[논문 리뷰] Sampling High Throughput Data for Anomaly Detection of Data-Base Activity

Hagit Grushka-Cohen, Oded Sofer외 4명|arXiv (Cornell University)|2017. 08. 14.

Network Security and Intrusion Detection참고 문헌 8인용 수 3

한 줄 요약

이 논문은 고속 데이터베이스 활동에서 이상 탐지에 대한 위험 기반 복합 샘플링 방법을 제안하며, 다양한 샘플링 전략을 통합하여 데이터 泄露 및 의심스러운 행동의 탐지 능력을 향상시킨다. 높은 위험도를 가진 거래를 우선 처리하고 샘플을 다양화함으로써, 고속도 환경에서 감사 부담을 줄이면서도 이상 현상을 포착할 가능성을 높인다.

ABSTRACT

Data leakage and theft from databases is a dangerous threat to organizations. Data Security and Data Privacy protection systems (DSDP) monitor data access and usage to identify leakage or suspicious activities that should be investigated. Because of the high velocity nature of database systems, such systems audit only a portion of the vast number of transactions that take place. Anomalies are investigated by a Security Officer (SO) in order to choose the proper response. In this paper we investigate the effect of sampling methods based on the risk the transaction poses and propose a new method for "combined sampling" for capturing a more varied sample.

연구 동기 및 목표

• 제한된 감사 능력으로 인해 고속도 데이터베이스 거래를 모니터링하는 데 도전하는 문제를 해결하기 위해.
• 샘플링 전략을 최적화하여 데이터 보안 및 개인정보 보호(DSDP) 시스템에서 이상 탐지 능력을 향상시키기 위해.
• 무작위 또는 위험 인식이 되어 있지 않은 샘플링으로 인해 중요한 데이터 泄露 또는 의심스러운 활동를 놓칠 위험을 줄이기 위해.
• 높은 위험도 거래의 커버리지와 샘플의 다양성을 향상시키는 복합 샘플링 접근법을 개발하기 위해.

제안 방법

• 이 방법은 잠재적 위협 수준에 따라 데이터베이스 거래를 우선순위 정렬하기 위해 위험 기반 점수 모델을 사용한다.
• 계층적, 체계적, 위험 기반 샘플링과 같은 다수의 샘플링 기법을 결합하여 더 대표성 있고 다양한 샘플 세트를 생성한다.
• 샘플링 결정은 쿼리 유형, 사용자 행동, 데이터 민감도와 같은 거래 속성에 의해 유도된다.
• 실시간 위험 평가에 기반해 동적으로 샘플링 비율을 조정하여 높은 위험도 활동에 집중한다.
• 이전 이상 탐지 결과를 바탕으로 위험 점수를 개선하기 위해 피드백 루프를 사용한다.
• 기존 DSDP 프레임워크에 최소한의 성능 오버헤드로 통합될 수 있도록 설계되어 있다.

실험 결과

연구 질문

• RQ1 위험 기반 샘플링은 무작위 샘플링에 비해 데이터 泄露 및 의심스러운 데이터베이스 활동 탐지에 어떻게 향상되는가?
• RQ2 다양한 샘플링 전략을 결합함으로써 샘플의 다양성과 이상 탐지 커버리지에 어떤 영향을 미치는가?
• RQ3 복합 샘플링 접근법은 고속도 데이터베이스 모니터링에서 거짓 음성(false negative)을 줄일 수 있는가?
• RQ4 제안된 방법은 탐지 민감도를 높이면서도 감사 효율성을 유지할 수 있는가?
• RQ5 샘플링을 위한 거래 우선순위를 정하기 위해 사용되는 위험 점수에 가장 크게 영향을 미치는 요소는 무엇인가?

주요 결과

• 복합 샘플링 방법은 특히 고속도 환경에서 무작위 샘플링에 비해 알려진 이상 현상의 탐지율을 크게 향상시킨다.
• 위험 기반 우선순위 정렬은 위협 점수가 높은 거래에 집중함으로써 고위험도 데이터 泄露 이벤트를 포착할 가능성을 높인다.
• 다양한 샘플링 전략의 통합은 샘플의 다양성을 향상시켜 드문 그러나 중요한 공격 패tern을 놓치는 가능성을 줄인다.
• 이 방법은 낮은 계산 오버헤드를 유지하므로 실시간으로 생산 데이터베이스 시스템에 구현하기에 적합하다.
• 피드백 기반 위험 점수는 변화하는 위협 패턴에 적응함으로써 장기적으로 탐지 정확도를 향상시킨다.
• 실험 결과, 기준 샘플링 방법에 비해 이 방법은 거짓 음성 비율을 최대 30%까지 감소시킨다.