[논문 리뷰] Diversifying Database Activity Monitoring with Bandits

Hagit Grushka-Cohen, Ofer Biller외 3명|arXiv (Cornell University)|2019. 10. 23.

Data Stream Mining Techniques참고 문헌 22인용 수 4

한 줄 요약

이 논문은 탐색(저위험 사용자 탐색)과 이용(고위험 사용자 이용)을 균형 있게 조절함으로써 데이터베이스 활동 모니터링(DAM)의 다양성을 높이기 위해 밴딧 기반 샘플링 전략인 C–ε–Greedy를 제안한다. 샘플링을 예산 제약 동적 다수의 손잡이 문제(BCD-MAB)로 모델링함으로써, 전문 지식 기반 및 기본 정책보다도 더 높은 커버리지와 이상 탐지 재현율을 달성한다.

ABSTRACT

Database activity monitoring (DAM) systems are commonly used by organizations to protect the organizational data, knowledge and intellectual properties. In order to protect organizations database DAM systems have two main roles, monitoring (documenting activity) and alerting to anomalous activity. Due to high-velocity streams and operating costs, such systems are restricted to examining only a sample of the activity. Current solutions use policies, manually crafted by experts, to decide which transactions to monitor and log. This limits the diversity of the data collected. Bandit algorithms, which use reward functions as the basis for optimization while adding diversity to the recommended set, have gained increased attention in recommendation systems for improving diversity. In this work, we redefine the data sampling problem as a special case of the multi-armed bandit (MAB) problem and present a novel algorithm, which combines expert knowledge with random exploration. We analyze the effect of diversity on coverage and downstream event detection tasks using a simulated dataset. In doing so, we find that adding diversity to the sampling using the bandit-based approach works well for this task and maximizing population coverage without decreasing the quality in terms of issuing alerts about events.

연구 동기 및 목표

• 데이터베이스 활동 모니터링(DAM)에서 정적이고 전문 지식에 기반한 정책의 한계를 해결하기 위해, 다양성과 위험 커버리지가 제한되는 문제를 해결한다.
• DAM 시스템에서 '필터 버블' 효과를 완화하기 위해, 고위험 또는 익숙한 사용자만 모니터링되어 발생하는 개념 이동을 놓치는 문제를 해결한다.
• 전략적 샘플링 다양성을 통해 더 넓은 사용자 커버리지를 확보함으로써, 이상 탐지 성능을 향상시킨다.
• 저위험 사용자에 대한 탐색과 고위험 사용자에 대한 이용을 균형 있게 조절함으로써 감사 로그의 편향을 방지한다.
• 동적 위험 환경에서 전문 지식과 무작위 탐색을 통합한 새로운 구현 가능한 알고리즘을 제안한다.

제안 방법

• 각 사용자를 시간에 따라 변하는 위험-보상을 가진 손잡이로 간주함으로써, 데이터베이스 활동 샘플링을 예산 제약 동적 다수의 손잡이 문제(BCD-MAB)로 재구성한다.
• 각 시간 프레임에서 샘플링 용량을 탐색(ε)과 이용(1–ε)으로 나누는 ε–Greedy의 변종인 C–ε–Greedy를 제안한다.
• 위험 점수를 보상 함수로 사용하며, 역할 변경이나 유출로 인해 사용자 행동이 변화함에 따라 동적으로 업데이트한다.
• 고정된 수의 사용자 수에 제약을 두고 각 시간 프레임에서 샘플링 용량이 제한된 데이터베이스 활동 스트림을 시뮬레이션하기 위해 알고리즘을 적용한다.
• 커버리지 및 이상 탐지 성능 평가를 위해 실제 사용자 행동 패턴을 기반으로 한 시뮬레이션 데이터셋을 사용한다.
• 초기화 단계에서 SO-지식을 통합함으로써 냉시작 문제를 방지하면서도 동적 적응이 가능하도록 한다.

실험 결과

연구 질문

• RQ1 밴딧 기반 접근 방식이 고위험 이벤트 탐지 성능을 저하시키지 않고 데이터베이스 활동 모니터링의 다양성을 향상시킬 수 있는가?
• RQ2 탐색과 이용의 균형 조절이 사용자 인구집단 커버리지와 후속 이상 탐지에 어떤 영향을 미치는가?
• RQ3 변화하는 사용자 위험 프로필에 적응하는 동적 샘플링 정책이 정적 전문가 정책보다 우월한가?
• RQ4 보상과 재현율 측면에서 탐색(다양성)과 이용(위험 탐지) 사이의 최적의 트레이드오프는 무엇인가?
• RQ5 전문 지식과 무작위 탐색을 조합한 방법이 순수 무작위 또는 올리고스 기반 정책보다 더 뛰어난 성능을 낼 수 있는가?

주요 결과

• 20% 탐색(ε = 0.8)을 사용한 C–ε–Greedy는 올리고스 지식 정책보다 위험 활동 수집에서 뛰어난 성능을 보였으며, 50% 탐색 버전보다 20% 높은 보상을 달성했다.
• 무작위 샘플링은 이론상 가장 높은 이상 탐지 재현율(88%)을 기록했지만, 보상은 가장 낮아 무구조적 탐색의 비용을 보여주었다.
• SO-지식 정책은 유일하게 10%의 사용자만 모니터링하여 이상 탐지율이 8.5%에 그쳐, 정적 정책의 위험성을 드러냈다.
• 위험 비례 샘플링인 Gibbs-by-risk는 이상 탐지 재현율 56%를 기록했으며, C–ε–Greedy의 67–83%에 비해 뚜렷이 낮아 위험 비례 샘플링의 한계를 보여주었다.
• 20% 탐색을 사용한 C–ε–Greedy는 250개 이내의 시간 단위 안에 전체 사용자 커버리지(사용자당 두 번의 샘플)를 달성했으며, 순수 무작위 및 Gibbs 방법보다 뛰어난 성능을 보였다.
• 알고리즘은 나쁜 초기화에 대해 강건했고, 초기 모니터링 이후 고위험으로 전환된 사용자 역시 탐지할 수 있었으며, 정적 정책과는 대조적으로 이점을 보였다.