[논문 리뷰] Blind Adversarial Network Perturbations

Milad Nasr, Alireza Bahramali외 1명|arXiv (Cornell University)|2020. 02. 16.

Internet Traffic Analysis and Secure E-voting참고 문헌 54인용 수 5

한 줄 요약

이 논문은 실시간, 라이브 트래픽 공격인 블라인드 적대적 네트워크 변형을 소개한다. 이는 트래픽에 대한 사전 지식 없이 패킷의 시간 간격, 크기, 더미 패킷을 삽입하여 DNN 기반 트래픽 분석 시스템(예: 웹사이트 지문 분석, 플로우 상관관계)을 무력화시키는 기법이다. 이 방법은 최대 90%의 정확도 저하를 달성하며, 대역폭 오버헤드는 10%에 불과하고, 다양한 모델 간에 높은 전이성(transferability)을 보이며, 블랙박스 공격을 가능하게 한다.

ABSTRACT

Deep Neural Networks (DNNs) are commonly used for various traffic analysis problems, such as website fingerprinting and flow correlation, as they outperform traditional (e.g., statistical) techniques by large margins. However, deep neural networks are known to be vulnerable to adversarial examples: adversarial inputs to the model that get labeled incorrectly by the model due to small adversarial perturbations. In this paper, for the first time, we show that an adversary can defeat DNN-based traffic analysis techniques by applying \emph{adversarial perturbations} on the patterns of \emph{live} network traffic.

연구 동기 및 목표

• 실시간 네트워크 환경에서 DNN 기반 트래픽 분석 시스템의 적대적 공격에 대한 취약성을 해결하기 위해.
• 미리 향후 트래픽을 알고 있지 않은 상태에서 버퍼링 없이도 작동하는 실시간 변형 메커니즘을 설계하기 위해.
• 패킷 간 시간 의존성, 통계적 분포 등의 네트워크 프로토콜 제약 조건을 유지하면서도 적대적 변형을 생성하기 위해.
• 다양한 DNN 아키텍처 간 변형의 전이성을 평가하여 블랙박스 공격를 가능하게 하기 위해.
• 기존 방어 기법의 효과성을 평가하고, 블라인드 적대적 변형에 특화된 대응 기법을 제안하기 위해.

제안 방법

• 대상 트래픽 입력에 의존하지 않는 실시간 라이브 패킷 적용이 가능한 체계적 최적화 프레임워크를 개발하여 블라인드 적대적 변형을 생성한다.
• 비미분 가능 네트워크 제약 조건(예: 프로토콜 수준의 의존성)을 강제하기 위해 리맵핑 함수와 맞춤형 기울기 근사 기법을 도입한다.
• 세 가지 유형의 변형을 적용한다: 시간 기반(지연 추가), 크기 기반(패킷 크기 수정), 더미 패킷 삽입으로, 트래픽 분석 기능에 맞게 조정한다.
• 다양한 아키텍처(예: DeepCorr용 AlexNet)를 가진 서rogate 모델을 사용하여 블랙박스 공격 시나리오에서 전이 가능한 변형을 생성한다.
• 통계적 타당성을 유지하면서 모델의 오분류를 최대화하기 위해, 맞춤형 정규화를 적용한 기울기 기반 최적화 기법을 사용한다.
• 블라인드 적대적 변형에 특화된 새로운 대응 기법을 설계하여 공격에 대한 효과성을 입증한다.

실험 결과

연구 질문

• RQ1 버퍼링 없이 향후 패킷에 대한 사전 지식 없이도 실시간으로 라이브 네트워크 트래픽에 적대적 변형을 적용할 수 있는가?
• RQ2 복잡한 네트워크 수준 제약 조건(예: 프로토콜 동작, 통계적 분포)을 존중하면서도 효과적인 적대적 변형을 설계할 수 있는가?
• RQ3 블라인드 적대적 변형은 얼마나 다양한 DNN 아키텍처 간에 전이 가능한가?
• RQ4 기존의 적대적 방어 기법은 블라인드 적대적 변형에 대해 얼마나 효과적인가?
• RQ5 블라인드 적대적 공격을 효과적으로 완화할 수 있도록 특화된 대응 기법을 설계할 수 있는가?

주요 결과

• 제안된 블라인드 적대적 변형 기법은 최첨단 웹사이트 지문 분석 시스템의 정확도를 최대 90%까지 감소시키며, 대역폭 오버헤드는 10%에 불과하다.
• 플로우 상관관계 시스템의 경우, 50ms의 지연 표준편차를 가진 변형을 적용함으로써 참 긍정률을 0.9에서 0.2로 감소시킨다.
• 방향 기반 공격는 높은 전이성을 보이며, 서rogate DF 모델에서 생성된 변형이 타겟 모델(Rimmer et al.)에서 85%의 샘플을 오분류한다.
• 시간 기반 공격는 아키텍처 간 강력한 전이성을 보이며(예: AlexNet에서 DeepCorr로), 높은 오분류율을 유지하면서도 거짓 양성률을 10^-4로 유지한다.
• 크기 기반 변형 기법 역시 동일한 거짓 양성률 조건에서 높은 전이성을 보이며, 다양한 아키텍처 간 효과성을 확인한다.
• 기존의 적대적 방어 기법은 블라인드 적대적 변형에 대해 빈약한 성능을 보이며, 전용 대응 기법이 필요함을 시사한다.