、カスタマイズ可能で拡張可能なフレームワークを提供すること。

提案手法

• BADは、ブロックチェーンメタデータを信頼の基盤として用い、分散型で追加のみ可能なログに、孤立した攻撃からの悪意ある取引のハッシュを収集・保存する。
• 各ノードは、既知の攻撃シーケンスのプレフィックスを表す部分シーケンス（PS_i, j）の集合を維持する。ここでjはシーケンスの現在の長さを表す。
• 新しい取引tが処理される際、BADはH(t)が既存の部分シーケンス（PS_i, j）を（PS_i, j+1）に拡張するか、あるいはH(t)が新しいシーケンスの開始であるかを確認する。
• 完全な攻撃シーケンス（PS_i, ℓ_i）が再構築された場合、取引tは送信を防ぐために破棄される。
• 暗号ハッシュとコンセンサスを用いることで、脅威データベースの整合性を保証し、改ざんを防止する。
• スケーラビリティを管理するため、計算負荷をO(k)（kは既知の攻撃シーケンスの数）に制限するために、古くなったり頻度が低くなった攻撃パターンを破棄するためのプルーニング技術が適用される。

実験結果

リサーチクエスチョン

• RQ1 異常検出はどのようにブロックチェーンシステムに効果的に適応可能か。特に、ピアツーピアネットワークを標的とするリプレイ攻撃およびゼロデイ攻撃を検出・防止するには？
• RQ2 ネイティブなブロックチェーンの特性を活用して、分散型・改ざん不能・プライバシー保護型の脅威データベースを構築できるか。
• RQ3 ブロックチェーンネットワークにおける共有型分散異常検出システムの維持と照会に、計算的および通信的オーバーヘッドはどの程度か。
• RQ4 BADは、以前に観測された悪意あるフォークパターンを再利用することで、どの程度エクリプス攻撃を検出・防止できるか。
• RQ5 既知の攻撃シーケンスの数が時間とともに増加する中で、システムは効率性とスケーラビリティをどのように維持できるか。

主な発見

• BADは部分シーケンス照合を活用して既知の攻撃シーケンスを認識することで、リプレイ攻撃に対するリアルタイム保護を実現し、悪意ある取引を検出・ブロックする。
• 1件あたりの計算負荷はO(k)で抑えられ、k（既知の攻撃シーケンスの数）が長さに制限されていれば、効率的である。
• プロトタイプ実装により、BADがテストブロックチェーンネットワークでエクリプス攻撃を検出できることを示した。これは、以前に観測された攻撃パターンに基づいて悪意あるブロックを同定・破棄することで実現された。
• すべての脅威データが分散型でコンセンサス保護されたブロックチェーンに格納されているため、システムは改ざんに対して耐性がある。これにより、1つのノードでもログを改ざんまたは削除することは不可能である。
• プルーニング戦略により脅威データベースのサイズが効果的に管理され、古くまたは頻度が低い攻撃パターンを破棄することで、システムのスケーラビリティが確保された。
• 第三者が機微な行動データを収集・分析しないため、ソリューションはプライバシー保護型である。すべての検出処理は、ハッシュ化された取引データのみを用いて、ローカルかつ協調的に実行される。