[論文レビュー] Blind Adversarial Network Perturbations

Milad Nasr, Alireza Bahramali+1 more|arXiv (Cornell University)|Feb 16, 2020

Internet Traffic Analysis and Secure E-voting参考文献 54被引用数 5

ひとこと要約

本稿では、トラフィックの事前知識なしに、パケットのタイミング、サイズ、ダミーパケットの挿入を変更することで、DNNに基づくトラフィック分析システム（ウェブサイトフォグプロンティングやフローピアリングなど）を撃破する、リアルタイムでライブトラフィックに適用可能な盲目的な敵対的ネットワーク摂動を提案する。この手法は、最大で90%の精度低下を実現し、帯域幅の増加はたった10%に抑えられ、さまざまなモデル間で高い転送性を示し、ブラックボックス攻撃を可能にする。

ABSTRACT

Deep Neural Networks (DNNs) are commonly used for various traffic analysis problems, such as website fingerprinting and flow correlation, as they outperform traditional (e.g., statistical) techniques by large margins. However, deep neural networks are known to be vulnerable to adversarial examples: adversarial inputs to the model that get labeled incorrectly by the model due to small adversarial perturbations. In this paper, for the first time, we show that an adversary can defeat DNN-based traffic analysis techniques by applying \emph{adversarial perturbations} on the patterns of \emph{live} network traffic.

研究の動機と目的

• DNNに基づくトラフィック分析システムがライブネットワーク環境において敵対的攻撃に対して脆弱であるという問題に取り組む。
• バッファリングや将来のトラフィックの事前知識が不要なリアルタイム摂動機構を設計する。
• 摂動生成中にネットワークプロトコルの制約（例：タイミング依存性、統計的分布）を保持しつつ、敵対的摂動を生成する。
• 異なるDNNアーキテクチャ間での摂動の転送性を評価し、ブラックボックス攻撃を可能にする。
• 既存の防御機構の有効性を評価し、盲的な敵対的摂動に特化した対策を提案する。

提案手法

• ターゲットトラフィック入力に依存しない盲的な敵対的摂動を生成するための体系的最適化フレームワークを開発し、ライブパケットにリアルタイムで適用可能にする。
• 非微分可能なネットワーク制約（例：プロトコルレベルの依存性）を満たすために、リマップ関数とカスタム勾配近似を導入する。
• タイミングベース（ジタを追加）、サイズベース（パケットサイズを変更）、ダミーパケット挿入の3種類の摂動を、トラフィック分析特徴に適合させる形で適用する。
• 異なるアーキテクチャ（例：DeepCorr用にAlexNetを用いる）のサーロウトモデルを用いて、ブラックボックス攻撃シナリオ向けの転送可能な摂動を生成する。
• 統計的妥当性を保ちつつモデルの誤分類を最大化するため、特化した正則化子を用いた勾配ベース最適化を実施する。
• 盲的な敵対的摂動に特化した新しい対策を設計し、攻撃に対する有効性を実証する。

実験結果

リサーチクエスチョン

• RQ1 バッファリングや将来のパケットの事前知識なしに、リアルタイムでライブネットワークトラフィックに敵対的摂動を適用可能か？
• RQ2 複雑なネットワークレベルの制約（例：プロトコル動作、統計的分布）を尊重しつつ、効果的な敵対的摂動をどのように設計できるか？
• RQ3 盲的な敵対的摂動は、異なるDNNアーキテクチャ間でどの程度転送可能か？
• RQ4 既存の敵対的防御機構は、トラフィック分析における盲的な敵対的摂動に対してどの程度有効か？
• RQ5 盲的な敵対的摂動を効果的に緩和するように、特化した対策を設計可能か？

主な発見

• 提案された盲的な敵対的摂動手法は、最先端のウェブサイトフォグプロンティングシステムの精度を最大で90%まで低下させ、帯域幅の増加はたった10%に抑えられる。
• フローピアリングシステムでは、50msのジタ標準偏差を用いた摂動によって、真正陽性率を0.9から0.2に低下させる。
• 方向ベース攻撃は高い転送性を示し、サーロウトDFモデルから生成した摂動により、ターゲットモデル（Rimmer et al.）の85%のサンプルを誤分類する。
• 時間ベース攻撃は、アーキテクチャ間（例：AlexNetからDeepCorrへ）で強く転送可能であり、偽陽性率が10^-4を維持しながらも、高い誤分類率を達成する。
• サイズベース摂動手法も、同じ偽陽性率条件下で高い転送性を示し、アーキテクチャ間での有効性を確認する。
• 既存の敵対的防御機構は、盲的な敵対的摂動に対して著しく効果を示さず、専用の対策の必要性が浮き彫りになる。