論文の概要: Extracting Database Access-control Policies From Web Applications
- arxiv url: http://arxiv.org/abs/2411.11380v1
- Date: Mon, 18 Nov 2024 08:58:11 GMT
- ステータス: 翻訳完了
- システム内更新日: 2024-11-19 14:34:54.032661
- Title: Extracting Database Access-control Policies From Web Applications
- Title（参考訳）: Webアプリケーションからデータベースアクセス制御ポリシーを抽出する
- Authors: Wen Zhang, Dev Bali, Jamison Kerney, Aurojit Panda, Scott Shenker,
- Abstract要約: アプリケーションコードにどのポリシーが埋め込まれているのか、アプリケーションがどのデータにアクセスするのかを神にするのは困難です。
本稿では,アクセス制御政策の抽出という政策抽出に取り組む。
Oteは、Ruby-on-Rails Webアプリケーションのポリシー抽出ツールである。
- 参考スコア（独自算出の注目度）: 5.193592261722995
- License:
- Abstract: To safeguard sensitive user data, web developers typically rely on an implicit access-control policies, which they implement using access checks and query filters. This ad-hoc approach is error-prone, as these scattered checks and filters are easy to misplace or misspecify; and the lack of an explicit policy precludes external access-control enforcement. More critically, it is difficult to divine what policy is embedded in application code and what data the application may access -- an issue that worsens as development teams evolve. This paper tackles policy extraction: the task of extracting the access-control policy embedded in an application by summarizing its data queries. An extracted policy, once vetted for errors, can stand alone as a specification for the application's data access, and can be enforced to ensure compliance as code changes over time. We introduce Ote, a policy extractor for Ruby-on-Rails web applications. Ote uses concolic execution to explore execution paths through the application, generating traces of SQL queries and conditions that trigger them. It then merges and simplifies these traces into a final policy that aligns with the observed behaviors. We applied Ote to three real-world applications and compare extracted policies to handwritten ones, revealing several errors in the latter.
- Abstract（参考訳）: 機密性の高いユーザデータを保護するために、Web開発者は一般的に、アクセスチェックとクエリフィルタを使用して実装される暗黙のアクセス制御ポリシーに依存している。
このアドホックなアプローチは、これらの散在したチェックやフィルタが誤配置や誤特定が容易であり、明示的なポリシーの欠如が外部アクセス制御の強制を妨げているため、エラーを起こしやすい。
より重要なことは、どのポリシーがアプリケーションコードに埋め込まれているのか、どんなデータがアクセスされているのかを神にするのは困難である。
本稿では,データクエリを要約することで,アプリケーションに埋め込まれたアクセス制御ポリシを抽出するタスクであるポリシー抽出に取り組む。
抽出されたポリシーは、一度エラーに対して検証された後、アプリケーションのデータアクセスの仕様として単独で作成することができ、時間とともにコードの変更に伴ってコンプライアンスが保証されるように強制することができる。
我々はRuby-on-Rails Webアプリケーションのポリシー抽出ツールであるOteを紹介した。
Oteは、Concolic実行を使用して、アプリケーションの実行パスを調べ、SQLクエリのトレースとそれらをトリガーする条件を生成する。
その後、これらのトレースをマージして、観測された振る舞いと整合する最終的なポリシーに単純化する。
我々はOteを実世界の3つのアプリケーションに適用し、抽出したポリシーを手書きのアプリケーションと比較し、後者のエラーをいくつか明らかにした。
関連論文リスト
- RAGent: Retrieval-based Access Control Policy Generation [1.2016264781280588]
RAGentは、言語モデルに基づく新しい検索ベースのアクセス制御ポリシー生成フレームワークである。
RAGentは、平均的な最先端F1スコア87.9%のハイレベル要件仕様からアクセス要件を特定している。
既存のフレームワークとは異なり、RAGentは主題、アクション、リソースに加えて、目的や条件のような複雑なコンポーネントによるポリシーを生成する。
