[논문 리뷰] Toward Trusted Sharing of Network Packet Traces Using Anonymization: Single-Field Privacy/Analysis Tradeoffs

William Yurcik, Clay Woolam외 3명|arXiv (Cornell University)|2007. 10. 22.

Network Security and Intrusion Detection참고 문헌 24인용 수 4

한 줄 요약

이 논문은 기업 네트워크 패킷 트레이스 내 단일 필드를 익명화할 때의 프라이버시-유용성 트레이드오프를 경험적으로 조사한다. 침입 탐지 시스템( IDS ) 경고 빈도를 분석 유용성의 대체 지표로 사용하여, 프라이버시와 분석 능력 간에 상반 관계가 성립하는 두 개의 필드와, 둘 다 동시에 달성할 수 있는 여덟 개의 필드를 식별함으로써 사이버보안 연구 분야에서 신뢰할 수 있는 데이터 공유를 위한 실용적 통찰을 제공한다.

ABSTRACT

Network data needs to be shared for distributed security analysis. Anonymization of network data for sharing sets up a fundamental tradeoff between privacy protection versus security analysis capability. This privacy/analysis tradeoff has been acknowledged by many researchers but this is the first paper to provide empirical measurements to characterize the privacy/analysis tradeoff for an enterprise dataset. Specifically we perform anonymization options on single-fields within network packet traces and then make measurements using intrusion detection system alarms as a proxy for security analysis capability. Our results show: (1) two fields have a zero sum tradeoff (more privacy lessens security analysis and vice versa) and (2) eight fields have a more complex tradeoff (that is not zero sum) in which both privacy and analysis can both be simultaneously accomplished.

연구 동기 및 목표

• 신뢰할 수 있는 공유를 위해 네트워크 패킷 트레이스 익명화 시 프라이버시-유용성 트레이드오프를 경험적으로 특성화하는 것.
• 패킷 트레이스 내 개별 필드 중에서 프라이버시와 분석 능력 간에 제로섬 트레이드오프를 보이는 필드를 특정하는 것.
• 일부 필드가 익명화를 통해 동시에 프라이버시와 분석 유용성을 향상시킬 수 있는지 여부를 판단하는 것.
• 보안 분석 가치를 유지하면서 민감한 정보를 보호하는 데 적합한 익명화 기법을 선택하는 데 데이터 기반 지침을 제공하는 것.

제안 방법

• 저자는 실제 엔터프라이즈 네트워크 패킷 트레이스 데이터셋 내 개별 필드에 다양한 익명화 기법을 적용하였다.
• 보안 분석 능력의 정량적 대체 지표로 침입 탐지 시스템( IDS ) 경고 빈도를 사용하였다.
• 익명화 결과는 다양한 익명화 설정에서 IDS 경고 빈도의 변화를 측정하여 평가하였다.
• 관측된 데이터에 대한 통계 분석을 통해 프라이버시-유용성 트레이드오프가 제로섬인지 비제로섬인지에 따라 필드를 분류하였다.
• 연구는 단일 필드 익명화에 국한하여 각 필드가 트레이드오프에 미치는 영향을 고립하고 정량화하는 데 집중하였다.

실험 결과

연구 질문

• RQ1 네트워크 패킷 트레이스 내 어떤 개별 필드가 프라이버시 증가 시 분석 능력이 직접적으로 감소하는 제로섬 프라이버시-유용성 트레이드오프를 보이는가?
• RQ2 익명화를 통해 프라이버시와 분석 능력을 동시에 향상시킬 수 있는 필드가 존재하는가?
• RQ3 특정 필드의 익명화가 침입 탐지 시스템의 유용성을 얼마나 잘 유지하는가?
• RQ4 다양한 익명화 전략이 실질적인 엔터프라이즈 데이터에서 네트워크 침입 탐지에 어떤 영향을 미치는가?

주요 결과

• 네트워크 패킷 트레이스 데이터셋 내 두 개의 필드에서 제로섬 프라이버시-유용성 트레이드오프가 관찰되었으며, 이는 익명화 수준이 높아질수록 IDS 경고 빈도가 감소하고 분석 능력이 떨어졌음을 의미한다.
• 여덟 개의 필드에서 비제로섬 트레이드오프가 나타났으며, 이는 익명화를 통해 프라이버시를 향상시키되 분석 능력을 떨어뜨리지 않음을 의미한다.
• 일부 사례에서는 익명화가 IDS 탐지 빈도를 향상시켰으며, 이는 프라이버시를 보존하는 변환 방식이 분석 유용성을 유지하거나 심지어 향상시킬 수 있음을 시사한다.
• 결과적으로 모든 필드가 익명화에 동일하게 반응하지 않으며, 필드의 특성은 프라이버시-유용성 균형에 상당한 영향을 미친다.
• 적절한 필드를 선택해 익명화할 경우 네트워크 트레이스의 신뢰할 수 있는 공유가 가능하다는 경험적 증거를 제시한다.
• 연구 결과는 보안 분석에 높은 유용성을 유지하면서도 개인정보를 보호하는 프라이버시 보존 데이터 공유 프레임워크 설계를 뒷받침한다.