[論文レビュー] Toward Trusted Sharing of Network Packet Traces Using Anonymization: Single-Field Privacy/Analysis Tradeoffs

William Yurcik, Clay Woolam+3 more|arXiv (Cornell University)|Oct 22, 2007

Network Security and Intrusion Detection参考文献 24被引用数 4

ひとこと要約

本論文は、企業ネットワークのパケットトレースにおける単一フィールドの匿名化におけるプライバシーと有用性のトレードオフを実証的に調査している。インシデント検出システム（IDS）のアラームレートを分析の有用性の代理指標として用いることで、プライバシーと分析能力が逆相関するゼロサムトレードオフを示す2つのフィールドと、両方を同時に達成可能な8つのフィールドを同定し、サイバーセキュリティ研究における信頼できるデータ共有の実用的知見を提供している。

ABSTRACT

Network data needs to be shared for distributed security analysis. Anonymization of network data for sharing sets up a fundamental tradeoff between privacy protection versus security analysis capability. This privacy/analysis tradeoff has been acknowledged by many researchers but this is the first paper to provide empirical measurements to characterize the privacy/analysis tradeoff for an enterprise dataset. Specifically we perform anonymization options on single-fields within network packet traces and then make measurements using intrusion detection system alarms as a proxy for security analysis capability. Our results show: (1) two fields have a zero sum tradeoff (more privacy lessens security analysis and vice versa) and (2) eight fields have a more complex tradeoff (that is not zero sum) in which both privacy and analysis can both be simultaneously accomplished.

研究の動機と目的

• 信頼できる共有を目的としたネットワークパケットトレースの匿名化におけるプライバシーと有用性のトレードオフを実証的に特徴づけること。
• パケットトレース内の個々のフィールドのうち、プライバシーと分析能力の間でゼロサムトレードオフを示すものかどうかを特定すること。
• 特定のフィールドが、プライバシーと分析能力の両方を同時に向上させられるかどうかを同定すること。
• セキュリティ分析価値を保持しながら機微な情報を保護する anonymization テクニックの選定にデータ駆動型のガイダンスを提供すること。

提案手法

• 著者らは、実際の企業ネットワークパケットトレースデータセット内の個々のフィールドに対して、さまざまな匿名化手法を適用した。
• セキュリティ分析能力の定量的代理指標として、インシデント検出システム（IDS）のアラームレートを用いた。
• 匿名化の結果を、異なる匿名化設定におけるIDSアラーム頻度の変化を測定することで評価した。
• 観察されたデータの統計的分析を用いて、プライバシーと有用性のトレードオフがゼロサムか非ゼロサムかに基づき、フィールドを分類した。
• トレードオフに与える個々のフィールドの影響を分離・定量化するために、単一フィールド匿名化に限定して分析を行った。

実験結果

リサーチクエスチョン

• RQ1 ネットワークパケットトレース内のどの個々のフィールドが、プライバシーの向上が分析能力を直接低下させるゼロサムプライバシー・ユーティリティトレードオフを示すか？
• RQ2 匿名化によってプライバシーと分析能力の両方を同時に向上させられるフィールドは存在するか？
• RQ3 特定のフィールドの匿名化が、セキュリティ分析の代理指標としてのインシデント検出システムの有用性をどの程度維持するか？
• RQ4 さまざまな匿名化戦略が、実際の企業データにおけるネットワークインシデント検出にどのように影響するか？

主な発見

• ネットワークパケットトレースデータセット内の2つのフィールドが、ゼロサムプライバシー・ユーティリティトレードオフを示した。匿名化の強化に伴いIDSアラームレートが低下し、結果として分析能力が低下した。
• 8つのフィールドが非ゼロサムトレードオフを示し、匿名化によってプライバシーを向上させつつ分析能力を劣化させないことが確認された。
• 一部のケースでは匿名化がIDS検出レートを向上させた。これは、プライバシーを守る変換が分析有用性を維持または向上させられることを示している。
• 結果として、すべてのフィールドが匿名化に対して同じ反応を示すわけではないことが明らかになり、フィールド固有の特性がプライバシーと有用性のバランスに顕著に影響することが分かった。
• 適切なフィールドを選択することで、ネットワークトレースの信頼できる共有が実現可能であるという実証的証拠が得られた。
• 研究の結果は、高い分析有用性を維持しながらプライバシーを守るデータ共有フレームワークの設計を支援する。