[論文レビュー] Defense against SYN-Flood Denial of Service Attacks Based on Learning Automata

Masoud Bekravi, Shahram Jamali+1 more|arXiv (Cornell University)|Aug 24, 2012

Network Security and Intrusion Detection参考文献 26被引用数 3

ひとこと要約

本稿では、学習オートマトンを用いて動的に最適化する2つの主要なTCPパラメータ（半オープン接続の最大数mとホールドタイムh）を用いて、SYNフラッドDoS攻撃に対する自己管理型防御を提案する。攻撃を最適化問題として定式化し、学習オートマトンを適用することで、接続喪失確率（Ploss）を著しく低減し、攻撃トラフィックによるバッファ占有率（Pa）を最小限に抑え、正当なリクエストのバッファ利用効率（Pr）を向上させる。シミュレーション結果により、本手法の有効性が検証されている。

ABSTRACT

SYN-flooding attack uses the weakness available in TCP's three-way handshake process to keep it from handling legitimate requests. This attack causes the victim host to populate its backlog queue with forged TCP connections. In other words it increases Ploss (probability of loss) and Pa (buffer occupancy percentage of attack requests) and decreases Pr (buffer occupancy percentage of regular requests) in the victim host and results to decreased performance of the host. This paper proposes a self-managing approach, in which the host defends against SYN-flooding attack by dynamically tuning of its own two parameters, that is, m (maximum number of half-open connections) and h (hold time for each half-open connection). In this way, it formulates the defense problem to an optimization problem and then employs the learning automata (LA) algorithm to solve it. The simulation results show that the proposed defense strategy improves performance of the under attack system in terms of Ploss, Pa and Pr.

研究の動機と目的

• TCPの3ウェイハンドシェイクを悪用してシステムリソースを枯渇させるSYNフラッドDoS攻撃の増加する脅威に対処すること。
• 接続喪失確率（Ploss）の上昇、攻撃によるバッファ占有率（Pa）の増加、正当なリクエスト処理能力（Pr）の低下によって引き起こされる性能劣化を軽減すること。
• 攻撃パターンの事前知識がなくても、リアルタイムでTCPパラメータ（mおよびh）を自動的に最適化する適応型防御メカニズムを開発すること。
• 正当な接続と悪意のある接続の間でリソース割り当てを最適化することで、持続的なSYNフラッド攻撃下でもシステムのレジリエンスを向上させること。
• 現実的な攻撃条件下で、シミュレーションを用いて提案手法の有効性を検証すること。

提案手法

• 防御メカニズムは、PlossとPaを最小化し、Prを最大化することを目的とした最適化問題としてSYNフラッド軽減問題を定式化する。
• 学習オートマトン（LA）を用いて、m（半オープン接続の最大数）およびh（各半オープン接続のホールドタイム）という2つのシステムパラメータを動的に調整する。
• LAアルゴリズムは、ネットワーク環境との繰り返しの相互作用を通じて、パフォーマンス指標（Ploss、Pa、Pr）のフィードバックを用いて最適なパラメータ設定を学習する。
• 学習プロセスは強化学習の原則に基づいており、各パラメータ調整後のシステムパフォーマンスに応じて報酬または罰則を受け取る。
• システムは継続的に受信する接続リクエストを監視し、mおよびhをリアルタイムで調整して、接続受容とリソース保護のバランスを保つ。
• 本手法はシミュレーションベースであり、制御された環境を用いて、動的パラメータチューニングが攻撃耐性に与える影響を評価する。

実験結果

リサーチクエスチョン

• RQ1 攻撃の特徴についての事前知識がなくても、自己管理型システムがどのようにTCPパラメータを動的にチューニングしてSYNフラッド攻撃に対抗できるか。
• RQ2 学習オートマトンは、SYNフラッド攻撃中において、接続喪失確率（Ploss）をどの程度低減できるか。
• RQ3 mおよびhの動的調整により、正当なリクエストのバッファ利用効率（Pr）を向上させると同時に、攻撃トラフィックによるバッファ占有率（Pa）を最小限に抑えることができるか。
• RQ4 静的パラメータ設定と比較して、本手法の学習オートマトンベースの防御は、攻撃下でのシステムレジリエンスにおいてどの程度優れているか。
• RQ5 攻撃強度が変化する条件下で、mおよびhの最適化における学習オートマトンの収束特性と安定性はいかがなものか。

主な発見

• 提案された学習オートマトンベースの防御は、SYNフラッド攻撃条件下で接続喪失確率（Ploss）を著しく低減する。
• mおよびhの動的チューニングにより、攻撃リクエストによるバッファ占有率（Pa）が効果的に最小限に抑えられる。
• 正当なリクエストに割り当てられるバッファ領域の割合（Pr）が著しく増加し、システムの可用性が向上する。
• 複数の攻撃シナリオにおいて、学習オートマトンが最適なパラメータ設定に安定して収束することが確認された。
• シミュレーション結果から、動的最適化アプローチが固定パラメータ設定を上回り、攻撃中におけるシステムパフォーマンスの維持に優れていることが確認された。
• 本手法は、接続受容とリソース保護の間でバランスの取れたトレードオフを達成し、全体的なシステムの耐障害性を向上させる。