【博士论文】《基于博弈论方法的智能审计》2022最新161页论文

第1章 概述

1.1 引言

本论文提出的问题是："我们能否设计出既有效又高效的审计策略来防御现代信息系统中的数据滥用？"。

几十年来，计算和存储技术的不断进步一直激励着人类和我们日常生活的数字化。这种现象深刻地改变了信息交流、决策、以及人们思考和创新的方式。由于对提高信息交流效率和保证信息准确性和完整性的卓越能力的共同信念，许多现代信息系统已经出现，通过收集、存储和处理人类产生的数据为人类社会提供关键服务。电子病历（EHR）系统是这些重大创新之一（见图1.1a的例子），它能带来许多好处，包括临床人员和病人之间的有效沟通[1, 2]，通过随时访问提高护理效率[3]，以及减少医疗错误[4, 5]。金融管理信息系统（见图1.1b为例）是另一个显著的模式，它能实现可靠的交易服务、高效的财富管理和持续的服务提供[6]。这些系统不仅加快了人类活动的步伐，而且还重塑了日常生活的性质。

(a) Epic EHR系统的一个示例界面，显示一个假的病人。

(b) Mifos银行系统的一个示例界面，显示一个假的客户。

图1.1: 激发本论文研究的具体领域，也是直接影响本论文研究的具体领域。

同时，不幸的是，由于这些关键任务的信息系统在促进人类社会方面发挥的重要作用，以及它们所拥有的数据的巨大价值，攻击从未缺席[7, 8, 9]。虽然攻击会导致一系列的后果，从中断信息系统的持续运行到破坏数据的完整性，但它们的最终目标往往汇聚到对个人隐私的侵犯。2015年，美国最大的医疗保险供应商之一Anthem的医疗数据泄露事件创造了美国历史上数据泄露的新纪录[10]，通过对其数据服务器的犯罪黑客攻击，影响了超过7880万人。2017年，在针对顶级信用报告机构Equifax的攻击中，约1.45亿美国人的个人身份数据被泄露[11]。尽管大量守护安全和隐私的人工和自动筛查策略（或组合）被不断开发和部署，但针对信息系统及其所持有的敏感数据的成功攻击不断登上头条。因此，人们普遍认识到，没有一个系统是不受攻击的，也没有一个系统是不受损害的，尤其是面对那些不断适应、不断发展、不断改进其方式以破坏保护措施和掩盖其真实目的的攻击。

一个广泛使用的防御信息系统中数据滥用的解决方案是创建并分析系统审计日志[12, 13, 14, 15]。这个简单的想法已经被实践了很久，并被用来支持信息系统管理的多个目标[16, 17, 18, 19]，包括在系统安全和数据隐私方面的合规性和问责制[20, 21, 22, 23]。审计日志的结构可以是异质的，但是它们通常按照 "谁在什么时间点进行了什么活动，导致了什么系统状态 "的思路来记录系统的事件细节[20, 21, 24]。这种机制很有价值，因为它使管理员能够对可疑事件进行回顾性调查，这样，在被审计时，真正的攻击可以在造成更大损失之前被识别和阻止。更进一步的是，为了审计方便，可疑事件通常根据其特征被映射到预定义的语义类型中，每个类型都对应着不同的恶意情况[25, 26]。这些语义类型可以有多种形式，并擅长于筛选不同的威胁。例如，基于规则的机制可以很容易地挑出存储在系统中的非常重要的人（VIP）的记录的访问活动，而机器学习检测模型可以准确地找出显示出异常系统访问模式的恶意账户。然后，检测到的可疑事件及其相应的类型会作为警报提交给系统管理员（或审计师）进行审计，这为提前制定有效的审计策略增加了复杂性。

然而，由于审计师在现实世界领域中可能面临的几个明显的挑战，审计在实践中是非同小可的。首先，通常的情况是，审计工作量大大超出了审计的可用资源（例如，安全管理员或隐私官员的时间）[27, 28, 29]。第二，由于缺乏精确定义恶意行为的能力，导致假阳性率很高，使得审计效率低下[30, 31, 32]。第三，人类攻击者通常根据他们的知识和对系统运行的观察采取战略性的行动，以减少被审计师发现的概率，这使得固定的审计模式变得脆弱[33, 34, 35]。例如，攻击者可以通过操纵他们的攻击行为，轻易地绕过基于警报类型重要性的审计策略或训练有素的机器学习异常点检测工具。第四，与需要保护的目标固定为防御者和攻击者的先验知识的情况相比（如机场航站楼巡逻），数据滥用审计中需要调查的对象（即警报）在一个审计周期（如一天）开始之前是未知的。

