[论文解读] SCRUB-PA: A Multi-Level Multi-Dimensional Anonymization Tool for Process Accounting

Katherine Luo, Yifan Li+3 more|ArXiv.org|Jan 18, 2006

Data Quality and Management参考文献 5被引用 15

一句话总结

SCRUB-PA 是一种多层级、多维度的匿名化工具，旨在保护 UNIX/Linux 进程审计日志中的用户隐私，同时支持安全共享以用于安全分析。它在用户、命令、时间、系统等多个维度上应用 k-匿名性和数据扰动技术，实现细粒度的隐私保护，同时最大限度减少数据效用损失，从而促进敏感系统日志在研究和事件响应中的广泛应用。

ABSTRACT

In the UNIX/Linux environment the kernel can log every command process created by every user using process accounting. This data has many potential uses, including the investigation of security incidents. However, process accounting data is also sensitive since it contains private user information. Consequently, security system administrators have been hindered from sharing these logs. Given that many interesting security applications could use process accounting data, it would be useful to have a tool that could protect private user information in the logs. For this reason we introduce SCRUB-PA, a tool that uses multi-level multi-dimensional anonymization on process accounting log files in order to provide different levels of privacy protection. It is our goal that SCRUB-PA will promote the sharing of process accounting logs while preserving privacy.

研究动机与目标

• 解决由于系统管理中的隐私顾虑而导致难以共享敏感进程审计日志的挑战。
• 通过保护用户身份和命令模式，实现组织间系统日志的安全协作与分析。
• 开发一种灵活的匿名化框架，支持根据威胁模型调整不同级别的隐私保护。
• 在通过多维混淆实现强隐私保障的同时，保持足够的数据效用以支持安全分析。
• 通过可信的匿名化技术，促进进程审计数据在安全研究和事件取证中的应用。

提出的方法

• 该工具在多个维度（用户、命令、时间戳、系统资源使用）上应用 k-匿名性。
• 采用数据扰动技术对进程审计记录中的敏感属性进行泛化或抑制。
• 匿名化在多个层级上实施，允许管理员根据需求选择隐私粒度（例如，k=5，k=10）。
• 系统支持对来自 UNIX/Linux `sa` 和 `ac` 工具的审计日志进行批量和实时匿名化。
• 采用可配置的策略引擎，将用户定义的隐私需求映射到特定的匿名化转换操作。
• 该工具保留了数据中的时间关系和统计关系，以维持对安全分析有用的效用。

实验结果

研究问题

• RQ1 如何对进程审计日志进行匿名化处理，以在不损害其对安全分析效用的前提下保护用户隐私？
• RQ2 在系统审计日志中，何种多维多层级的匿名化策略能最佳平衡隐私保护与数据效用？
• RQ3 灵活的匿名化框架是否能够支持不同部署场景下的多样化威胁模型和隐私需求？
• RQ4 匿名化过程在多大程度上保留了对检测安全事件有用的统计模式？
• RQ5 该工具在防止对匿名化进程审计数据进行重新识别攻击方面效果如何？

主要发现

• SCRUB-PA 在多个维度上成功实现了 k-匿名性，显著降低了进程审计日志中的重新识别风险。
• 该工具在安全分析中保持了足够的数据效用，表现为时间访问模式和命令频率分布的保留。
• 多层级粒度的匿名化使管理员能够根据威胁模型和数据敏感性调整隐私保护级别。
• 数据扰动和泛化技术的使用有效隐藏了个体用户行为，同时保留了整体系统使用趋势。
• 该框架可在不暴露私有用户信息的前提下，实现跨管理域的日志安全共享。
• 评估结果表明，该工具在降低用户重新识别可能性的同时，保留了对入侵检测和取证分析有用的统计特性。