[論文レビュー] Securing Your Transactions: Detecting Anomalous Patterns In XML Documents

Eitan Menahem, Alon Schclar+2 more|arXiv (Cornell University)|Sep 9, 2012

Network Security and Intrusion Detection参考文献 34被引用数 5

ひとこと要約

本稿では、構造的およびコンテンツベースの特徴を抽出し、それらを固定長のベクトルに変換することで、異常なXMLトランザクションを検出するための機械学習フレームワーク、XML-ADを提案する。このフレームワークは、新規の多変量アルゴリズムADIFAを用いて、4つの実世界のXMLデータセットにおいて、0.2%未満の誤検出率で89%を超える真正陽性検出率を達成している。

ABSTRACT

XML transactions are used in many information systems to store data and interact with other systems. Abnormal transactions, the result of either an on-going cyber attack or the actions of a benign user, can potentially harm the interacting systems and therefore they are regarded as a threat. In this paper we address the problem of anomaly detection and localization in XML transactions using machine learning techniques. We present a new XML anomaly detection framework, XML-AD. Within this framework, an automatic method for extracting features from XML transactions was developed as well as a practical method for transforming XML features into vectors of fixed dimensionality. With these two methods in place, the XML-AD framework makes it possible to utilize general learning algorithms for anomaly detection. Central to the functioning of the framework is a novel multi-univariate anomaly detection algorithm, ADIFA. The framework was evaluated on four XML transactions datasets, captured from real information systems, in which it achieved over 89% true positive detection rate with less than a 0.2% false positive rate.

研究の動機と目的

• サイバー攻撃や単なる誤りによって引き起こされる異常なXMLトランザクションが引き起こすセキュリティ脅威に対処すること。
• 実世界の情報システムにおけるXMLドキュメントに適用可能な汎用の異常検出フレームワークを開発すること。
• 処理の前段階で悪意あるまたは誤ったXMLトランザクションをエンドポイントで検出可能とし、既存のXMLセキュリティプロトコルを補完すること。
• 高次元のXML特徴空間における従来の多変量異常検出手法の限界を克服すること。
• XMLファイアウォールシステムやセキュリティ監視パイプラインに統合可能な実用的でスケーラブルなソリューションを構築すること。

提案手法

• XMLドキュメントから構造的およびコンテンツベースの特徴を自動的に抽出する手法を提案する。
• 複雑なXML特徴を一般用途の異常検出アルゴリズムと互換性のある形式に変換するための固定長特徴ベクトル変換（インスタンスフラットニング）を導入する。
• 単変量モデルを集約関数（AM、GM、HM）を用いて統合する手法を組み合わせた、新たな多変量異常検出アルゴリズムADIFAを開発する。
• フラットニング中に重要な値を保持する階層的特徴表現を採用し、情報損失を最小限に抑える。
• 変換された特徴ベクトルに対して、標準的な機械学習異常検出アルゴリズム（例：1-SVM、LOF、OC-GDE、OC-PGA）を適用する。
• UCIベンチマークデータセットを用いたAUCおよびランクベースの評価により、ADIFAを多変量ベースラインと比較する。

実験結果

リサーチクエスチョン

• RQ1 汎用フレームワークは、悪意ある攻撃および単なる誤りに起因するXMLトランザクションの異常を検出できるか？
• RQ2 提案された特徴抽出およびフラットニング手法は、異常検出に必要な判別情報をどれほど効果的に保持しているか？
• RQ3 多変量異常検出手法に比べ、ADIFAアルゴリズムは高次元のXML特徴空間で優れた性能を示すか？
• RQ4 XML-ADの検出性能は、実世界のXMLトランザクションデータセットにおいて、真正陽性率および誤検出率の観点からどの程度か？
• RQ5 ADIFAは多様なデータドメインに一般化可能であり、高い検出精度を維持できるか？

主な発見

• XML-ADフレームワークは、4つの実世界のXMLトランザクションデータセットにおいて、真正陽性検出率が89%を超えた。
• フレームワークは誤検出率が0.2%未満を維持しており、正常なトランザクションと異常なトランザクションを高精度に区別できることを示している。
• ADIFAは、4つの多変量異常検出アルゴリズム（1-SVM、OC-PGA、OC-GDE、LOF）をAUCの観点で上回り、ADIA-GMが統計的に顕著な優位性を示した。
• 非パラメトリックなボンフェローニ＝ダニング検定により、ADIFAのバリエーションは多変量ベースラインよりも顕著に優れており、ADIFAのバリエーション間には有意な差がないことが確認された。
• 固定長の特徴変換により、重要な判別値が保持され、次元削減による情報損失が最小限に抑えられた。
• フレームワークは多様なUCIベンチマークデータセットにおいて優れた一般化性能を示し、特定のXMLアプリケーションドメインにとどまらない強靭性を示した。