[論文レビュー] A Novel Supervised Deep Learning Solution to Detect Distributed Denial of Service (DDoS) attacks on Edge Systems using Convolutional Neural Networks (CNN)

Vedanth Ramanathan, Krish Mahadevan+1 more|arXiv (Cornell University)|Sep 11, 2023

Network Security and Intrusion Detection被引用数 6

ひとこと要約

本論文は、エッジネットワーク環境における分散型サービス妨害（DDoS）攻撃を検出するための、畳み込みニューラルネットワーク（CNN）を用いた新しい教師あり深層学習モデルを提案する。手法はネットワークトラフィックを固定長のパケットフローに前処理し、正規化した後、ドロップアウトとシグモイド活性化関数を組み込んだカスタムCNNアーキテクチャを適用することで、未学習のテストデータにおいて悪意のあるトラフィックと良性のトラフィックを分類する際の正確性が98.83％に達した。

ABSTRACT

Cybersecurity attacks are becoming increasingly sophisticated and pose a growing threat to individuals, and private and public sectors. Distributed Denial of Service attacks are one of the most harmful of these threats in today's internet, disrupting the availability of essential services. This project presents a novel deep learning-based approach for detecting DDoS attacks in network traffic using the industry-recognized DDoS evaluation dataset from the University of New Brunswick, which contains packet captures from real-time DDoS attacks, creating a broader and more applicable model for the real world. The algorithm employed in this study exploits the properties of Convolutional Neural Networks (CNN) and common deep learning algorithms to build a novel mitigation technique that classifies benign and malicious traffic. The proposed model preprocesses the data by extracting packet flows and normalizing them to a fixed length which is fed into a custom architecture containing layers regulating node dropout, normalization, and a sigmoid activation function to out a binary classification. This allows for the model to process the flows effectively and look for the nodes that contribute to DDoS attacks while dropping the "noise" or the distractors. The results of this study demonstrate the effectiveness of the proposed algorithm in detecting DDOS attacks, achieving an accuracy of .9883 on 2000 unseen flows in network traffic, while being scalable for any network environment.

研究の動機と目的

• エッジシステムにおけるDDoS攻撃の増加する脅威に対処するため、スケーラブルでリアルタイムの検出メカニズムを開発すること。
• シグニチャベースのフィルタリング、レート制限、静的しきい値といった従来のDDoS検出手法の限界を克服すること。
• 深層学習を用いて、動的ネットワーク環境における検出の正確性と一般化性能を向上させること。
• 進化する攻撃パターンに適応可能なモデルを構築し、実世界のエッジネットワークへの展開に適したものとすること。
• 未学習のトラフィックフローを含む実世界のDDoSデータセットを用いて、モデルの一般化性能と耐性を評価すること。

提案手法

• モデルは、元のネットワークトラフィックからパケットフローを抽出し、固定長に正規化することで、CNNへの一貫した入力を実現する。
• 複数の畳み込み層、バッチ正則化、ドロップアウト正則化、および二値分類用の最終的なシグモイド活性化関数を備えたカスタムCNNアーキテクチャを設計する。
• ReLU活性化関数の使用により、顕著なトラフィックパターンに注目することで、特徴の学習とモデルの解釈性が向上する。
• データ前処理にはパディングと正規化を含め、フロー長の標準化とノイズ低減を実現し、モデルの安定性と性能を向上させる。
• モデルは、実際のDDoS攻撃からのリアルタイムパケットキャプチャを含むニューブランズウィック大学のDDoS評価データセットで訓練された。
• モデルの評価には、正確性、未学習のフローにおける一般化性能、および将来的にAUC-ROC指標を用いた分類能の強化分析を提案する。

Figure 1: Architecture of a traditional DDoS Attack

実験結果

リサーチクエスチョン

• RQ1 教師ありCNNベースのモデルは、実世界のネットワークトラフィックデータを用いて、エッジシステムにおけるDDoS攻撃を高い正確性で検出可能か？
• RQ2 提案された前処理パイプライン（フロー抽出、正規化、パディング）は、モデルの一般化性能と性能向上にどの程度効果的か？
• RQ3 訓練データに存在しない未確認のDDoS攻撃パターンに対し、モデルはどの程度一般化可能か？
• RQ4 正確性、誤検出率、スケーラビリティの観点から、従来のDDoS検出技術と比較して、モデルの性能はどのように差異を示すか？
• RQ5 ゼロデイ攻撃や以前に見られなかったDDoS攻撃バージョンの検出において、モデルの主な限界は何か？

主な発見

• 提案されたCNNモデルは、2000件の未学習のネットワークトラフィックフローに対して98.83％のテスト正確性を達成し、優れた一般化性能と耐性を示した。
• バッチ正則化、ドロップアウト、ReLU活性化関数の統合により、モデルの安定性が著しく向上し、過学習が軽減された。
• ノイズを除外し、DDoS行動に寄与する重要な特徴に焦点を当てることで、モデルは悪意あるトラフィックパターンを効果的に同定した。
• アーキテクチャはスケーラビリティと適応性に優れており、エッジシステムを含む多様なネットワーク環境への展開に適していることが示された。
• 高い正確性を示したが、訓練データに既知の攻撃パターンに依存しているため、ゼロデイ攻撃に対しては依然として脆弱であることが判明し、継続的な再訓練の必要性が浮き彫りになった。
• 本研究では、単なる正確性を超えた分類能力の評価を目的として、将来的にAUC-ROC指標の統合を推奨している。

Figure 2: Current State of DDoS Mitigation Techniques