[论文解读] BAD: Blockchain Anomaly Detection

Matteo Signorini, Matteo Pontecorvi+2 more|arXiv (Cornell University)|Jul 10, 2018

Blockchain Technology Applications and Security参考文献 40被引用 15

一句话总结

BAD 是首个针对区块链设计的异常检测框架，通过使用分布式、防篡改且私密的恶意交易哈希日志，检测并防止重复攻击（如幽灵攻击）。它利用区块链元数据构建共享威胁数据库，减少误报，并实现每笔交易仅 O(k) 的计算开销（k 为已知攻击序列的数量），从而实现实时检测。

ABSTRACT

Anomaly detection tools play a role of paramount importance in protecting networks and systems from unforeseen attacks, usually by automatically recognizing and filtering out anomalous activities. Over the years, different approaches have been designed, all focused on lowering the false positive rate. However, no proposal has addressed attacks targeting blockchain-based systems. In this paper we present BAD: the first Blockchain Anomaly Detection solution. BAD leverages blockchain meta-data, named forks, in order to collect potentially malicious activities in the network/system. BAD enjoys the following features: (i) it is distributed (thus avoiding any central point of failure), (ii) it is tamper-proof (making not possible for a malicious software to remove or to alter its own traces), (iii) it is trusted (any behavioral data is collected and verified by the majority of the network) and (iv) it is private (avoiding any third party to collect/analyze/store sensitive information). Our proposal is validated via both experimental results and theoretical complexity analysis, that highlight the quality and viability of our Blockchain Anomaly Detection solution.

研究动机与目标

• 为解决缺乏专门针对区块链系统、特别是零日攻击和重放攻击的异常检测方案的问题。
• 设计一个分布式、防篡改且保护隐私的系统，避免单点故障，并通过共识机制确保信任。
• 通过共享的、由区块链保护的威胁数据库，重用先前观察到的攻击模式，实现对幽灵攻击等恶意活动的检测。
• 通过原型实现和在测试区块链网络上的实验评估，验证该方法的可行性和效率。
• 提供可定制、可扩展的框架，可适配检测除幽灵攻击之外的新类型区块链特异性威胁。

提出的方法

• BAD 使用区块链元数据作为信任锚点，将孤立攻击中的恶意交易哈希收集并存储在分布式、仅追加的日志中。
• 每个节点维护一组部分序列（PS_i, j），表示已知攻击序列的前缀，其中 j 为序列的当前长度。
• 当处理新交易 t 时，BAD 检查 H(t) 是否能将任一现有部分序列（PS_i, j）扩展为（PS_i, j+1），或 H(t) 是否开始一个新序列。
• 若完整攻击序列（PS_i, ℓ_i）被重建，则交易 t 被丢弃，以防止已知恶意行为的传播。
• 系统通过密码哈希和共识机制确保威胁数据库的完整性，防止篡改。
• 为应对可扩展性问题，采用剪枝技术，优先丢弃旧的或低频的攻击模式，保留新发现的模式，将每笔交易的计算开销限制在 O(k) 以内，其中 k 为已知攻击序列的数量。

实验结果

研究问题

• RQ1 如何有效将异常检测适配到区块链系统中，特别是检测并防止针对点对点网络的重放攻击和零日攻击？
• RQ2 能否利用原生区块链特性，构建一个分布式、防篡改且保护隐私的威胁数据库，以检测恶意交易模式？
• RQ3 在区块链网络中维护和查询共享的分布式异常检测系统，其计算和通信开销如何？
• RQ4 BAD 在多大程度上能通过重用先前观察到的恶意分叉模式，检测并防止幽灵攻击？
• RQ5 随着已知攻击序列数量随时间增长，系统如何保持效率和可扩展性？

主要发现

• BAD 通过部分序列匹配识别已知攻击序列，成功检测并阻止恶意交易，实现对重放攻击的实时防护。
• 每笔交易的计算开销受 O(k) 限制，其中 k 为已知攻击序列的数量，只要攻击序列长度有界，系统便保持高效。
• 原型实现表明，BAD 能够在测试区块链网络中通过识别并丢弃基于先前观察到的攻击模式的恶意区块，检测幽灵攻击。
• 系统对篡改具有鲁棒性，因为所有威胁数据均存储在分布式、共识保护的区块链中，确保单个节点无法修改或删除日志。
• 剪枝策略有效管理威胁数据库的大小，通过丢弃过时或低频的攻击模式，使系统能够扩展。
• 该方案具有隐私保护特性，因为无第三方收集或分析敏感行为数据；所有检测均仅基于哈希交易数据，在本地协同完成。