[論文レビュー] Machine Learning in Access Control: A Taxonomy and Survey

Mohammad Nur Nobi, Maanak Gupta+4 more|arXiv (Cornell University)|Jul 4, 2022

Access Control and Trust被引用数 7

ひとこと要約

本稿は、属性抽出、ポリシー抽出、意思決定、検証を含む、アクセス制御における機械学習の応用に関する包括的な分類体系とサーベイを提示している。データ不足、モデルの解釈可能性、バイアスといった主な課題を特定し、安全で信頼性の高いML駆動型アクセス制御システムを進展させるための今後の研究方向性を提案している。

ABSTRACT

An increasing body of work has recognized the importance of exploiting machine learning (ML) advancements to address the need for efficient automation in extracting access control attributes, policy mining, policy verification, access decisions, etc. In this work, we survey and summarize various ML approaches to solve different access control problems. We propose a novel taxonomy of the ML model's application in the access control domain. We highlight current limitations and open challenges such as lack of public real-world datasets, administration of ML-based access control systems, understanding a black-box ML model's decision, etc., and enumerate future research directions.

研究の動機と目的

• 複数のサブドメインにわたるアクセス制御における機械学習の応用について、包括的かつ最新のレビューを提供すること。
• MLをアクセス制御に適用するための統一されたフレームワークの欠如に応じ、独創的で時系列的な分類体系を提案すること。
• 実世界のデータセットの不足、モデルの解釈可能性、MLベースのアクセス制御システムにおける公平性といった、重要な課題を特定・分析すること。
• 再現性およびベンチマークの目的で、MLベースのアクセス制御研究に使用されている公開済み実世界データセットを要約すること。
• 未解決の課題を明らかにし、安全で信頼できるML強化アクセス制御の統合を進めるための実行可能な今後の研究方向性を提示すること。

提案手法

• Google Scholar、ACM Digital Library、IEEE Xplore、Springerを含む主要な学術データベースを用いて、2006年から2022年Q1までの査読付き出版物を系統的レビューした。
• 属性抽出、ポリシー抽出、意思決定、検証といった主要な問題領域をカバーする、時系列的かつ主題的な多様な次元の、ML応用の新規分類体系を提案した。
• 使用されたML技術、ターゲットとなるアクセス制御タスク、評価手法に基づいて、100件以上の研究論文を分類・分析した。
• MLベースのアクセス制御研究に使用されている公開データセットを評価し、Amazonアクセスログデータセット（Kaggle, 2013）などの合成および実世界のソースを含め、アクセス制御状態のモデリングへの適性を検討した。
• 訓練データにおけるクラス不均衡（例：90％以上が許可要求）や、標準化された評価指標の欠如、MLモデルのアクセス制御における検証ツールの不足といった制限を特定・議論した。
• MLベースのアクセス制御システムの体系的検証およびテストのためのフレームワークを提案し、分野特有のコストモデリングとフィードバックループの必要性を強調した。

実験結果

リサーチクエスチョン

• RQ1 属性抽出、ポリシー抽出、アクセス意思決定などのアクセス制御の異なるサブドメインにおいて、現在どのように機械学習技術が応用されているか。
• RQ2 データ品質、モデルの解釈可能性、公平性といった点で、MLベースのアクセス制御システムの採用と信頼性を阻害する主な課題は何か。
• RQ3 MLベースのアクセス制御研究で現在使用されている公開データセットは何か。また、それらは実世界のアクセス制御状態をどの程度反映しているか。
• RQ4 MLドリブンアクセス制御システムの既存の検証およびテスト手法における制限は何か。それらはどのように改善できるか。
• RQ5 安全でスケーラブルなアクセス制御システムにおける機械学習の統合を進めるために、どのような今後の研究方向性が必要か。

主な発見

• 機械学習は、自然言語からの属性抽出、ロールと権限のマッピング、ログからのポリシー抽出、アクセス意思決定などのタスクを自動化・強化するために、ますます広く応用されている。
• Amazonアクセスログデータセット（Kaggle, 2013）は、実世界のデータセットとして最も広く使用されているが、深刻なクラス不均衡（許可要求が90％以上）を示しており、これがモデル予測をアクセス許可に偏らせる可能性がある。
• 技術の進展にもかかわらず、MLベースのアクセス制御システムを評価するための標準化されたベンチマークフレームワークは存在せず、大多数のモデルは包括的な検証を伴わずに未観測のテストセットでのみ評価されている。
• モデルの解釈可能性は依然として大きな課題であり、ブラックボックス型のMLモデルは透明性に欠け、意思決定の監査や攻撃的行動の検出が困難である。
• 現在の検証手法は、正しさと公平性を保証するには不十分である。特に、不正なユーザーにアクセスを許可するという誤分類の非対称的コストを考慮した分野特有の検証フレームワークの必要性が極めて高い。
• 企業システムの完全なアクセス制御状態を包括的に反映する高品質な公開データセットが、研究コミュニティに不足しており、再現性やモデルの汎化能力の制限要因となっている。