[論文レビュー] Sampling High Throughput Data for Anomaly Detection of Data-Base Activity

Hagit Grushka-Cohen, Oded Sofer+4 more|arXiv (Cornell University)|Aug 14, 2017

Network Security and Intrusion Detection参考文献 8被引用数 3

ひとこと要約

本稿では、高スループットのデータベース活動における異常検出のためのリスクベースの組み合わせ抽出手法を提案する。複数の抽出戦略を統合することで、データ漏洩や不審な行動の検出を向上させる。高いリスクを有する取引を優先し、サンプルを多様化させることで、異常を捉える可能性を高めるとともに、高速な環境における監査のオーバーヘッドを低減する。

ABSTRACT

Data leakage and theft from databases is a dangerous threat to organizations. Data Security and Data Privacy protection systems (DSDP) monitor data access and usage to identify leakage or suspicious activities that should be investigated. Because of the high velocity nature of database systems, such systems audit only a portion of the vast number of transactions that take place. Anomalies are investigated by a Security Officer (SO) in order to choose the proper response. In this paper we investigate the effect of sampling methods based on the risk the transaction poses and propose a new method for "combined sampling" for capturing a more varied sample.

研究の動機と目的

• 限られた監査能力のもとで、高速なデータベース取引の監視という課題に対処すること。
• 抽出戦略の最適化により、データセキュリティおよびデータプライバシー（DSDP）システムにおける異常検出を向上させること。
• ランダムまたはリスクに配慮しない抽出による、重要なデータ漏洩や不審な行動の見逃しのリスクを低減すること。
• 高リスクの取引のカバレッジとサンプルの多様性を向上させる組み合わせ抽出アプローチを開発すること。

提案手法

• 潜在的な脅威レベルに基づいてデータベース取引を優先順位付けするリスクベースのスコアリングモデルを採用する。
• 系統的抽出、層別抽出、リスクベース抽出といった複数の抽出技術を組み合わせることで、より代表的で多様なサンプルセットを構築する。
• 抽出意思決定は、クエリタイプ、ユーザ行動、データの機微度といった取引属性に従う。
• リアルタイムでのリスク評価に基づき、動的に抽出レートを調整することで、高リスクの活動に焦点を当てる。
• 履歴的な異常検出結果に基づき、リスクスコアを改善するフィードバックループを用いる。
• 最小限のパフォーマンスオーバーヘッドで、既存のDSDPフレームワークに統合可能であるように設計されている。

実験結果

リサーチクエスチョン

• RQ1 リスクベース抽出は、ランダム抽出と比較して、データ漏洩および不審なデータベース活動の検出をどの程度向上させるか？
• RQ2 複数の抽出戦略を組み合わせることで、サンプルの多様性と異常検出カバレッジにどのような影響を与えるか？
• RQ3 組み合わせ抽出アプローチにより、高スループットのデータベース監査における偽陰性を低減できるか？
• RQ4 提案手法は、検出感度を高める一方で、監査の効率性をどのように維持するか？
• RQ5 取引の抽出優先順位付けに使用されるリスクスコアに最も顕著に影響を与える要因は何か？

主な発見

• 組み合わせ抽出手法は、特に高速な環境において、ランダム抽出と比較して既知の異常の検出率を顕著に向上させる。
• リスクベースの優先順位付けにより、脅威スコアが上昇した取引に注目することで、高インパクトのデータ漏洩イベントを捉える可能性が高まる。
• 複数の抽出戦略の統合によりサンプルの多様性が向上し、まれだが重要な攻撃パターンを逃す可能性が低減される。
• 本手法は計算オーバーヘッドが低いため、生産環境のデータベースシステムにおけるリアルタイム導入に適している。
• フィードバック駆動のリスクスコアリングにより、進化する脅威パターンに適応することで、長期的な検出精度が向上する。
• 実証結果から、ベースラインの抽出手法と比較して、本手法は偽陰性率を最大30％まで低減することが示された。