[論文レビュー] Detecting fraudulent activity in a cloud using privacy-friendly data aggregates

Marc Solanas, Julio Hernández-Castro+1 more|arXiv (Cornell University)|Nov 25, 2014

Cloud Data Security Solutions参考文献 6被引用数 7

ひとこと要約

本論文では、OpenStackのCeilometerテレメトリからの請求レベルのデータ集計のみを用いて、プライバシーに配慮した方法でクラウド環境における不正活動を検出する手法を提案する。5秒ごとのリソース使用量スナップショット（CPUやネットワーク使用量など）に対してランダムフォレスト分類器を適用することで、ビットコインマイニング、DDoS攻撃、CPU集約的ワークロードなどの活動について高い検出精度を達成し、侵入的な監視を伴わずに早期警告が可能となる。

ABSTRACT

More users and companies make use of cloud services every day. They all expect a perfect performance and any issue to remain transparent to them. This last statement is very challenging to perform. A user's activities in our cloud can affect the overall performance of our servers, having an impact on other resources. We can consider these kind of activities as fraudulent. They can be either illegal activities, such as launching a DDoS attack or just activities which are undesired by the cloud provider, such as Bitcoin mining, which uses substantial power, reduces the life of the hardware and can possibly slow down other user's activities. This article discusses a method to detect such activities by using non-intrusive, privacy-friendly data: billing data. We use OpenStack as an example with data provided by Telemetry, the component in charge of measuring resource usage for billing purposes. Results will be shown proving the efficiency of this method and ways to improve it will be provided as well as its advantages and disadvantages.

研究の動機と目的

• ユーザーのプライバシーを損なわず、IaaSクラウド環境における不正またはリソース乱用行為を検出すること。
• 深層パケットインスペクションを必要とせず、既存の非侵襲的請求データ（例：CPU、ネットワーク使用量）を活用して異常検出を行うこと。
• 特にランダムフォレストを含む機械学習分類器の性能を評価・比較し、通常、Hadoop、CPU集約的、DDoS、暗号通貨マイニングの5種類のワークロードタイプを分類すること。
• データ集計を最初のフィルタとして用いたリアルタイム検出パイプラインを設計し、より深いインスペクションシステムの負荷を軽減すること。
• プライバシー保護型のデータ集計が、ユーザーの機密性を保持しつつも、不審な行動を効果的に同定できることを示すこと。

提案手法

• 各仮想マシンまたはボリュームごとに、OpenStack Ceilometerテレメトリから5秒ごとのリソース使用量集計（CPU、ネットワーク、I/O）を収集する。
• 通常、Hadoop、CPU集約的、内部DDoS、ビットコイン／リッジコインマイニングの5種類のワークロードタイプのラベル付きサンプルを用いてトレーニングされたランダムフォレスト分類器を用いる。
• しきい値ベースの意思決定メカニズムを適用して異常をフラグ付けし、しきい値が感度（例：高信頼度のアラートでは5–10％）を制御する。
• 複数のモデルや時間窓からの予測を統合することで検出精度を向上させるメタ分類器を採用する。
• 評価を簡素化するため、1時間ごとのデータバッチを処理する形でリアルタイム動作をシミュレートし、各ワークロードタイプに1台のVMを想定する。
• 分類処理をCeilometerに直接統合するか、REST APIを介して公開することで、異なるクラウドプラットフォームへの展開を可能にする。

実験結果

リサーチクエスチョン

• RQ1 クラウド請求システムからのプライバシーに配慮したデータ集計が、不正または乱用的ワークロードを効果的に検出できるか？
• RQ2 ランダムフォレスト分類器は、リソース使用量メトリクスのみを用いて、通常、CPU集約的、DDoS、暗号通貨マイニングワークロードをどれほど正確に区別できるか？
• RQ3 データ集計が検出精度に与える影響は何か？また、メタ分類器を用いることでどのように改善できるか？
• RQ4 この手法は、基盤のクラウドインfraを変更せずにリアルタイムに展開可能か？
• RQ5 プライバシーとパフォーマンスの観点から、従来のインシデント検知システムと比較して、このアプローチはどのように差別化されるか？

主な発見

• ランダムフォレスト分類器は、5秒ごとのリソース使用量集計のみを用いて、5種類のワークロードタイプすべてで高い検出精度を達成した。
• 本手法は、通常のワークロードとリソース集約的または悪意ある活動（DDoS攻撃、暗号通貨マイニングなど）を効果的に区別できた。
• しきい値ベースのアラートメカニズムにより、感度と誤検出率の間で柔軟なチューニングが可能であり、誤検出率5–10％の範囲で最適な性能が得られた。
• 詳細なアプリケーションレベルデータのインスペクションを避けることで、データ集計の使用がユーザーのプライバシーを保護した一方で、効果的な異常検出を可能にした。
• 本フレームワークは、複数層のインシデント検知パイプラインにおける最初の段階のフィルタとして適しており、無害なワークロードに対するより深いインスペクションの必要性を軽減した。
• 本アプローチはスタンドアロンサービスとして、またはCeilometerの拡張として展開可能であり、最小限のインfra変更でリアルタイム分類が可能である。