[논문 리뷰] FRAPpuccino: Fault-detection through Runtime Analysis of Provenance

Xueyuan Han, Thomas Pasquier외 3명|arXiv (Cornell University)|2017. 11. 30.

Network Security and Intrusion Detection참고 문헌 29인용 수 25

한 줄 요약

FRAPpuccino (FRAP)는 방향성 비순환 증명 그래프를 사용하여 정상 응용 프로그램 동작을 모델링하는 Platform-as-a-Service (PaaS) 환경을 위한 증명 기반 런타임 장애 및 침입 탐지 시스템이다. 증명 데이터에서 특징 벡터를 추출하기 위해 동적 슬라이딩 윈도우 알고리즘을 적용하고 이를 군집화함으로써 FRAP은 높은 정확도로 이상 현상을 탐지하며, 장비 설정이 필요 없고 확장성이 뛰어난 솔루션을 제공하여 대규모 클라우드 응용 프로그램에서의 이질성 탐지에 유용하다.

ABSTRACT

We present FRAPpuccino (or FRAP), a provenance-based fault detection mechanism for Platform as a Service (PaaS) users, who run many instances of an application on a large cluster of machines. FRAP models, records, and analyzes the behavior of an application and its impact on the system as a directed acyclic provenance graph. It assumes that most instances behave normally and uses their behavior to construct a model of legitimate behavior. Given a model of legitimate behavior, FRAP uses a dynamic sliding window algorithm to compare a new instance's execution to that of the model. Any instance that does not conform to the model is identified as an anomaly. We present the FRAP prototype and experimental results showing that it can accurately detect application anomalies.

연구 동기 및 목표

• 기존의 시스템 호출 기반 방법이 부족한 대규모 PaaS 환경에서 런타임 장애와 사이버 공격을 탐지하는 데 점점 더 어려운 과제에 대응하기 위해.
• 종단 간 증명 데이터를 활용하여 포괄적인 행동 모델링을 수행하는 확장성 있고 장비 설정이 없는 이상 탐지 시스템을 개발하기 위해.
• 스트리밍 및 동적 슬라이딩 윈도우 메커니즘을 통해 증명 데이터를 처리하여 실시간으로 응용 프로그램 이상 현상을 탐지할 수 있도록 하기 위해.
• 단일 프로세스의 시스템 호출 시퀀스에 의존하는 것이 아니라, 상호 프로세스 및 상호 머신 종속성과 같은 시스템 전반의 상호작용을 포괄함으로써 탐지 정확도를 향상시키기 위해.

제안 방법

• FRAP은 증명 데이터에서 프로세스, 시스템 엔터티 및 사용자 간의 상호작용을 나타내는 레이블이 부여된 방향성 비순환 그래프(DAG)를 구축한다.
• 증명 DAG를 n차원 공간 내 특징 벡터로 변환하기 위해 Weisfeiler-Lehman 그래프 커널에 영감을 받은 리레이블링 메커니즘을 적용한다.
• 실시간으로 들어오는 증명 스트림을 처리하기 위해 동적 슬라이딩 윈도우 알고리즘을 사용하여, 전체 증명 이력 저장 없이 온라인 탐지가 가능하다.
• 정상 인스턴스에서 유도된 특징 벡터를 군집화하여 정상 행동의 모델을 구축하고, 통계적 방법을 사용해 상당한 이탈을 탐지한다.
• FRAP은 증명 캡처에 CamFlow을, 효율적인 그래프 처리에 GraphChi를 활용하여 분산 시스템 전반에서 확장 가능한 분석을 가능하게 한다.
• 응용 프로그램 장비 설정을 피하기 위해 시스템 수준의 증명 데이터에만 의존함으로써, 이질적이고 다중 프로세스 기반 클라우드 응용 프로그램 전반에 배포 가능한 솔루션을 제공한다.

실험 결과

연구 질문

• RQ1 응용 프로그램 장비 설정 없이 대규모 PaaS 응용 프로그램에서 정상 동작를 증명 데이터로 효과적으로 모델링할 수 있는가?
• RQ2 증명 그래프를 실시간 이상 탐지에 적합한 압축된 분석 가능한 특징 벡터로 효율적으로 변환할 수 있는가?
• RQ3 증명 데이터에 대한 동적 슬라이딩 윈도우 접근 방식이 클라우드 환경에서 저지연, 확장 가능한 런타임 이상 탐지에 성공할 수 있는가?
• RQ4 장애 및 침입을 식별할 때, 증명 기반 탐지 방식이 시스템 호출 기반 행동 분석에 비해 정확도에서 뛰어나게 되는가?
• RQ5 종단 간 시스템 상호작용 모델링은 단일 프로세스 분석이 놓치는 복잡한 다중 프로세스 이상 현상을 탐지하는 데 어떤 역할을 하는가?

주요 결과

• FRAP은 정상 인스턴스에서 유도된 증명 데이터를 사용하여 정상 응용 프로그램 동작을 성공적으로 모델링하여 이상 실행을 정확하게 탐지할 수 있다.
• 증명 DAG에서 유도된 특징 벡터를 군집화함으로써 시스템은 높은 탐지 정확도를 달성하며, 정상 군집에서의 이탈은 잠재적 장애 또는 침입을 시사한다.
• 동적 슬라이딩 윈도우 메커니즘이 대규모 증명 스트림을 효율적이고 실시간으로 처리할 수 있게 하여 과도한 저장 부담 없이도 가능하게 한다.
• 선택된 이벤트 로그가 아닌 종단 간 증명을 사용함으로써 FRAP는 더 포괄적인 시스템 상호작용의 시각을 확보하여 복잡한 분산 이상 현상을 더 잘 탐지할 수 있다.
• 시스템 엔터티와 동작 간의 맥락적 관계를 통합함으로써 기존의 시스템 호출 기반 모델보다 성능이 뛰어나다.
• 응용 프로그램 장비 설정 없이도 배포가 가능하므로, 생산용 PaaS 환경에 실용적으로 적용할 수 있다.