論文 参考訳（メタデータ） (2024-09-08T00:23:37Z) - PolicyLR: A Logic Representation For Privacy Policies [34.73520882451813]
我々は、プライバシポリシーの包括的な機械可読表現を提供する新しいパラダイムであるPolicyLRを提案する。
PolicyLRは、プライバシーポリシーを原子式の評価を用いて機械可読形式に変換する。
ポリシコンプライアンス,一貫性検出,プライバシ比較ショッピングという3つのプライバシタスクにおいて,ポリシLRを実証する。
論文 参考訳（メタデータ） (2024-08-27T07:27:16Z) - Are you still on track!? Catching LLM Task Drift with Activations [55.75645403965326]
タスクドリフトは攻撃者がデータを流出させたり、LLMの出力に影響を与えたりすることを可能にする。
そこで, 簡易線形分類器は, 分布外テストセット上で, ほぼ完全なLOC AUCでドリフトを検出することができることを示す。
このアプローチは、プロンプトインジェクション、ジェイルブレイク、悪意のある指示など、目に見えないタスクドメインに対して驚くほどうまく一般化する。
論文 参考訳（メタデータ） (2024-06-02T16:53:21Z) - Comparison of Access Control Approaches for Graph-Structured Data [0.0]
グラフ構造化データは、その複雑な構造のために高度な、柔軟な、きめ細かいアクセス制御を必要とする。
いくつかの研究は、プロパティグラフ構造データ保護、きめ細かいアクセス制御、そしてそれらの概念の実現可能性と適用性を証明することに焦点を当てている。
我々は,近年のデータベースモデルに加えて,さまざまなデータベースモデルの認証とアクセス制御に関する体系的な文献レビューから,論文を選択する。
論文 参考訳（メタデータ） (2024-05-31T12:31:05Z) - Sparsity-Aware Intelligent Massive Random Access Control in Open RAN: A
Reinforcement Learning Based Approach [61.74489383629319]
新たなOpen Radio Access Network(O-RAN)におけるデバイスの大量ランダムアクセスは、アクセス制御と管理に大きな課題をもたらします。
閉ループアクセス制御の強化学習(RL)支援方式を提案する。
深部RL支援SAUDは、連続的かつ高次元の状態と行動空間を持つ複雑な環境を解決するために提案されている。
論文 参考訳（メタデータ） (2023-03-05T12:25:49Z) - Distributed-Training-and-Execution Multi-Agent Reinforcement Learning
for Power Control in HetNet [48.96004919910818]
We propose a multi-agent Deep reinforcement learning (MADRL) based power control scheme for the HetNet。
エージェント間の協調を促進するために,MADRLシステムのためのペナルティベースQラーニング(PQL)アルゴリズムを開発した。
このように、エージェントのポリシーは、他のエージェントによってより容易に学習でき、より効率的なコラボレーションプロセスをもたらす。
論文 参考訳（メタデータ） (2022-12-15T17:01:56Z) - Offline RL With Realistic Datasets: Heteroskedasticity and Support
Constraints [82.43359506154117]
非均一な変数を持つデータから、典型的なオフライン強化学習手法が学習できないことを示す。
提案手法は,Atariゲーム,ナビゲーション,ピクセルベースの操作において,多種多様なオフラインRL問題にまたがる性能向上を図っている。
論文 参考訳（メタデータ） (2022-11-02T11:36:06Z) - Mutual Information Regularized Offline Reinforcement Learning [76.05299071490913]
我々は、データセットにおける状態と行動間の相互情報の観点から、オフラインRLにアプローチする新しいMISAフレームワークを提案する。
この下位境界の最適化は、オフラインデータセット上での一段階改善されたポリシーの可能性の最大化と等価であることを示す。
MISAの3つの異なる変種を導入し、より厳密な相互情報によりオフラインのRL性能が向上することを示した。
論文 参考訳（メタデータ） (2022-10-14T03:22:43Z) - Cross-Policy Compliance Detection via Question Answering [13.373804837863155]
本稿では,政策コンプライアンス検出を質問応答に分解することで解決することを提案する。
このアプローチにより,特にクロス政治設定において,精度が向上することが実証された。
ポリシーコンプライアンスが決定できない場合、シナリオから欠落した情報を明示的に特定する。
論文 参考訳（メタデータ） (2021-09-08T15:47:41Z) - Benchmarks for Deep Off-Policy Evaluation [152.28569758144022]
我々は,政策外の評価のベンチマークに使用できるポリシーの集合を提案する。
私たちのベンチマークの目標は、一連の原則から動機付けられた進歩の標準化された尺度を提供することです。
この領域における今後の研究を促進するために、当社のデータとコードに対するオープンソースアクセスを提供しています。
論文 参考訳（メタデータ） (2021-03-30T18:09:33Z) - Fast Compliance Checking with General Vocabularies [0.0]
データ保護ポリシーを表すOWL2プロファイルを導入する。
この言語では、企業のデータ利用ポリシーを、データ対象者の同意に従ってチェックすることができる。
IBQ推論を利用して、ポリシー言語と語彙言語の特殊推論を統合します。
論文 参考訳（メタデータ） (2020-01-16T09:08:00Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。