从本质上讲，数据滥用审计是一项寻求将有限的调查资源分配给对抗性环境中的大量警报的任务。不幸的是，几乎所有以前的作品在推导其策略时都未能基于审计的这一基本特征进行开发。然而，本论文将审计师和攻击者之间的互动建模为领导者-追随者博弈，即审计师（防御者）首先承诺采取随机审计策略，然后攻击者根据其观察结果以某种目标或类型的攻击作为回应，同时试图将被发现的可能性降到最低。事实上，这种建模架构下的审计方案通过战略随机化将不确定性纳入空间，并沿着现实的激励机制扩大参与者的利益最大化，与其他方案相比，表现出固有的优势。沿着这个建模方向，在本论文中，我们探讨了各种智能审计机制设计可以实现的潜力，以提高防御的效率，甚至对数据泄露的威慑。

1.2 贡献总结

图1.2总结了本论文的高层次目标和相关的具体博弈建模策略。基本上，本论文从两个不同的角度考虑设计审计机制：离线优先和在线信号（或在线警告）。在这里，我们用离线和在线这两个词来表示在实时数据访问过程中，审计人员和数据用户之间是否通过任何审计机制进行互动。特别是，我们通过回答审计师和攻击者之间的对抗性环境的两个问题来展开调查。1）是否有可能以一种智能的方式对警报进行优先排序，从而使审计师能够从这种随机的顺序中获得最大的利益，以及2）审计机制能否以一种实时的方式运作，从而使正在发起攻击的攻击者在成功之前被阻止。第一个观点源于这样的观察：在实践中，系统管理员或隐私官员倾向于关注极少数符合他们最大利益的警报类型的调查（或者等同于，在他们的重要性排名中最重要的警报类型）。因此，由于预算的限制，其余的很少被触及，这为攻击者提供了免费的午餐。除了完全脱机进行审计外，第二个观点是探索将参与者之间的信息交流实时化（例如，当用户请求敏感数据时），以影响攻击者的策略选择，甚至阻止攻击者。虽然我们的贡献可以应用于一般的信息服务，但在这篇论文中，我们依靠一个有代表性的用例--EHR的滥用审计来使我们的调查有一个背景，即医疗机构（HCO）的雇员（或EHR用户）可以通过非法访问滥用病人的数据并侵犯病人的隐私。

更具体地说，为了回答第一个问题（对应于图1.2中的目标1），我们通过同时考虑两个维度，建立了一个新颖的博弈论审计框架原型。1）如何确定被触发的警报的优先顺序；2）为每个警报类型分配多少预算（例如，人力资本或货币预算）的上限是什么。在这个博弈中，审计师就警报类型的顺序和确定的预算分配策略选择一个随机的审计政策，而潜在的攻击者选择他们的记录（如EHR）来实施攻击作为他们的回应。我们表明，即使是该问题的高度限制版本也是NP-Hard。尽管如此，我们提出了一系列解决这些问题的算法方法，这些方法利用线性编程和列生成的组合，计算出一个近乎最优的随机策略，以确定警报类别的优先次序。使用一个合成的数据集，在这个数据集上得出精确的解决方案是可行的，我们首先证明了我们的方法在接近最优解决方案方面的有效性，并在效率上有了极大的提高。然后，我们用1）范德比尔特大学医疗中心（VUMC）超过1.5个月的审计日志来测试整个框架的有效性，这是美国一个主要的学术医疗中心，我们分配了一个可信的回报结构，明确表示攻击者被抓或不被抓时玩家的收益和损失；2）一个公开的信用卡应用数据集。一组广泛的实验结果表明，我们的方法总是优于最先进的审计策略（忽略了博弈论），无论组织的预算如何。这项调查提供了强有力的证据，证明博弈论辅助的审计可以通过在对抗性环境中优化策略选择而有利于审计师。这已经作为同行评议的会议论文[36]和期刊论文[37]发表。

