[論文レビュー] Get Your Workload in Order: Game Theoretic Prioritization of Database Auditing

Chao Yan, Bo Li+4 more|arXiv (Cornell University)|Jan 22, 2018

Network Security and Intrusion Detection参考文献 37被引用数 3

ひとこと要約

本稿では、監査官と戦略的攻撃者との間の相互作用をスタッケルベルクゲームとしてモデル化することで、データベース監査アラートの優先順位付けのためのゲーム理論的フレームワークを提案する。線形計画法と列生成、ヒューリスティック探索を用いて、非ゲーム理論的ベースラインよりも著しく優れた結果を達成する、最適で確率的な監査ポリシーを導出する。この手法は、敵対的行動を考慮しながら、アラート過多の問題を大幅に軽減する。

ABSTRACT

For enhancing the privacy protections of databases, where the increasing amount of detailed personal data is stored and processed, multiple mechanisms have been developed, such as audit logging and alert triggers, which notify administrators about suspicious activities; however, the two main limitations in common are: 1) the volume of such alerts is often substantially greater than the capabilities of resource-constrained organizations, and 2) strategic attackers may disguise their actions or carefully choosing which records they touch, making incompetent the statistical detection models. For solving them, we introduce a novel approach to database auditing that explicitly accounts for adversarial behavior by 1) prioritizing the order in which types of alerts are investigated and 2) providing an upper bound on how much resource to allocate for each type. We model the interaction between a database auditor and potential attackers as a Stackelberg game in which the auditor chooses an auditing policy and attackers choose which records to target. A corresponding approach combining linear programming, column generation, and heuristic search is proposed to derive an auditing policy. For testing the policy-searching performance, a publicly available credit card application dataset are adopted, on which it shows that our methods produce high-quality mixed strategies as database audit policies, and our general approach significantly outperforms non-game-theoretic baselines.

研究の動機と目的

• 正当なアラートが利用可能な監査リソースをはるかに上回る、データベース監査におけるアラート過多という深刻な課題に対処する。
• 現実世界の敵対的行動を反映させるために、監査官と潜在的攻撃者の戦略的相互作用をスタッケルベルグゲームとしてモデル化する。
• リスクと攻撃者のインcentiveに基づいてアラートタイプを優先順位付けする、スケーラブルで計算的に効率的な監査ポリシーを構築する。
• NP-hard性の結果を含む理論的基盤を提供し、線形計画法と列生成を用いた実用的解決策を提示する。
• 電子歴史記録やクレジットカード申請の実世界データセットを用いてフレームワークを評価し、実用的有効性を示す。

提案手法

• 監査官が確率的監査ポリシーをコミットし、攻撃者がどのレコードを標的にするかを決定するスタッケルベルグゲームとして、データベース監査問題をモデル化する。
• 監査官の問題を、戦略的攻撃者反応を考慮した期待効用を最大化する二段階最適化問題として定式化する。
• 列生成を用いて、完全なポリシー列挙の指数的複雑性を回避する高品質な監査ポリシーを反復的に構築する。
• ヒューリスティック探索を統合し、特に多数のアラートタイプを含む大規模な環境において、収束を改善する。
• 各反復で緩和されたマスター問題を線形計画法で解き、計算の扱いやすさを保証する。
• 実運用環境での運用制約を満たすために、各アラートタイプごとのリソース割り当て上限を導出する。

実験結果

リサーチクエスチョン

• RQ1 アラート過多に直面する中で、リソース制限を受ける戦略的攻撃者の検出を最大化する監査ポリシーは、どのように優先順位付けできるか？
• RQ2 戦略的攻撃者行動を考慮した場合、最適監査ポリシー選択の計算複雑度はどの程度か？
• RQ3 提案手法のゲーム理論的アプローチは、非ゲーム理論的ベースラインと比較して、検出性能およびリソース効率の面でどのように異なるか？
• RQ4 高分散のアラート件数と複数の潜在的攻撃者を含む実世界ワークロードに、このフレームワークはどの程度スケーラブルか？
• RQ5 攻撃者の合理性やパrameter仮定の変動に対して、提案ポリシーの性能はどの程度感度に依存するか？

主な発見

• 制約付きのデータベース監査問題はNP-hardであることが示され、近似を用いない限り最適ポリシーを求める理論的非実行可能性が確立された。
• 列生成と線形計画法を用いた提案手法は、合成評価において最適解に非常に近い高品質な混合戦略を達成した。
• バナーディル・ユニバーシティ・メドカル・センターのEMRデータセットにおいて、フレームワークは高リスクアラートタイプを優先することで、アラート過多を軽減し、監査効率を著しく向上させた。
• クレジットカード申請データセットにおいて、ゲーム理論的ポリシーは非ゲーム理論的ベースラインを上回り、偽陽性を減らしながら不審なアクセスパターンを効果的に検出できた。
• 本手法は、アラート件数の変動に強く、従来のアラート方式が回避する「静かで低頻度の攻撃」の検出においても優れた性能を示した。
• 確率的アラート件数と複数の潜在的攻撃者を効果的に処理でき、既知で固定のアラート頻度を仮定するモデルを上回る性能を発揮した。