[论文解读] Get Your Workload in Order: Game Theoretic Prioritization of Database Auditing

Chao Yan, Bo Li+4 more|arXiv (Cornell University)|Jan 22, 2018

Network Security and Intrusion Detection参考文献 37被引用 3

一句话总结

本文提出了一种基于博弈论的框架，通过将审计员与策略性攻击者之间的互动建模为Stackelberg博弈，以优先处理数据库审计警报。该方法利用列生成与启发式搜索的线性规划技术，推导出最优的随机化审计策略，在减少警报过载的同时充分考虑了对抗性行为，显著优于非博弈论基线方法。

ABSTRACT

For enhancing the privacy protections of databases, where the increasing amount of detailed personal data is stored and processed, multiple mechanisms have been developed, such as audit logging and alert triggers, which notify administrators about suspicious activities; however, the two main limitations in common are: 1) the volume of such alerts is often substantially greater than the capabilities of resource-constrained organizations, and 2) strategic attackers may disguise their actions or carefully choosing which records they touch, making incompetent the statistical detection models. For solving them, we introduce a novel approach to database auditing that explicitly accounts for adversarial behavior by 1) prioritizing the order in which types of alerts are investigated and 2) providing an upper bound on how much resource to allocate for each type. We model the interaction between a database auditor and potential attackers as a Stackelberg game in which the auditor chooses an auditing policy and attackers choose which records to target. A corresponding approach combining linear programming, column generation, and heuristic search is proposed to derive an auditing policy. For testing the policy-searching performance, a publicly available credit card application dataset are adopted, on which it shows that our methods produce high-quality mixed strategies as database audit policies, and our general approach significantly outperforms non-game-theoretic baselines.

研究动机与目标

• 解决数据库审计中警报过载的关键挑战，即合法警报数量远超可利用的审计资源。
• 将审计员与潜在攻击者之间的战略互动建模为Stackelberg博弈，以反映现实世界中的对抗行为。
• 开发一种可扩展且计算高效的审计策略，根据风险和攻击者激励因素对警报类型进行优先排序。
• 提供理论基础，包括NP难性结果，以及利用线性规划与列生成技术的实用解决方案。
• 在真实世界数据集（包括电子病历与信用卡申请数据）上评估该框架，以证明其实际有效性。

提出的方法

• 将数据库审计问题建模为Stackelberg博弈，其中审计员承诺采用随机化审计策略，而攻击者则据此选择目标记录。
• 将审计员的问题形式化为双层优化问题，以在战略攻击者响应下最大化期望效用。
• 使用列生成技术迭代构建高质量的审计策略，避免完整策略枚举带来的指数级复杂度。
• 集成启发式搜索以优化解并提升收敛性，尤其适用于具有大量警报类型的大型场景。
• 在每次迭代中应用线性规划求解松弛后的主问题，确保计算可行性。
• 推导出每类警报的资源分配上限，以在实际部署中满足操作约束。

实验结果

研究问题

• RQ1 在警报过载的背景下，如何对审计策略进行优先排序，以最大化对资源受限、具有策略性的攻击者的检测能力？
• RQ2 在攻击者采取战略行为的前提下，最优审计策略选择的计算复杂度如何？
• RQ3 所提出的博弈论方法在检测性能与资源效率方面相较于非博弈论基线方法表现如何？
• RQ4 该框架在具有高波动性警报数量与多个潜在攻击者的实际工作负载中，其可扩展性如何？
• RQ5 所提出策略的性能对攻击者理性程度及参数假设变化的敏感性如何？

主要发现

• 受限版本的数据库审计问题为NP难问题，确立了在无近似方法下寻找最优策略的理论不可解性。
• 所提出的列生成与线性规划方法在合成评估中生成了高质量的混合策略，能紧密逼近最优解。
• 在范德比尔特大学医学中心电子病历数据集上，该框架通过优先处理高风险警报类型，显著减少了警报过载，大幅提升了审计效率。
• 在信用卡申请数据集中，博弈论策略在检测可疑访问模式方面优于非博弈论基线方法，且误报更少。
• 该方法在不同警报量下表现出强鲁棒性，并在检测隐蔽的、低频次攻击方面表现更优，这些攻击通常可规避传统警报机制。
• 该框架能有效处理随机警报数量与多个潜在攻击者的情况，优于假设已知且固定警报频率的模型。