[논문 리뷰] On the Utility of Anonymized Flow Traces for Anomaly Detection

Martin Burkhart, Daniela Brauckhoff외 1명|ArXiv.org|2008. 10. 09.

Internet Traffic Analysis and Secure E-voting참고 문헌 20인용 수 9

한 줄 요약

이 논문은 트래픽 흐름 추적 자료의 이상 탐지에 있어 IP 주소 익명화 기법(예: 자르기, 무작위 순열, 접두사 유지 순열)의 유효성에 영향을 미치는지 평가한다. 3주간의 백본 추적 자료를 사용하여, 접두사 유지 순열을 제외한 모든 방법이 탐지 유효성을 떨어뜨리며, 특히 소규모 이상 탐지 및 네트워크 변동성 탐지에 있어 성능 저하가 발생하는 것으로 나타났다.

ABSTRACT

The sharing of network traces is an important prerequisite for the development and evaluation of efficient anomaly detection mechanisms. Unfortunately, privacy concerns and data protection laws prevent network operators from sharing these data. Anonymization is a promising solution in this context; however, it is unclear if the sanitization of data preserves the traffic characteristics or introduces artifacts that may falsify traffic analysis results. In this paper, we examine the utility of anonymized flow traces for anomaly detection. We quantitatively evaluate the impact of IP address anonymization, namely variations of permutation and truncation, on the detectability of large-scale anomalies. Specifically, we analyze three weeks of un-sampled and non-anonymized network traces from a medium-sized backbone network. We find that all anonymization techniques, except prefix-preserving permutation, degrade the utility of data for anomaly detection. We show that the degree of degradation depends to a large extent on the nature and mix of anomalies present in a trace. Moreover, we present a case study that illustrates how traffic characteristics of individual hosts are distorted by anonymization.

연구 동기 및 목표

• IP 주소 익명화가 네트워크 흐름 추적 자료에서 통계적 이상 탐지에 미치는 영향을 평가하는 것.
• 대규모 이상을 탐지하는 데 필수적인 트래픽 특성을 유지하는 익명화 기법을 특정하는 것.
• 익명화가 개별 호스트의 이상 탐지 가능성과 정확성에 미치는 영향을 조사하는 것.
• 다양한 이상 유형(용량, 스캔/DoS, 네트워크 변동성)과 전송 프rotocol(TCP/UDP)에 따른 탐지 성능 저하 정도를 정량화하는 것.
• 세밀한 수준에서 루트 코스 분석 및 트래픽 특성 분석을 위한 익명화된 데이터의 유효성 평가

제안 방법

• 서브셋 크기(예: 호스트, 서브넷)와 해상도(예: IP 접두사 길이)로 정의된, 트래픽 분석을 위한 일반적인 정밀도 설계 공간을 개발하였다.
• 다섯 가지 익명화 기법을 적용: 블랙마킹, 자르기, 무작위 순열, 부분 접두사 유지 순열, 전체 접두사 유지 순열.
• 기본 탐지 성능을 확립하기 위해, 수작업으로 레이블링된 3주간의 백본 흐름 추적 자료를 기반으로 칼만 필터 기반 이상 탐지기 사용.
• ROC 곡선을 사용하여 익명화된 데이터에서 탐지기 성능을 평가하고, 다양한 익명화 기법 간의 진짜 양성률 대 거짓 양성률를 비교.
• 170개의 개별 웹서버에 대한 트래픽 집계 영향을 분석하는 사례 연구를 수행하여, 자르기로 인한 집중도 손실 정도를 정량화.
• 자르기로 인해 추가로 유입되는, 소속되지 않은 흐름의 비율을 측정하여, 개별 호스트 트래픽 특성의 왜곡 정도 평가

실험 결과

연구 질문

• RQ1 IP 주소 익명화는 용량 급증, 스캔, 서비스 거부 공격과 같은 대규모 이상의 탐지 가능성에 어떻게 영향을 미치는가?
• RQ2 다양한 이상 유형에 걸쳐, 자르기, 순열 등 다양한 익명화 기법이 이상 탐지 성능을 어느 정도 떨어뜨리는가?
• RQ3 익명화는 개별 호스트의 트래픽 특성 분석 및 식별 능력에 어떻게 영향을 미치는가?
• RQ4 자르기는 트래픽 집계에 어떤 영향을 미치며, 어떻게 호스트 수준의 트래픽 패턴을 왜곡하는가?
• RQ5 특정 이상 탐지 목표를 위해 익명화를 조정하여 성능 저하를 최소화할 수 있는가?

주요 결과

• 접두사 유지 순열을 제외한 모든 익명화 기법이 이상 탐지 유효성을 떨어뜨리며, 이상 유형에 따라 성능 저하가 13%에서 30%까지 발생한다.
• 네트워크 변동성 이상의 경우, 자르기의 비트 수가 2에서 4로 증가할수록 유효성은 87%에서 70%로 감소하여 심각한 탐지 성능 저하가 발생한다.
• 8비트 자르기 시, 89%의 웹서버에서 이웃 호스트와의 집계로 인해 트래픽이 100% 이상 증가하여, 호스트 수준의 특성이 심각하게 왜곡된다.
• 집중도 손실 효과—즉, 호스트 트래픽이 이웃 호스트 트래픽에 의해 가림—으로 인해 서브셋 크기가 유지되지 않을 경우 소규모 이상 탐지가 거의 불가능해진다.
• 무작위 순열과 블랙마킹은 네트워크 변동성 탐지에 가장 큰 영향을 미치며, 반면 용량 이상은 모든 익명화 기법에서 거의 영향을 받지 않는다.
• 접두사 유지 순열이 가장 높은 유효성을 제공하여, 익명화되지 않은 기준 성능에 가장 가까운 탐지 성능을 유지하며, 블랙마킹은 높은 데이터 왜곡으로 인해 가장 성능이 열 劣하다.