[論文レビュー] Advancing DDoS Attack Detection: A Synergistic Approach Using Deep Residual Neural Networks and Synthetic Oversampling

Ali Alfatemi, Mohamed Rahouti+4 more|arXiv (Cornell University)|Jan 6, 2024

Network Security and Intrusion Detection被引用数 7

ひとこと要約

論文はSMOTEベースの合成過サンプリングを注意機構を組み込んだDeep Residual Network (ResNet)と組み合わせ、DDoS攻撃を検出し、CICIDSデータでほぼ完璧な精度を達成。

ABSTRACT

Distributed Denial of Service (DDoS) attacks pose a significant threat to the stability and reliability of online systems. Effective and early detection of such attacks is pivotal for safeguarding the integrity of networks. In this work, we introduce an enhanced approach for DDoS attack detection by leveraging the capabilities of Deep Residual Neural Networks (ResNets) coupled with synthetic oversampling techniques. Because of the inherent class imbalance in many cyber-security datasets, conventional methods often struggle with false negatives, misclassifying subtle DDoS patterns as benign. By applying the Synthetic Minority Over-sampling Technique (SMOTE) to the CICIDS dataset, we balance the representation of benign and malicious data points, enabling the model to better discern intricate patterns indicative of an attack. Our deep residual network, tailored for this specific task, further refines the detection process. Experimental results on a real-world dataset demonstrate that our approach achieves an accuracy of 99.98%, significantly outperforming traditional methods. This work underscores the potential of combining advanced data augmentation techniques with deep learning models to bolster cyber-security defenses.

研究の動機と目的

• DDoS検出データセットにおけるクラス不均衡の問題に対処する。
• 堅牢な学習のために正常トラフィックと悪性トラフィックをSMOTEでバランスさせる。
• ネットワークトラフィックの特徴に適した注意機構を組み込んだResNetを開発する。
• 厳密な指標でCICIDSデータセット上で提案手法を評価する。
• 一般化を改善するためのデュアルフェーズの学習スキームを実証する。

提案手法

• モデル訓練前にCICIDSデータセットをSMOTEを適用してバランスさせる。
• 特徴間の依存関係を捉えるために注意拡張を備えたDeep Residual Networkを用いる。
• デュアルフェーズ学習を組み込む：フェーズ1は元のデータで事前学習、フェーズ2は正則化項を伴うSMOTEバランスデータで微調整。
• トレーニング目的関数としてDice Lossを用い、予測とターゲットの重なりを高める。
• ネットワーク訓練のオプティマイザとしてAdagradを採用する。
• 標準的な指標で評価する：精度、適合率、再現率、F1スコア、およびROC-AUC。

Figure 1: Schematic representation of the data processing and analysis pipeline for DDoS attack detection. The detection workflow starts with initial data preparation. This is succeeded by synthetic oversampling via SMOTE to rectify class disproportion. Subsequently, a deep residual neural network p

実験結果

リサーチクエスチョン

• RQ1 SMOTEバランス訓練は深層学習モデルのDDoS検出精度を改善できますか？
• RQ2 注意機構を組み込んだResNetは不均衡なトラフィックデータにおける微妙なDDoSパターンの検出を改善しますか？
• RQ3 デュアルフェーズ学習スキームがモデルの堅牢性と一般化に与える影響は何ですか？
• RQ4 提案手法は従来手法と比較して実世界のCICIDSデータでどのように性能しますか？

主な発見

指標	値（％）	備考
精度	99.98	SMOTEバランスデータで訓練されたモデル
適合率	99.98	SMOTEバランスデータで訓練されたモデル
再現率	99.96	SMOTEバランスデータで訓練されたモデル
F1スコア	99.97	SMOTEバランスデータで訓練されたモデル
ROC-AUC	1.00	SMOTEバランスデータで訓練されたモデル

• バランスされたCICIDSデータセットでの精度は99.98％。
• 適合率は99.98％で、偽陽性が非常に低いことを示します。
• 再現率は99.96％で、高い真陽性率を示します。
• F1スコアは99.97％で、バランスの取れた性能を反映します。
• ROC-AUCは1.00で、検証データ上の完全な識別を示します。

Figure 2: Training Accuracy over Epochs