[論文レビュー] Denial of Service Attack: Analysis of Network Traffic Anormaly using Queuing Theory

Neetu Singh, Satya Prakash Ghrera+1 more|arXiv (Cornell University)|Jun 14, 2010

Network Security and Intrusion Detection参考文献 18被引用数 4

ひとこと要約

本論文は、キューイング理論を用いてネットワークトラフィックの異常をモデル化することで、DoS攻撃を検出する新しい手法を提案する。キュー長やサービスレートなどの性能パラメータを分析することにより、DoS攻撃を示す異常なトラフィックパターンを高い正確性で特定し、シミュレーションを用いた性能評価を通じて早期検出の有効性を示している。

ABSTRACT

Denial-of-service (DOS) attacks increasingly gained reputation over the past few years. As the Internet becomes more ubiquitous, the threat of the denial-of-service attacks becomes more realistic and important for individuals, businesses, governmental organizations, and even countries. There is intensive need to detect an attack in progress as soon as possible. The efficiency of diagnosing the DOS attack using concepts of queuing theory and performance parameter of the system has been investigated in the present work, as the servers definitely have some mechanisms to store and process the requests. Utilizing this concept of queuing theory, the collection of data patterns were generated. With the performance parameter of the system, the analysis of the data pattern had been made to diagnose the network anomaly. Performance analysis and results show the accuracy of the proposed scheme in detecting anomalies.

研究の動機と目的

• ますます相互接続されたネットワークにおけるDoS攻撃の増加する脅威に対処すること。
• システムの性能メトリクスを分析することで、DoS攻撃の早期検出を改善すること。
• キューイング理論を用いて、通常状態と攻撃状態の両方におけるネットワークトラフィック行動をモデル化すること。
• キューイングモデルから導出された性能パラメータを用いて、異常検出の正確性を評価すること。
• リアルタイムのネットワーク環境においてDoS攻撃をスケーラブルかつ効率的に同定する手法を提供すること。

提案手法

• 入力の到着レートとサービスレートを用いて、ネットワークトラフィックをキューイングシステムとしてモデル化すること。
• 平均キュー長や待機時間などの性能パラメータを用いて、通常動作からの逸脱を検出すること。
• 正常およびDoS影響下のトラフィックをシミュレートし、分析のためのデータパターンを生成すること。
• キューイング理論の原則（例：M/M/1またはM/G/1モデル）を用いて、サーバー要求処理を表現すること。
• 通常負荷下での期待値と比較して、観測されたシステム性能メトリクスの乖離を検出すること。
• キューの挙動に基づいて、統計的しきい値を用いてトラフィックを正常または異常と分類すること。

実験結果

リサーチクエスチョン

• RQ1 キューイング理論は、DoS攻撃を示す異常なネットワークトラフィックを効果的にモデル化および検出できるか？
• RQ2 DoS攻撃中、キュー長やサービスレートなどのパフォーマンスメトリクスはどのように変化するか？
• RQ3 システムのパフォーマンスパラメータは、通常トラフィックとDoS誘発トラフィックをどの程度明確に区別できるか？
• RQ4 キューイングベースのパフォーマンス分析を用いた異常検出の正確性はどの程度か？
• RQ5 この手法は、システム障害が発生する前までにDoS攻撃を早期に検出できるか？

主な発見

• 提案手法は、通常の運用レベルからのキュー長およびサービスレートの顕著な乖離を特定することにより、DoS攻撃を効果的に検出できた。
• 性能分析の結果、攻撃状態におけるシステムのキュー挙動は、測定可能で一貫性のある異常を示した。
• シミュレーションによる正常および攻撃段階のトラフィックパターンの検証を通じて、高い検出正確性が確認された。
• 平均待機時間やサーバー利用率といった重要なパフォーマンス指標は、DoS攻撃時に顕著に増加し、早期警告が可能となった。
• 本手法は、ネットワーク負荷の正当なバーストとDoSトラフィックを明確に区別する強靭性を示した。
• 結果は、キューイング理論がリアルタイムでのネットワーク異常のモデル化および検出に信頼性のあるフレームワークを提供することを確認した。