[論文レビュー] On the Utility of Anonymized Flow Traces for Anomaly Detection

Martin Burkhart, Daniela Brauckhoff+1 more|ArXiv.org|Oct 9, 2008

Internet Traffic Analysis and Secure E-voting参考文献 20被引用数 9

ひとこと要約

本稿では、IPアドレスの匿名化技術（例：切り捨て、ランダム置換、プレフィックス保持置換）が、異常検出に向けたネットワークフローデータの有用性に与える影響を評価する。3週間分のバックボーントラースを用いた分析から、異常検出の有用性を維持するのはプレフィックス保持置換のみであり、他の手法は特に小規模な異常やネットワークの変動検出において性能を著しく低下させることが判明した。

ABSTRACT

The sharing of network traces is an important prerequisite for the development and evaluation of efficient anomaly detection mechanisms. Unfortunately, privacy concerns and data protection laws prevent network operators from sharing these data. Anonymization is a promising solution in this context; however, it is unclear if the sanitization of data preserves the traffic characteristics or introduces artifacts that may falsify traffic analysis results. In this paper, we examine the utility of anonymized flow traces for anomaly detection. We quantitatively evaluate the impact of IP address anonymization, namely variations of permutation and truncation, on the detectability of large-scale anomalies. Specifically, we analyze three weeks of un-sampled and non-anonymized network traces from a medium-sized backbone network. We find that all anonymization techniques, except prefix-preserving permutation, degrade the utility of data for anomaly detection. We show that the degree of degradation depends to a large extent on the nature and mix of anomalies present in a trace. Moreover, we present a case study that illustrates how traffic characteristics of individual hosts are distorted by anonymization.

研究の動機と目的

• IPアドレスの匿名化がネットワークフローデータにおける統計的異常検出に与える影響を評価すること。
• 大規模な異常を検出するために必要なトラフィック特性を維持する匿名化手法を同定すること。
• 匿名化が個々のホストのトラフィック特性の可視化および正確な同定に与える影響を調査すること。
• さまざまな異常タイプ（トラフィック量、スキャン/DoS攻撃、ネットワークの変動）およびトランスポートプロトコル（TCP/UDP）における検出性能の低下を定量化すること。
• 細粒度のレベルでの障害原因特定およびトラフィック特性の特定に、匿名化データの有用性を評価すること。

提案手法

• サブセットサイズ（例：ホスト、サブネット）および解像度（例：IPプレフィックス長）によって定義される、トラフィック分析のための一般的な粒度設計空間を構築した。
• ブラックマーキング、切り捨て、ランダム置換、部分的プレフィックス保持置換、完全なプレフィックス保持置換の5つの匿名化手法を適用した。
• 未匿名化で手動ラベルが付与された3週間分のバックボーンフローデータを用い、カルマンフィルタベースの異常検出器を適用して、ベースラインの検出性能を確立した。
• AUC曲線（受信者操作特性曲線）を用いて、匿名化手法ごとの真正陽性率と偽陽性率を比較することで、検出器の性能を評価した。
• 170台の個別ウェブサーバーを対象とした事例研究を通じて、切り捨てによるトラフィック集約化の影響を定量化し、焦点の喪失を分析した。
• 切り捨てによって生じる、元のホストに属さない追加のフローの割合を測定し、個々のホストのトラフィック特性への歪みの程度を評価した。

実験結果

リサーチクエスチョン

• RQ1 IPアドレスの匿名化は、トラフィック量の急増、スキャン、DoS攻撃などの大規模な異常検出に与える影響は何か？
• RQ2 切り捨てや置換などの異なる匿名化手法は、さまざまな異常タイプにおいて、異常検出性能をどの程度低下させるか？
• RQ3 匿名化は、個々のホストのトラフィック特性の分析および同定能力にどのような影響を与えるか？
• RQ4 切り捨てはトラフィック集約化にどのような影響を及ぼし、ホストレベルのトラフィックパターンをどの程度歪めるか？
• RQ5 特定の異常検出目的に適合するように、匿名化を調整することで性能低下を最小限に抑えることは可能か？

主な発見

• プレフィックス保持置換を除くすべての匿名化手法が、異常検出の有用性を低下させ、異常タイプに応じて13%～30%の性能低下が生じた。
• ネットワークの変動異常においては、切り捨てのビット数が2ビットから4ビットに増加すると、有用性が87%から70%に低下し、検出性能の著しい低下が確認された。
• 8ビットの切り捨てでは、170台のウェブサーバーのうち89%が、隣接ホストとの集約により100%以上のトラフィック増加を経験しており、ホストレベルの特性が著しく歪められていた。
• ホストのトラフィックが隣接ホストのトラフィックにかき消される「焦点の喪失効果」が発生し、サブセットサイズが保持されない場合、小規模な異常検出はほぼ不可能になった。
• ランダム置換とブラックマーキングは、ネットワークの変動検出性能を最も著しく低下させたが、トラフィック量の異常は、すべての匿名化手法においてほとんど影響を受けなかった。
• プレフィックス保持置換が最も優れた有用性を示し、未匿名化のベースラインに最も近い検出性能を維持した。一方、ブラックマーキングはデータ歪みが著しく、最も性能が悪かった。