[논문 리뷰] Controlled Data Sharing for Collaborative Predictive Blacklisting

Julien Freudiger, Emiliano De Cristofaro외 1명|arXiv (Cornell University)|2015. 02. 18.

Network Security and Intrusion Detection참고 문헌 30인용 수 14

한 줄 요약

이 논문은 기밀성, 개인정보 보호, 신뢰성 및 책임 문제로 인해 일반적으로 저해되는 협업 예측 블랙리스트링을 위한 프라이버시를 보장하는 제어된 데이터 공유 프레임워크를 제안한다. 이는 보안 양자간 계산(2PC)을 활용해 원시 데이터셋을 폭 드러내지 않고도 협업의 이점을 추정할 수 있도록 한다. 연구 결과, 공통 공격자에 대한 정보만 공유할 경우 예측 정확도가 최대 105% 향상되고 가짜 경고도 감소함으로써, 비협업 및 무분별한 데이터 공유 방식을 모두 능가함을 입증한다.

ABSTRACT

Although sharing data across organizations is often advocated as a promising way to enhance cybersecurity, collaborative initiatives are rarely put into practice owing to confidentiality, trust, and liability challenges. In this paper, we investigate whether collaborative threat mitigation can be realized via a controlled data sharing approach, whereby organizations make informed decisions as to whether or not, and how much, to share. Using appropriate cryptographic tools, entities can estimate the benefits of collaboration and agree on what to share in a privacy-preserving way, without having to disclose their datasets. We focus on collaborative predictive blacklisting, i.e., forecasting attack sources based on one's logs and those contributed by other organizations. We study the impact of different sharing strategies by experimenting on a real-world dataset of two billion suspicious IP addresses collected from Dshield over two months. We find that controlled data sharing yields up to 105% accuracy improvement on average, while also reducing the false positive rate.

연구 동기 및 목표

• 협업 사이버보안 데이터 공유의 과제를 해결하기 위해 기밀성, 개인정보 보호, 신뢰성 및 책임 문제로 인한 장애 요소를 해소한다.
• 조직들이 전체 데이터셋을 공개하지 않고도 협업의 이점을 프라이버시를 보장하는 방식으로 추정할 수 있도록 한다.
• 예측 블랙리스트링에서 예측 정확도를 극대화하고 가짜 경고를 최소화하는 최적의 데이터 공유 전략을 규명한다.
• 실제 위협 데이터를 활용해 다양한 협업 지표와 공유 정도의 효과를 평가한다.

제안 방법

• 저자는 협업을 세 단계 과정으로 모델링한다: 이점 추정, 파트너 선정, 암호화 프로토콜을 활용한 안전한 데이터 공유.
• 개인정보 보호 기반의 이점 추정을 가능하게 하기 위해, 사전 집합 교차(PSI)의 변종인 PSI-CA 및 PSI-DT와 같은 보안 양자간 계산(2PC) 기법을 활용한다.
• 이점 추정은 피해자 조직의 이상 징후 IP 주소 로그 간 유사도 측정 기준, 즉 자카르, 피어슨, 코사인, 교차 크기 등을 기반으로 한다.
• 데이터 공유 전략은 모든 데이터 공유(유니온), 공통 공격원소만 공유(교차), 공통 공격자와 관련된 데이터 공유(공통 공격자와 관련 데이터 포함 교차)를 포함한다.
• 예측 모델은 이전 로그 기반으로 공격 원천을 예측하기 위해 지수 가중 이동 평균(EWMA) 알고리즘을 사용한다.
• 실증 평가는 DShield.org에서 확보한 20억 건의 이상 징후 IP 주소 데이터셋을 기반으로 하며, 두 달 간 188,522개의 조직이 참여한다.

실험 결과

연구 질문

• RQ1 조직들이 전체 데이터셋을 공개하지 않고도 프라이버시를 보장하는 방식으로 데이터 공유의 이점을 추정할 수 있는가?
• RQ2 예측 블랙리스트링에서 협업의 정확도 향상 정도를 가장 잘 예측하는 유사도 측정 기준은 무엇인가?
• RQ3 데이터 공유 정도(예: 유니온 대비 교차)가 예측 정확도와 가짜 경고 비율에 어떤 영향을 미치는가?
• RQ4 협업은 정확도 향상과 함께 가짜 경고 비율을 감소시키는가?
• RQ5 공통 공격자에 대한 정보만 공유하는 것이 모든 데이터를 공유하는 것과 거의 동일한 효과를 낼 수 있는가?

주요 결과

• 제어된 데이터 공유로 예측 정확도가 평균적으로 최대 105% 향상되었으며, 가능한 파트너의 1%만 선택하더라도 동일한 효과를 기록했다.
• 공통 공격자에 대한 정보만 공유(관련 데이터 포함 교차)하는 방식이 모든 데이터를 공유(유니온)하는 것과 거의 동일한 정확도 향상을 달성하여 높은 효율성을 입증했다.
• 교차 크기 측정 기준이 자카르, 피어슨, 코사인 유사도보다 협업 이점 추정에 가장 효과적이었다.
• 매우 유사한 데이터셋을 보유한 조직은 협업으로부터 유의미한 이점을 얻지 못했으며, 새로운 정보를 확보할 수 없었기 때문이다.
• 협업은 가짜 경고 비율을 감소시켜 공격 예측의 정밀도가 향상됨을 시사했다.
• 99명의 파트너와 함께 PSI-CA를 사용한 이점 추정에 총 소요 시간은 54초 이내였으며, 모든 파트너와의 데이터 공유에는 40초 미만이 소요되어 실시간 사용에 적합한 낮은 계산 오버헤드를 입증했다.