[論文レビュー] Detecting Behavioral and Structural Anomalies in MediaCloud Applications

Guido Schwenk, Sebastian Bach|arXiv (Cornell University)|Sep 29, 2014

Network Security and Intrusion Detection参考文献 20被引用数 4

ひとこと要約

本稿では、リアルタイムメディアストリーミングPaaS/SaaSプラットフォームであるAlcatel-LucentのMedia Cloudにおける行動的・構造的異常を検出するための、補い合う2つの機械学習手法を提案する。通信行動特徴量とアプリケーショングラフ構造を、One-Class SVMおよびSVDD分類器を用いて分析することで、実データおよび合成データの両方で最大100％の真正陽性率を達成し、非常に低い誤検出率を実現。さらに、異常を高精度で局所化可能である。

ABSTRACT

In the past years technological advances such as the increasing bandwidth in network infrastructures and new software developments such as message and agent-based systems gave rise to the field of cloud technologies, which have evolved from abstract concepts to concrete solutions, ranging from flexible, platform-independent systems to highly specialized software solutions. In this paper we introduce and evaluate two anomaly detection methods to achieve a higher level of security in a specific cloud solution for interactive media, the Media Cloud from Alcatel-Lucent. The Media Cloud focuses on real-time processing of interactive media applications, allowing for optimal resource planning using highly specific functional components. The proposed anomaly detection methods are designed to work complimentary to each other and are capable of detecting known and unknown vulnerabilities and security issues, offering very low false positive rates and very high detection rates, as is shown by the evaluation on real Media Cloud data and synthetic data. The proposed methods use behavioral and structural features, and are capable of locating the detected anomalies as well, giving the executing analyst easy insight into the running processes.

研究の動機と目的

• リアルタイムメディアストリーミングを提供するPaaS/SaaS機能を統合した特殊なクラウドプラットフォーム、Alcatel-LucentのMedia Cloud向けに、特化した異常検出手法の不足に対処すること。
• 動的でリアルタイムなメディアアプリケーションにおける既知および未知の脆弱性を、誤検出率を最小限に抑えて同定する検出手法を開発すること。
• アプリケーションコンポーネントおよび通信グラフ内での異常を、具体的に特定可能な形で局所化し、意思決定に役立つセキュリティインサイトを提供すること。
• 動的かつ正常な状態が変化しやすい環境下でも、手法の堅牢性を実世界データおよび合成データを用いて検証すること。

提案手法

• 行動的異常検出手法は、メッセージフローおよび相互作用シーケンスから導出された特徴量を用いて、コンポーネント間の通信パターンを分析する。
• 構造的異常検出手法は、アプリケーションを有向グラフとしてモデル化し、ノード周辺の近接部分構造から特徴量を抽出することで、アプリケーショントポロジーを表現する。
• 両手法にOne-Class SVM分類器を適用し、ラベルなしデータから正常動作を学習することで、ラベルなしの異常データを必要とせずに、乖離を検出可能にする。
• 構造的手法には、ヒストグラムインターセクションカーネルを用いたサポートベクターデータ記述（SVDD）分類器を適用し、実データでは完璧な検出を達成した。
• 異常の局所化は、ノードおよびエッジごとに、正常パターンからの乖離度に基づく脅威スコアを割り当てることで実施する。
• 1次近傍部分構造を用いることで、検出精度と局所化分解能のバランスを図り、過剰カバーによる精度損失を回避する。

実験結果

リサーチクエスチョン

• RQ1 機械学習ベースの異常検出は、リアルタイムメディアクラウドプラットフォームにおける行動的・構造的異常を効果的に同定できるか？
• RQ2 提案手法は、動的かつ現実世界のデータ上で、未知の脆弱性を低誤検出率で検出できるか？
• RQ3 手法は、アプリケーショングラフ内の特定のコンポーネントや部分構造に、正確に異常を局所化できるか？
• RQ4 オンライン学習環境下において、敵対的回避攻撃に対して、モデルの堅牢性はどの程度保たれるか？
• RQ5 カーネルの選択および特徴量の粒度が、検出性能および局所化性能にどのように影響するか？

主な発見

• 提案手法は、実際のMedia Cloudデータにおいて最大100％の真正陽性率を達成し、既知および未知の異常を完全に検出できることを示した。
• 動的で変化しやすい正常データで学習しても、極めて低い誤検出率を維持しており、生産環境における高い信頼性を示した。
• 合成データでは、ヒストグラムインターセクションカーネルを用いたSVDD分類器が、グラフ単位で完璧な検出を達成し、AUC値から完全な性能が示された。
• 分解能の制限にもかかわらず、異常局所化は効果的であった。脅威スコアが真の異常ノードおよびエッジ周辺に集中しており、管理者が高リスクコンポーネントを特定可能であった。
• 1次近傍部分構造の特徴量サイズが、検出精度と局所化精度の最適なトレードオフを提供しており、過剰カバーの問題を回避した。
• フレームワークは、モデル汚染攻撃に対しても堅牢であることが示され、理論的および実証的証拠から、オンライン学習環境下では攻撃が現実的ではないことが示された。