[논문 리뷰] Machine Learning in Access Control: A Taxonomy and Survey

Mohammad Nur Nobi, Maanak Gupta외 4명|arXiv (Cornell University)|2022. 07. 04.

Access Control and Trust인용 수 7

한 줄 요약

이 논문은 액세스 제어 분야의 머신러닝 응용에 대한 종합적인 분류 체계와 종합적 검토를 제시한다. 속성 추출, 정책 마이닝, 의사결정, 검증을 포함하며, 데이터 부족, 모델 해석 가능성, 편향 등의 주요 과제를 밝히고, 안전하고 신뢰할 수 있는 머신러닝 기반 액세스 제어 시스템을 발전시키기 위한 향후 연구 방향을 제안한다.

ABSTRACT

An increasing body of work has recognized the importance of exploiting machine learning (ML) advancements to address the need for efficient automation in extracting access control attributes, policy mining, policy verification, access decisions, etc. In this work, we survey and summarize various ML approaches to solve different access control problems. We propose a novel taxonomy of the ML model's application in the access control domain. We highlight current limitations and open challenges such as lack of public real-world datasets, administration of ML-based access control systems, understanding a black-box ML model's decision, etc., and enumerate future research directions.

연구 동기 및 목표

• 다양한 하위 도메인에서 머신러닝 응용에 대한 통합적이고 최신의 리뷰를 제공하기 위해.
• 머신러닝을 액세스 제어에 적용하기 위한 통합 프레임워크의 부재를 해결하고, 새로운 연대기적 분류 체계를 제안하기 위해.
• 부족한 실세계 데이터셋, 모델 해석 가능성, 머신러닝 기반 액세스 제어 시스템의 공정성과 같은 핵심 과제를 식별하고 분석하기 위해.
• 재현 가능성과 벤치마킹을 위해 공개된 실세계 데이터셋을 요약하기 위해.
• 안전하고 신뢰할 수 있는 머신러닝 강화 액세스 제어 시스템을 발전시키기 위한 개선 가능한 향후 연구 방향을 제안하기 위해.

제안 방법

• Google Scholar, ACM 디지털 라이브러리, IEEE Xplore, Springer를 포함한 주요 학술 데이터베이스를 활용해 2006년부터 2022년 제1분기까지의 동료 심사 논문을 체계적으로 검토하였다.
• 속성 추출, 정책 마이닝, 의사결정, 검증과 같은 핵심 문제 영역을 기반으로 연대기적이고 주제별로 정렬된, 머신러닝 응용에 대한 새로운 다차원 분류 체계를 제안하였다.
• 사용된 머신러닝 기법, 대상 액세스 제어 작업, 평가 방법론을 기반으로 100개 이상의 연구 작업을 분류하고 분석하였다.
• 머신러닝 기반 액세스 제어 연구에서 사용된 공개 데이터셋을 평가하였으며, 아마존 액세스 로그 데이터셋(Kaggle, 2013)과 같은 합성 및 실세계 자료를 포함하여 액세스 제어 상태 모델링에의 적합성을 평가하였다.
• 학습 데이터의 클래스 불균형(예: 90% 이상의 승인 요청), 표준화된 평가 지표 부족, 머신러닝 모델의 액세스 제어 분야에서의 검증 도구 부족 등의 한계를 식별하고 논의하였다.
• 머신러닝 기반 액세스 제어 시스템의 체계적 검증 및 테스트를 위한 프레임워크를 제안하였으며, 공정성과 정확성을 확보하기 위해 도메인 특화 비용 모델링과 피드백 루프의 필요성을 강조하였다.

실험 결과

연구 질문

• RQ1 속성 추출, 정책 마이닝, 액세스 결정과 같은 액세스 제어의 다양한 하위 도메인에서 머신러닝 기법은 현재 어떻게 적용되고 있는가?
• RQ2 데이터 품질, 모델 해석 가능성, 공정성과 같은 요소들로 인해 머신러닝 기반 액세스 제어 시스템의 도입과 신뢰성에 장애가 되고 있는 주요 과제는 무엇인가?
• RQ3 현재 머신러닝 기반 액세스 제어 연구에서 사용되는 공개된 데이터셋은 무엇이며, 실세계 액세스 제어 상태를 어느 정도 반영하고 있는가?
• RQ4 기존의 머신러닝 기반 액세스 제어 시스템 검증 및 테스트 방법론의 한계는 무엇이며, 어떻게 개선할 수 있는가?
• RQ5 안전하고 확장 가능한 액세스 제어 시스템에 머신러닝을 통합하기 위해 개선이 필요한 향후 연구 방향은 무엇인가?

주요 결과

• 머신러닝은 자연어에서의 속성 추출, 역할-권한 매핑, 로그에서의 정책 마이닝, 액세스 결정과 같은 액세스 제어 작업의 자동화 및 향상에 점점 더 널리 적용되고 있다.
• 아마존 액세스 로그 데이터셋(Kaggle, 2013)은 가장 널리 사용되는 실세계 데이터셋 중 하나이지만, 심각한 클래스 불균형(90% 이상의 승인 요청)을 보이며, 이는 모델 예측이 액세스 승인 쪽으로 편향되게 할 수 있다.
• 다양한 발전에도 불구하고, 머신러닝 기반 액세스 제어 시스템 평가를 위한 표준화된 벤치마킹 프레임워크는 존재하지 않으며, 대부분의 모델은 종합적인 검증 없이 단지 미리 보지 않은 테스트 세트에서만 테스트된다.
• 모델 해석 가능성은 여전히 주요 과제이며, 액세스 제어에서 블랙박스 머신러닝 모델은 투명성이 없어 결정을 감사하거나 악성 행동을 탐지하기 어렵다.
• 현재의 검증 관행은 정확성과 공정성을 확보하는 데 부족하며, 특히 비승인 사용자에게 액세스를 부여하는 등의 오분류의 비대칭 비용을 고려한 도메인 특화 검증 프레임워크의 필요성이 절실하다.
• 연구 공동체는 기업 시스템의 전체 액세스 제어 상태를 종합적으로 반영하는 고품질의 공개 데이터셋이 부족하여 재현 가능성과 모델 일반화 능력에 제한을 받고 있다.