[论文解读] Security Analysis of Online Centroid Anomaly Detection

Marius Kloft, Pavel Laskov|arXiv (Cornell University)|Feb 27, 2010

Network Security and Intrusion Detection参考文献 65被引用 87

一句话总结

本文针对对抗性中毒攻击下的在线中心点异常检测提供了理论安全分析，推导了在各种约束条件下攻击有效性的边界。结果表明，尽管在无约束环境下攻击可能极为有效，但诸如有限假阳性率或有限数据注入等外部约束会严重限制攻击者收益，使攻击几乎无法成功。

ABSTRACT

Security issues are crucial in a number of machine learning applications, especially in scenarios dealing with human activity rather than natural phenomena (e.g., information ranking, spam detection, malware detection, etc.). It is to be expected in such cases that learning algorithms will have to deal with manipulated data aimed at hampering decision making. Although some previous work addressed the handling of malicious data in the context of supervised learning, very little is known about the behavior of anomaly detection methods in such scenarios. In this contribution we analyze the performance of a particular method -- online centroid anomaly detection -- in the presence of adversarial noise. Our analysis addresses the following security-related issues: formalization of learning and attack processes, derivation of an optimal attack, analysis of its efficiency and constraints. We derive bounds on the effectiveness of a poisoning attack against centroid anomaly under different conditions: bounded and unbounded percentage of traffic, and bounded false positive rate. Our bounds show that whereas a poisoning attack can be effectively staged in the unconstrained case, it can be made arbitrarily difficult (a strict upper bound on the attacker's gain) if external constraints are properly used. Our experimental evaluation carried out on real HTTP and exploit traces confirms the tightness of our theoretical bounds and practicality of our protection mechanisms.

研究动机与目标

• 分析在线中心点异常检测在安全关键应用中对对抗性中毒攻击的脆弱性。
• 在对抗性环境中形式化学习与攻击过程的交互关系。
• 推导在有界与无界数据注入约束下最优攻击策略及其有效性量化。
• 研究如何利用外部约束（如假阳性率限制）来限制攻击者收益。
• 通过真实HTTP与漏洞利用数据痕迹的实验验证理论边界，确认保护机制的紧致性与实用性。

提出的方法

• 作者将学习与攻击过程建模为随机博弈，其中攻击者通过操纵数据点以最大化与真实中心点的偏离。
• 利用鞅集中不等式与几何级数近似，推导估计中心点与真实中心点之间距离的期望边界。
• 关键组成部分包括使用詹森不等式、用于攻击成功条件的指示函数，以及对异常评分的递归期望边界。
• 分析中引入了诸如有限假阳性率与有限注入比例等约束，以建模实际运行限制。
• 推导了异常评分的一阶与二阶矩的理论边界，进而得出量化攻击鲁棒性的方差边界。
• 该方法采用递归期望框架，分析在对抗性影响下中心点估计随时间的演化过程。

实验结果

研究问题

• RQ1 在无约束条件下，中毒攻击对在线中心点异常检测的有效性如何？
• RQ2 在有界数据注入与假阳性率约束下，最优攻击策略是什么？
• RQ3 是否可利用外部约束将攻击者收益限制为任意小的值？
• RQ4 理论边界在实际中有多紧致，特别是在真实网络流量模式下？
• RQ5 所推导的保护机制在多大程度上能防止真实数据痕迹中的成功对抗性操纵？

主要发现

• 在无约束情况下，中毒攻击极为有效，攻击者可实现与真实中心点的显著偏离。
• 当假阳性率受限制时，攻击者收益被严格限制在理论上限内，使得成功攻击变得越来越困难。
• 在有界注入比例下，攻击者收益同样受到约束，且理论边界与真实HTTP与漏洞利用痕迹上的实验结果高度吻合。
• 异常评分的方差由随样本数量衰减的项所界定，表明在约束条件下检测行为趋于稳定。
• 实验评估证实理论边界具有紧致性，基于约束的保护机制在真实场景中具有实际有效性。
• 分析表明，诸如假阳性率限制等外部约束可被有效利用，使攻击即使在面对自适应对手时也变得几乎不可能。