[논문 리뷰] Get Your Workload in Order: Game Theoretic Prioritization of Database Auditing

Chao Yan, Bo Li외 4명|arXiv (Cornell University)|2018. 01. 22.

Network Security and Intrusion Detection참고 문헌 37인용 수 3

한 줄 요약

이 논문은 스택엘베르크 게임으로 모델링된 감사자와 전략적 공격자 간의 상호작용을 통해 데이터베이스 감사 경고를 우선순위화하는 게임 이론적 프레임워크를 제안한다. 선형 프로그래밍과 컬럼 생성, 휴리스틱 검색을 활용하여 비용 효율적인 최적의 랜덤화 감사 정책을 도출함으로써, 적대적 행동을 고려하면서도 비감사 기반 기준 대비 경고 과부하를 크게 감소시키는 데 성공한다.

ABSTRACT

For enhancing the privacy protections of databases, where the increasing amount of detailed personal data is stored and processed, multiple mechanisms have been developed, such as audit logging and alert triggers, which notify administrators about suspicious activities; however, the two main limitations in common are: 1) the volume of such alerts is often substantially greater than the capabilities of resource-constrained organizations, and 2) strategic attackers may disguise their actions or carefully choosing which records they touch, making incompetent the statistical detection models. For solving them, we introduce a novel approach to database auditing that explicitly accounts for adversarial behavior by 1) prioritizing the order in which types of alerts are investigated and 2) providing an upper bound on how much resource to allocate for each type. We model the interaction between a database auditor and potential attackers as a Stackelberg game in which the auditor chooses an auditing policy and attackers choose which records to target. A corresponding approach combining linear programming, column generation, and heuristic search is proposed to derive an auditing policy. For testing the policy-searching performance, a publicly available credit card application dataset are adopted, on which it shows that our methods produce high-quality mixed strategies as database audit policies, and our general approach significantly outperforms non-game-theoretic baselines.

연구 동기 및 목표

• 합법적인 경고 수가 가용 감사 자원을 훨씬 초과하는 데이터베이스 감사에서 발생하는 경고 과부하 문제를 해결하는 데 초점 맞추기.
• 실제 세계의 적대적 행동을 반영하기 위해 감사자와 잠재적 공격자 간의 전략적 상호작용을 스택엘베르크 게임으로 모델링하기.
• 위험도와 공격자 유인에 기반해 경고 유형을 우선순위 정렬하는 확장 가능한 계산 효율적인 감사 정책 개발하기.
• NP-난해성 결과를 포함한 이론적 기반과 선형 프로그래밍 및 컬럼 생성을 활용한 실용적 해결책 제공하기.
• 전자 의무 기록 및 신용카드 신청 데이터를 포함한 실제 데이터셋을 대상으로 프레임워크 평가하여 실용적 효과성 입증하기.

제안 방법

• 감사자가 랜덤화된 감사 정책을 이행할 때 공격자가 어느 레코드를 표적으로 삼을지를 결정하는 스택엘베르크 게임으로 데이터베이스 감사 문제 모델링하기.
• 감사자의 문제를 전략적 공격자 반응 하에서 기대 효용을 최대화하는 이중 최적화 문제로 공식화하기.
• 완전한 정책 열거의 지수적 복잡도를 피하기 위해 반복적으로 고품질 감사 정책을 구성하기 위해 컬럼 생성 기법 사용하기.
• 특히 많은 경고 유형이 존재하는 대규모 환경에서 수렴성을 향상시키기 위해 휴리스틱 검색 통합하기.
• 각 반복 단계에서 이완된 마스터 문제를 선형 프로그래밍으로 해결하여 계산 가능성을 확보하기.
• 실제 구현 환경에서 운영 제약 조건을 반영하기 위해 각 경고 유형에 할당 가능한 자원의 상한을 유도하기.

실험 결과

연구 질문

• RQ1 경고 과부하 상황에서 자원이 제한된 전략적 공격자를 최대한 탐지하기 위해 감사 정책을 어떻게 우선순위화할 수 있는가?
• RQ2 전략적 공격자 행동 하에서 최적의 감사 정책 선택의 계산 복잡도는 어떻게 되는가?
• RQ3 제안된 게임 이론적 접근법은 비감사 기반 기준 대비 탐지 성능과 자원 효율성 측면에서 어떻게 비교되는가?
• RQ4 높은 변동성을 보이는 경고 수와 다수의 잠재적 공격자가 존재하는 실제 워크로드에 대해 이 프레임워크는 어느 정도 확장 가능한가?
• RQ5 제안된 정책의 성능는 공격자의 이성 수준과 가정된 파rameter의 변화에 대해 얼마나 민감한가?

주요 결과

• 제약 조건이 있는 데이터베이스 감사 문제의 경우 NP-난해성을 입증하여, 근사화 없이 최적의 정책을 찾는 것이 이론적으로 비가능함을 규명한다.
• 컬럼 생성과 선형 프로그래밍을 활용한 제안된 방법은 시뮬레이션 평가에서 최적 해에 매우 가까운 고품질 혼합 전략을 도출함을 확인한다.
• Vanderbilt 대학 의료센터의 전자 의무 기록 데이터셋에서, 이 프레임워크는 고위험 경고 유형을 우선순위로 정함으로써 경고 과부하를 줄이고 감사 효율성을 크게 향상시켰다.
• 신용카드 신청 데이터셋에서 게임 이론 정책은 비감사 기반 기준 대비 더 적은 오진을 기반으로 이상 징후 접근 패턴을 더 잘 탐지하는 데 성공했다.
• 이 방법은 다양한 경고 량에 대해 강건성을 보였으며, 전통적인 경고 시스템이 회피하는 스텔스성, 저빈도 공격을 탐지하는 데 뛰어난 성능을 보였다.
• 이 프레임워크는 확률적 경고 수와 다수의 잠재적 공격자를 효과적으로 처리했으며, 알려진 고정된 경고 빈도를 가정하는 모델보다 뛰어난 성능을 보였다.