[논문 리뷰] AntShield: On-Device Detection of Personal Information Exposure

Anastasia Shuba, Evita Bakopoulou외 4명|arXiv (Cornell University)|2018. 03. 03.

Advanced Malware Detection Techniques참고 문헌 14인용 수 9

한 줄 요약

AntShield는 모바일 네트워크 트래픽에서 사전 정의된 및 알려지지 않은 개인식별정보(PII) 유출을 실시간으로 탐지하기 위해 실시간 문자열 매칭과 다중 레이블 분류를 결합한 최초의 온디바이스 시스템이다. 이 시스템은 고정밀도(최신 기술 대비 8–25% 향상)와 마이크로초 이내 성능(~0.75 ms 분류 시간)을 달성하여 원격 프oxy에 의존하지 않고 실시간 개인정보 보호를 가능하게 한다.

ABSTRACT

Mobile devices have access to personal, potentially sensitive data, and there is a growing number of applications that transmit this personally identifiable information (PII) over the network. In this paper, we present the AntShield system that performs on-device packet-level monitoring and detects the transmission of such sensitive information accurately and in real-time. A key insight is to distinguish PII that is predefined and is easily available on the device from PII that is unknown a priori but can be automatically detected by classifiers. Our system not only combines, for the first time, the advantages of on-device monitoring with the power of learning unknown PII, but also outperforms either of the two approaches alone. We demonstrate the real-time performance of our prototype as well as the classification performance using a dataset that we collect and analyze from scratch (including new findings in terms of leaks and patterns). AntShield is a first step towards enabling distributed learning of private information exposure.

연구 동기 및 목표

• 모바일 네트워크 트래픽에서 사전 정의된 및 알려지지 않은 PII 유출을 실시간으로 온디바이스에서 탐지할 수 있는 방법이 부족한 문제를 해결하기 위해.
• 기존 시스템이 사전 정의된 블랙리스트나 원격 신뢰할 수 있는 프록시에 의존하는 한계를 극복하기 위해.
• 사용자 프라이버시와 디바이스 자율성을 유지하면서 정확하고 저비용의 PII 유출 탐지 기능을 제공하기 위해.
• 기존에 알려지지 않은 유출 패턴과 행동을 밝혀내기 위해 새로운 종합적인 모바일 PII 유출 데이터셋을 수집하고 분석하기 위해.
• 모바일 디바이스 간 분산되고 프라이버시를 보존하는 방식으로 PII 유출을 학습하는 기반을 마련하기 위해.

제안 방법

• 사전 정의된 PII 탐지를 위해 실시간 패킷 가로채기와 Aho-Corasick 문자열 매칭을 사용하는 AntMonitor 라이브러리를 활용한다.
• 이진 관련(Binary Relevance) 기반의 결정트리 기반 다중 레이블 분류 프레임워크를 활용해 알려지지 않은 PII를 탐지한다.
• 정확도를 유지하면서 확장성과 지연 시간을 개선하기 위해 도메인 기반 대신 애플리케이션 기반 분류기 설계를 시행한다.
• 효율적인 문자열 파싱과 Aho-Corasick 검색을 통한 최적화로 특징 추출 시간을 0.107 ms ± 0.149 ms로 단축시킨다.
• 분류 지연 시간이 0.751 ms ± 1.35 ms로 매우 낮아 실시간 운영이 가능하도록 경량의 온디바이스 추론을 구현한다.
• 향후 피어드 페더레이티드 러닝 및 프라이버시 보존형 협업 학습 프레임워크와의 통합을 지원해 분산 모델 훈련을 가능하게 한다.

실험 결과

연구 질문

• RQ1 사전 정의된 및 알려지지 않은 PII를 고정밀도와 낮은 성능 오버헤드로 온디바이스에서 탐지할 수 있는가?
• RQ2 문자열 매칭과 다중 레이블 분류를 융합한 하이브리드 접근 방식이 기존 방법보다 PII 유출 탐지에서 어떻게 뛰어나게 되는가?
• RQ3 실세계 모바일 네트워크 트래픽에서 PII를 포함한 유출 패턴과 기존에 알려지지 않은 행동 양식은 무엇인가?
• RQ4 앱 기반 분류기는 도메인 기반 분류기와 유사한 정확도를 달성하면서도 더 빠르고 확장 가능한 탐지 기능을 제공할 수 있는가?
• RQ5 원격 인프라에 의존하지 않고도 실시간으로 모바일 디바이스에서 기계학습 모델을 훈련하고 배포하는 것이 가능한가?

주요 결과

• AntShield 시스템은 Recon과 같은 최신 기술 대비 8–25% 높은 분류 정확도와 2–5배 낮은 분산을 달성한다.
• Aho-Corasick를 활용한 특징 추출은 Java 문자열 파싱 방식을 사용한 Recon 대비 지연 시간을 36 ms ± 17 ms 에서 0.107 ms ± 0.149 ms로 크게 향상시켰다.
• 다중 레이블 분류는 패킷당 0.751 ms ± 1.35 ms 내외로 실행되어 사용자에게 눈에 띄는 영향 없이도 모바일 디바이스에서 실시간 탐지가 가능하다.
• 수집한 데이터셋은 기존에 알려지지 않은 유출 패턴을 드러내었으며, 이를 통해 일반 TCP 및 UDP를 통한 PII 유출, 백그라운드 앱의 데이터 전송, 루팅된 기기 탐색을 위한 악성 스캐닝 행동 등이 확인되었다.
• 앱 기반 분류기는 도메인 기반 분류기와 유사한 정확도를 확보하면서도 더 빠르고 확장 가능한 운영과 더 넓은 트래픽 커버리지가 가능하다.
• 일반 분류기의 훈련 시간은 최대 수십 분에 이르지만, 훈련 주기가 희박하고 원격에서 수행될 수 있으므로 배포에 지장을 주지 않는다.