[論文レビュー] DDoSDet: An approach to Detect DDoS attacks using Neural Networks

Aman Rangapur, Tarun Kanakam+1 more|arXiv (Cornell University)|Jan 24, 2022

Network Security and Intrusion Detection被引用数 7

ひとこと要約

本論文は、CICDDoS2019データセットを用いて、99.7%の精度でDDoS攻撃を検出する深層ニューラルネットワークモデル、DDoSDetを提案する。このモデルは、ReLU活性化関数と0.25のドロップアウトを備えた3層の密接層アーキテクチャを採用しており、SDN環境におけるリアルタイム侵入検出において、フローベースのネットワーク特徴を活用することで、従来の機械学習手法を凌駕する優れた性能を発揮する。

ABSTRACT

Cyber-attacks have been one of the deadliest attacks in today's world. One of them is DDoS (Distributed Denial of Services). It is a cyber-attack in which the attacker attacks and makes a network or a machine unavailable to its intended users temporarily or indefinitely, interrupting services of the host that are connected to a network. To define it in simple terms, It's an attack accomplished by flooding the target machine with unnecessary requests in an attempt to overload and make the systems crash and make the users unable to use that network or a machine. In this research paper, we present the detection of DDoS attacks using neural networks, that would flag malicious and legitimate data flow, preventing network performance degradation. We compared and assessed our suggested system against current models in the field. We are glad to note that our work was 99.7\% accurate.

研究の動機と目的

• 現代のネットワークにおけるDDoS攻撃の増加する脅威に対処すること、特にSDN環境におけるものである。
• 従来の機械学習モデルを上回る検出精度と効率を向上させること。
• リアルタイムでのDDoS攻撃同定に適した、強固でスケーラブルなニューラルネットワークベースの侵入検出システムを開発すること。
• 近年のDDoS攻撃タイプを網羅的に含むバランスの取れた包括的データセットを用いて、モデルの性能を評価すること。
• 従来の機械学習手法と比較して、深層学習が、正常および悪意のあるネットワークトラフィックの両方を検出する上で優れていることを示すこと。

提案手法

• モデルは、3つの全結合層からなる順序付きニューラルネットワークであり、各層に64個のニューロンとReLU活性化関数が使用されている。
• 過学習を防ぐために、各全結合層の後にドロップアウト正則化（0.25）が適用されている。
• 最終層は2ユニットの出力層であり、バイナリ分類（正常またはDDoS攻撃）を実行する。
• モデルはカテゴリー交差エントロピー損失関数とRMSProp最適化アルゴリズムを用いて訓練されている。
• 特徴量はCICFlowMeterを用いてCICDDoS2019データセットから抽出され、80以上のフローベース特徴量が得られた。
• 訓練プロセスは40エポックで実行され、バランスの取れたデータセットが訓練（271,479サンプル）、検証（53,880サンプル）、テスト（28,000サンプル）の3つに分割された。

実験結果

リサーチクエスチョン

• RQ1 深層ニューラルネットワークは、従来の機械学習モデルよりもDDoS攻撃の検出精度を向上させることができるか？
• RQ2 モデルアーキテクチャ、特に深さとドロップアウト率が、検出性能と訓練効率に与える影響は何か？
• RQ3 CICDDoS2019データセットからのフローベース特徴の使用が、攻撃検出精度に与える影響は何か？
• RQ4 訓練データに含まれない多様なDDoS攻撃タイプを含む未観測のテストデータに対して、モデルの性能はどのように現れるか？
• RQ5 リアルタイムDDoS検出において、モデルの複雑さと検出性能の最適なバランスは何か？

主な発見

• DDoSDetモデルは、テストセットで全体的に99.7%の精度を達成し、従来の機械学習モデルを著しく上回った。
• 攻撃検出の適合率は0.97、正常トラフィックの適合率は0.98であり、両クラスの再現率は0.99であった。
• Fスコアは攻撃検出で0.98、正常トラフィックで0.99であり、適合率と再現率のバランスが良好であることを示している。
• 3つの隠れ層を有するモデルが最も安定して高い精度を示した。深さを増しても精度は向上せず、むしろ訓練時間が増加した。
• SVM、LR、RFと比較して、DDoSDetは最高の精度（99%）とFスコア（0.98/0.99）を達成し、最良の従来モデルをも凌駆した。
• 訓練曲線は、40エポックにわたり、安定した精度（約99.7%）と減少する損失を示しており、効果的な学習が行われたことを示している。