[論文レビュー] SCRUB-PA: A Multi-Level Multi-Dimensional Anonymization Tool for Process Accounting

Katherine Luo, Yifan Li+3 more|ArXiv.org|Jan 18, 2006

Data Quality and Management参考文献 5被引用数 15

ひとこと要約

SCRUB-PA は、システム管理者のプライバシー懸念を解消し、セキュリティ分析に役立てるために UNIX/Linux のプロセスアカウンティングログにおけるユーザーのプライバシーを保護する、マルチレベル・マルチディメンションの匿名化ツールである。k-匿名性とデータのばらつきを、ユーザー、コマンド、時間、システムリソース使用量の複数の次元に適用することで、最小限のデータ利用価値の損失で細かく粒度を調整したプライバシー保護を実現し、研究やインcidetフォレンジックスにおける機密システムログの広範な利用を可能にする。

ABSTRACT

In the UNIX/Linux environment the kernel can log every command process created by every user using process accounting. This data has many potential uses, including the investigation of security incidents. However, process accounting data is also sensitive since it contains private user information. Consequently, security system administrators have been hindered from sharing these logs. Given that many interesting security applications could use process accounting data, it would be useful to have a tool that could protect private user information in the logs. For this reason we introduce SCRUB-PA, a tool that uses multi-level multi-dimensional anonymization on process accounting log files in order to provide different levels of privacy protection. It is our goal that SCRUB-PA will promote the sharing of process accounting logs while preserving privacy.

研究の動機と目的

• システム管理者におけるプライバシー懸念のため、機密なプロセスアカウンティングログの共有が困難であるという課題に対処すること。
• ユーザーのアイデンティティやコマンドパターンを保護することで、組織間でのセキュリティ分析のための安全な共同作業を可能にすること。
• 脅威モデルに応じたさまざまなレベルのプライバシー保護をサポートできる柔軟な匿名化フレームワークの開発。
• マルチディメンションの誤魔化しによって強いプライバシー保証を実現しつつ、セキュリティ分析に十分なデータ利用価値を維持すること。
• 信頼できる匿名化により、プロセスアカウンティングデータのセキュリティ研究やインcidetフォレンジックスにおける活用促進。

提案手法

• ツールは、ユーザー、コマンド、タイムスタンプ、システムリソース使用量という複数の次元にわたって k-匿名性を適用する。
• プロセスアカウンティングレコードの機微な属性を一般化または抑制するために、データのばらつき技術を用いる。
• 匿名化は複数のレベルで実施され、管理者が望むプライバシーの粒度（例：k=5、k=10）を選択可能である。
• UNIX/Linux の `sa` および `ac` ユーティリティからの監査ログに対して、バッチ処理およびリアルタイムの両方の匿名化をサポートする。
• ユーザー定義のプライバシー要件を特定の匿名化変換にマッピングする、設定可能なポリシー・エンジンを採用する。
• セキュリティアナリティクスに適したデータ利用価値を維持するため、時間的および統計的関係を保持する。

実験結果

リサーチクエスチョン

• RQ1 どのようにしてプロセスアカウンティングログを匿名化することで、セキュリティ分析に必要なデータ利用価値を損なわずにユーザーのプライバシーを保護できるか？
• RQ2 システム監査ログにおいて、プライバシーとデータ利用価値のバランスを最適化するための、マルチディメンションおよびマルチレベルの匿名化戦略は何か？
• RQ3 柔軟な匿名化フレームワークは、異なる展開環境におけるさまざまな脅威モデルやプライバシー要件を満たすことができるか？
• RQ4 匿名化プロセスは、セキュリティインcidetの検出に有用な統計的パターンをどの程度維持しているか？
• RQ5 匿名化されたプロセスアカウンティングデータに対して再識別攻撃を防ぐために、このツールはどの程度効果的か？

主な発見

• SCRUB-PA は複数の次元にわたって k-匿名性を達成しており、プロセスアカウンティングログにおける再識別リスクを低減した。
• 時間的アクセスパターンやコマンド頻度分布が保持されていることから、セキュリティ分析に十分なデータ利用価値が維持されていることが実証された。
• マルチレベルの粒度による匿名化により、管理者は脅威モデルやデータの機密性に応じてプライバシー保護の強度を調整可能である。
• データのばらつきおよび一般化技術の使用により、個々のユーザー行動がマスキングされつつ、集計的なシステム使用傾向が保持された。
• フレームワークにより、プライベートなユーザー情報が露呈しないまま、管理ドメイン間でのログ共有が可能になった。
• 評価結果から、ユーザーの再識別可能性が低下した一方で、インシデント検知やフォレンジックス分析に有用な統計的性質が保持されていることが示された。