[論文レビュー] SEPIA: Security through Private Information Aggregation

Martin Burkhart, Mario Strasser+2 more|arXiv (Cornell University)|Mar 25, 2009

Cryptography and Data Security参考文献 58被引用数 6

ひとこと要約

SEPIAは、最適化された安全なマルチパーティ計算（MPC）プロトコルを用いて、複数ドメインのネットワークセキュリティおよび監視データを効率的かつほぼリアルタイムに集約できるプライバシー保護型計算ライブラリである。非定数ラウンドプロトコルを用いることで、分散乗算を最大80倍削減し、MPC操作、特に比較処理を高速化することで、9台の計算ノードを用い、最大140の入力プロバイダーからの高スルーレートのトラフィックデータをリアルタイムで処理可能となり、一般向けMPCフレームワークと比較して約144倍の性能向上を達成した（例：3分 vs. 2日）。

ABSTRACT

Secure multiparty computation (MPC) allows joint privacy-preserving computations on data of multiple parties. Although MPC has been studied substantially, building solutions that are practical in terms of computation and communication cost is still a major challenge. In this paper, we investigate the practical usefulness of MPC for multi-domain network security and monitoring. We first optimize MPC comparison operations for processing high volume data in near real-time. We then design privacy-preserving protocols for event correlation and aggregation of network traffic statistics, such as addition of volume metrics, computation of feature entropy, and distinct item count. Optimizing performance of parallel invocations, we implement our protocols along with a complete set of basic operations in a library called SEPIA. We evaluate the running time and bandwidth requirements of our protocols in realistic settings on a local cluster as well as on PlanetLab and show that they work in near real-time for up to 140 input providers and 9 computation nodes. Compared to implementations using existing general-purpose MPC frameworks, our protocols are significantly faster, requiring, for example, 3 minutes for a task that takes 2 days with general-purpose frameworks. This improvement paves the way for new applications of MPC in the area of networking. Finally, we run SEPIA's protocols on real traffic traces of 17 networks and show how they provide new possibilities for distributed troubleshooting and early anomaly detection.

研究の動機と目的

• プライバシーと利便性のトレードオフを解消し、生データを露呈せずに共同計算を可能にする。
• 高スルーレートでリアルタイムのネットワークトラフィックデータを処理する際の、従来のMPCフレームワークの性能ボトルネックを克服する。
• イベント相関、エントロピー計算、およびユニークカウントといったネットワークセキュリティおよび監視ワークロードに特化した効率的なMPCプロトコルを設計・実装する。
• 一般ハードウェアおよび現実的なネットワークトポロジを用いた実世界のネットワーキング環境でのMPCの実用的導入を可能にする。
• 実際のトラフィックトレースを用いて、協働型異常検知および分散型トラブルシューティングにおけるMPCの実現可能性を実証する。

提案手法

• 変動ラウンド実行を許容することでMPC比較処理を最適化し、定数ラウンド代替手法と比較して分散乗算を最大80倍削減する。
• SEPIAと呼ばれるライブラリを実装し、最適化されたMPCプリミティブ（ベクトル加算、イベント相関、エントロピー計算、ユニークカウントプロトコルなど）を統合する。
• シェーマーの秘密分散方式を用いて、入力ピアおよびプライバシー保護ピア間で入力データを分散配布し、半悪意的攻撃者モデル下でのセキュリティを確保する。
• 複数ドメインにまたがる頻繁に発生するイベント（例：IDSアラート）を特定する汎用的なイベント相関プロトコルを設計する。このプロトコルは、個々の入力を露呈せずに動作する。
• トラフィック特徴の分布およびヘビーハイターディテクションメトリクスを計算するためのエントロピーおよびユニークカウントプロトコルを開発する。これらは異常検知に不可欠である。
• ローカルクラスタおよびPlanetLabを用いて性能を評価し、5分間のトラフィックウィンドウを定義として、処理が同じ時間ウィンドウ内に完了する範囲でほぼリアルタイム動作を実現する。

実験結果

リサーチクエスチョン

• RQ1 複数ドメイン環境における高スルーレートのネットワーク監視データのほぼリアルタイム処理に適したMPCは、実現可能か？
• RQ2 並列かつ大規模な呼び出しにおいて、MPC比較処理をどのように最適化すれば通信および計算のオーバーヘッドを低減できるか？
• RQ3 イベント相関、エントロピー、およびユニークカウントのためのMPCプロトコルは、協働型ネットワークセキュリティおよび監視をどの程度向上できるか？
• RQ4 最大140の入力プロバイダーを含む現実的なネットワーク設定において、SEPIAの性能は一般向けMPCフレームワークと比べてどの程度優れているか？
• RQ5 SEPIAは、実世界のトラフィックトレースを用いて、実用的でプライバシー保護型の異常検知およびトラブルシューティングを可能にするか？

主な発見

• SEPIAは、一般ハードウェアを用い、最大140の入力プロバイダーと9台の計算ノードを対象に、5分間のトラフィックウィンドウでほぼリアルタイムの性能を達成した。
• 最適化されたMPC比較プロトコルにより、分散乗算が最大80倍削減され、定数ラウンド代替手法と比較して著しく高速な実行が可能となった。
• 一般的なタスクにおいてSEPIAは3分で処理を完了したが、一般向けMPCフレームワークでは2日を要した。これは144倍の高速化を意味する。
• イベント相関プロトコルは、複数のネットワークにまたがる共通の異常シグネチャを効果的に特定し、早期のエクスプロイト検知および協働型トラブルシューティングを可能にした。
• 17のネットワークからの実際のトラフィックトレースを用いた評価により、SEPIAがデータプライバシーを損なわずに異常検知およびクロスドメイン分析を可能にすることが確認された。
• SEPIAの基本的なMPC操作は、既存のフレームワークと比較して著しく高速であり、任意のプライバシー保護型ネットワークアナリティクスの構築要因として効果的な基盤を提供できる。