图1.2：本论文的三个主要部分的图形总结。

第二个研究问题旨在将对抗性建模的好处扩展到实时。具体来说，我们开发了一个概念--在线信号，并将其纳入审计博弈。在高层次上，在线信号的功能如下：每当一个可疑的事件开始时（例如，请求访问病人的记录，系统配置文件等），系统可以实时警告提出请求的用户（例如，通过一个有一定概率优化的弹出窗口）"这个事件可能被审计"。然后，用户可以选择停止（如果他们是内部人员，从而被阻止）或继续进行当前的行动。然后，在一段时间后，这些收到信号的事件的一个子集被审计。因此，通过信号传递实现威慑力的最大化将我们引向一个在线优化问题，我们必须确定：1）是否应该发出警告；2）该事件被审计的可能性。

作为本论文的第二个研究目标（如图1.2所示），我们将这个审计问题原型化和形式化为信号审计博弈（SAG），作为初始步骤，我们对审计者和攻击者之间的互动，以及被部署时的可用性成本（即阻止正常系统用户的现象）进行建模。我们将审计师的最优方案称为在线斯塔克伯格信号政策（OSSP），并在理论上证明，OSSP永远不会比在没有信号的博弈中取得的最优方案差。我们用来自VUMC的1000万份EHR访问事件--包含26000多份警报--进行了一系列实验，以说明SAG的潜力和其与现有方法相比的优势的一致性。这已作为同行评议的会议论文发表[38]。

虽然基于信号的在线审计利用了审计师的信息优势，有可能胜过非信号策略，但由于几个关键的缺陷，SAG在实践中表现不佳。首先，SAG假设所有攻击者都有相同的目标，因此他们对攻击目标的偏好是相同的。他们的偏好由攻击被抓住或没有被抓住时双方的奖励和惩罚来表示。然而，在现实中，攻击者破坏系统或敏感数据的动机有很大不同。例如，一个HCO的员工出于好奇偷看了一个VIP的EHR，可能比一个在黑市上出售相同记录（然后实施身份盗窃）的员工更不需要担心。第二，按照安全博弈建模的标准假设，SAG假设攻击者总是以无误的效用最大化的理性行事。然而，这是一个不合理的强势假设，因为现实世界的攻击者可能没有时间、精力或知识来进行准确的效用计算来选择策略。而且经验表明，面对现实世界的攻击者，博弈建模中的这种假设会给审计师带来过大的损失[39]，因为审计师可以对那些他们认为攻击者不可能攻击的目标保护不足。

本论文的第三个目的（如图1.2所示）是通过解决它们的上述缺陷使在线信令审计机制变得稳健。我们引入了一个新的审计框架，我们称之为鲁棒贝叶斯SAG。首先，我们通过对SAG进行贝叶斯式的扩展，在审计环境中对多个攻击者类型进行建模，其中审计者在选择其审计策略时考虑了参与者的回报和偏好的不确定性。然后，由此产生的问题可以通过一个紧凑的表述来解决。第二，为了模拟现实世界中攻击者的不完全理性，我们探索了稳健优化中的两种不同类型的方法。1）约束攻击者的策略选择与他们的最优策略的最坏情况下的偏差，以及2）约束攻击者的偏差对审计师损失的影响。我们将每种类型的约束纳入实时解决稳健贝叶斯SAG的算法中，并为每种约束建立了相应的解决概念。我们研究了这些解决方案的理论属性以及它们之间的关系。令人惊讶的是，这两种算法，虽然视角完全不同，但在某些情况下可以导致等价，并表现出鲁棒性的一致性。为了评估稳健贝叶斯SAG的性能，我们构建了两个环境。1）与VUMC超过1000万次真实EHR访问的审计日志相关的真实环境（与目标2中的评估数据集相同）；2）从真实数据中得到的模拟控制环境，这使我们能够模拟攻击者关于其理性程度的行为。我们特别评估了我们的解决方案和最先进的审计方法在不同条件下的预期效用，以证明新的审计解决方案的价值和其可扩展性。这已经提交给一个会议进行审查。

1.3 学位论文结构

本论文的其余部分组织如下。第二章调查了相关工作。之后，我们通过将相应的问题形式化为特定的博弈论模型，推导出它们的解决方案，然后使用真实和模拟的数据集进行评估，对上述每个目标进行扩展。具体来说，在第三章中，我们将预警优先级的博弈形式化，并推导出其解决算法，以改善离线数据滥用审计。在第四章中，我们介绍了在线信号的概念，以及由此产生的模型-SAG，然后是解决方案的理论属性和性能评估。第五章提出了考虑到多种攻击者类型和他们在选择策略时的不完全理性的SAG的强大框架。在第六章中，我们总结了我们的贡献并讨论了未来的工作，从而结束了论文。