[논문 리뷰] Detecting Behavioral and Structural Anomalies in MediaCloud Applications

Guido Schwenk, Sebastian Bach|arXiv (Cornell University)|2014. 09. 29.

Network Security and Intrusion Detection참고 문헌 20인용 수 4

한 줄 요약

이 논문은 알카텔-루แซنك의 미디어 클라우드라는 실시간 미디어 스트리밍 PaaS/SaaS 플랫폼에서 행동 및 구조적 이상을 탐지하기 위한 두 가지 상호보완적인 기계학습 방법을 제안한다. 통신 행동 특징과 애플리케이션 그래프 구조를 사용하여 One-Class SVM 및 SVDD 분류기를 적용함으로써, 실제 및 합성 데이터에서 최대 100%의 참 양성률과 매우 낮은 위양성률을 달성하였으며, 이상 현상의 정밀한 국소화 능력까지 확보하였다.

ABSTRACT

In the past years technological advances such as the increasing bandwidth in network infrastructures and new software developments such as message and agent-based systems gave rise to the field of cloud technologies, which have evolved from abstract concepts to concrete solutions, ranging from flexible, platform-independent systems to highly specialized software solutions. In this paper we introduce and evaluate two anomaly detection methods to achieve a higher level of security in a specific cloud solution for interactive media, the Media Cloud from Alcatel-Lucent. The Media Cloud focuses on real-time processing of interactive media applications, allowing for optimal resource planning using highly specific functional components. The proposed anomaly detection methods are designed to work complimentary to each other and are capable of detecting known and unknown vulnerabilities and security issues, offering very low false positive rates and very high detection rates, as is shown by the evaluation on real Media Cloud data and synthetic data. The proposed methods use behavioral and structural features, and are capable of locating the detected anomalies as well, giving the executing analyst easy insight into the running processes.

연구 동기 및 목표

• 실시간 미디어 스트리밍을 위한 PaaS 및 SaaS 기능을 결합한 특수화된 클라우드 플랫폼인 알카텔-루샹크의 미디어 클라우드에 맞는 이상 탐지 기법의 부족을 해결하기 위해.
• 동적이고 실시간적인 미디어 애플리케이션에서 알려진 및 알려지지 않은 취약점을 최소한의 위양성률로 탐지할 수 있는 탐지 방법을 개발하기 위해.
• 이상 현상을 애플리케이션 컴포넌트 및 통신 그래프 내 특정 요소로 정밀하게 국소화하여 실질적인 보안 인사이트를 제공하기 위해.
• 실제 및 합성 데이터를 기반으로 한 평가를 통해 동적 정상 조건 하에서도 강건성을 입증하기 위해.

제안 방법

• 행동 이상 탐지 방법은 메시지 흐름과 상호작용 시퀀스에서 유도된 특징을 활용하여 컴포넌트 간의 통신 패턴을 분석한다.
• 구조적 이상 탐지 방법은 애플리케이션을 방향성 있는 그래프로 모델링하고, 노드 주변의 이웃 구조에서 부분 구조 특징을 추출하여 애플리케이션의 토폴로지를 표현한다.
• 모든 방법에 대해 정상 행동을 레이블이 없는 데이터에서 학습할 수 있도록 One-Class SVM 분류기를 사용하여 이상 탐지가 가능하게 한다. 이는 레이블이 부여된 이상 데이터가 필요로 하지 않는다는 점에서 유리하다.
• 구조적 방법에 대해 히스토그램 교차 커널을 사용한 서포트 벡터 데이터 기술(SVDD) 분류기를 적용하였으며, 실제 데이터에서 완벽한 탐지 성능을 달성하였다.
• 이상 국소화는 정상 패턴에서의 이격도를 기반으로 개별 노드 및 간선에 위협 점수를 할당하여 수행된다.
• 1차 이웃 부분 구조를 사용함으로써 탐지 정확도와 국소화 해상도 사이의 균형을 확보하였으며, 과다 커버리지로 인한 정밀도 손실을 방지한다.

실험 결과

연구 질문

• RQ1 기계학습 기반 이상 탐지 기법이 실시간 미디어 클라우드 플랫폼에서 행동 및 구조적 이상을 효과적으로 탐지할 수 있는가?
• RQ2 제안된 방법들은 동적이고 실제 세계의 데이터에서 알려지지 않은 취약점을 낮은 위양성률로 얼마나 잘 탐지하는가?
• RQ3 이상 탐지 방법은 응용 프로그램 그래프 내 특정 컴포넌트나 부분 구조로 정확히 국소화할 수 있는가?
• RQ4 온라인 학습 환경에서 모델을 악용하는 시도가 있을 경우 모델의 강건성은 어느 정도 유지되는가?
• RQ5 커널 선택 및 특징의 세분성은 탐지 및 국소화 성능에 어떤 영향을 미치는가?

주요 결과

• 제안된 이상 탐지 방법은 실제 미디어 클라우드 데이터에서 최대 100%의 참 양성률을 달성하여 알려진 및 알려지지 않은 이상을 완벽하게 탐지함을 입증하였다.
• 심지어 매우 동적인 정상 데이터로 훈련된 경우에도 매우 낮은 위양성률을 유지하여 생산 환경에서의 높은 신뢰성을 확보하였다.
• 합성 데이터의 경우, 히스토그램 교차 커널을 사용한 SVDD 분류기가 완벽한 그래프 수준 탐지 성능을 보였으며, AUC 값은 완벽한 성능을 나타내었다.
• 해당 국소화 능력은 해상도 제한에도 효과적이었으며, 위협 점수들이 실제 이상 노드 및 간선 주변에 집중되어 있어 관리자가 고위험 컴포넌트를 식별할 수 있도록 하였다.
• 1차 이웃 특징 크기는 탐지 정확도와 국소화 정밀도 사이의 최적의 트레이드오프를 제공하였으며, 과다 커버리지 문제를 피할 수 있었다.
• 온라인 학습 환경에서의 모델 오염 공격이 실질적으로 불가능하다는 이론적 및 실험적 증거를 통해, 이 프레임워크는 공격에 대한 강건성을 입증하였다.