[논문 리뷰] Detecting fraudulent activity in a cloud using privacy-friendly data aggregates

Marc Solanas, Julio Hernández-Castro외 1명|arXiv (Cornell University)|2014. 11. 25.

Cloud Data Security Solutions참고 문헌 6인용 수 7

한 줄 요약

이 논문은 OpenStack의 Ceilometer 텔레메트리에서 유저의 개인정보를 보호하는 방식으로, 청구 수준의 데이터 집합만을 사용하여 클라우드 환경에서의 위조 활동을 탐지하는 방법을 제안한다. CPU 및 네트워크 사용량과 같은 5초 간격의 자원 사용량 스냅샷에 랜덤 포레스트 분류기를 적용함으로써 비트코인 마이닝, DDoS 공격, CPU 집약적 워크로드와 같은 활동에 대해 높은 탐지 정확도를 달성하며, 침입 감시 없이도 조기에 경고를 제공할 수 있다.

ABSTRACT

More users and companies make use of cloud services every day. They all expect a perfect performance and any issue to remain transparent to them. This last statement is very challenging to perform. A user's activities in our cloud can affect the overall performance of our servers, having an impact on other resources. We can consider these kind of activities as fraudulent. They can be either illegal activities, such as launching a DDoS attack or just activities which are undesired by the cloud provider, such as Bitcoin mining, which uses substantial power, reduces the life of the hardware and can possibly slow down other user's activities. This article discusses a method to detect such activities by using non-intrusive, privacy-friendly data: billing data. We use OpenStack as an example with data provided by Telemetry, the component in charge of measuring resource usage for billing purposes. Results will be shown proving the efficiency of this method and ways to improve it will be provided as well as its advantages and disadvantages.

연구 동기 및 목표

• 사용자 개인정보를 훼손하지 않으면서 IaaS 클라우드 환경에서의 사기 또는 자원 남용 활동을 탐지하기 위해.
• 깊은 패킷 검사가 필요 없도록 기존의 비침습적 청구 데이터(예: CPU, 네트워크 사용량)를 활용하여 이상 탐지 기반의 기반을 마련하기 위해.
• 랜덤 포레스트를 포함한 기계학습 분류기들을 평가하고 비교하여 정규, Hadoop, CPU 집약적, DDoS, 암호화폐 마이닝의 다섯 가지 다른 워크로드 유형을 분류하기 위해.
• 데이터 집합을 사용하는 실시간 탐지 파이프라인을 설계하여 깊이 있는 검사 시스템의 부담을 줄이기 위해.
• 개인정보 보호 데이터 집합이 사용자 기밀성을 유지하면서도 이상 행동을 효과적으로 식별할 수 있음을 입증하기 위해.

제안 방법

• 각 가상 머신 또는 볼륨의 OpenStack Ceilometer 텔레메트리에서 5초 간격의 자원 사용량 집합(CPU, 네트워크, I/O)을 수집한다.
• 정규, Hadoop, CPU 집약적, 내부 DDoS, 비트코인/라이트코인 마이닝의 다섯 가지 워크로드 유형의 레이블이 부여된 샘플을 기반으로 훈련된 랜덤 포레스트 분류기를 사용한다.
• 임계치 기반의 의사결정 메커니즘을 적용하여 이상을 경고로 표시하며, 이 임계치는 민감도를 제어한다(예: 높은 신뢰도 경고를 위해 5–10%).
• 여러 모델이나 시간 창의 예측을 통합함으로써 탐지 정확도를 향상시키기 위해 메타-분류기를 활용한다.
• 실시간 운영을 시뮬레이션하기 위해 시간당 데이터 배치를 처리하며, 각 워크로드 유형당 하나의 VM을 가정하여 평가를 단순화한다.
• 분류 기능을 Ceilometer에 직접 통합하거나 REST API를 통해 노출시켜 다양한 클라우드 플랫폼에서의 배포를 가능하게 한다.

실험 결과

연구 질문

• RQ1 클라우드 청구 시스템에서 유저의 개인정보를 보호하는 데이터 집합이 사기 또는 남용 워크로드를 효과적으로 탐지할 수 있는가?
• RQ2 랜덤 포레스트 분류기가 자원 사용 메트릭스만을 사용하여 정상, CPU 집약적, DDoS, 암호화폐 마이닝 워크로드를 효과적으로 구분할 수 있는가?
• RQ3 데이터 집합화가 탐지 정확도에 미치는 영향은 무엇이며, 메타-분류기를 통해 어떻게 향상시킬 수 있는가?
• RQ4 이 방법은 기존 클라우드 인프라를 수정하지 않고도 실시간으로 구현할 수 있는가?
• RQ5 이 접근 방식은 기존의 침입 탐지 시스템과 비교해 개인정보 보호와 성능 측면에서 어떻게 다른가?

주요 결과

• 랜덤 포레스트 분류기는 오직 5초 간격의 자원 사용량 집합만을 사용하여 다섯 가지 워크로드 유형 모두에 대해 높은 탐지 정확도를 달성했다.
• 이 방법은 정상 워크로드와 자원 집약적 또는 악성 활동(예: DDoS 공격, 암호화폐 마이닝)을 효과적으로 구분했다.
• 임계치 기반의 알림 메커니즘이 민감도와 임의의 경고 비율 간의 조정을 가능하게 했으며, 5–10%의 잘못된 경고 비율에서 최적의 성능을 보였다.
• 데이터 집합을 활용함으로써 애플리케이션 수준의 데이터를 깊이 있게 검사하지 않으면서도 사용자 개인정보를 보호하면서 효과적인 이상 탐지가 가능했다.
• 이 프레임워크는 다층 침입 탐지 파이프라인의 첫 번째 필터로 적합하여 정상 워크로드에 대한 깊은 검사의 필요성을 줄일 수 있었다.
• 이 방법은 독립형 서비스로 또는 Ceilometer를 확장하여 배포 가능하며, 최소한의 인프라 변경으로 실시간 분류가 가능했다.