[論文レビュー] Detection of DDoS Attacks in Software Defined Networking Using Machine Learning Models

Ahmad Hamarshe, Huthaifa I. Ashqar+1 more|arXiv (Cornell University)|Mar 11, 2023

Software-Defined Networks and 5G被引用数 4

ひとこと要約

この論文は、CICDDoS2019データセットを用いて、ソフトウェア定義ネットワーキング（SDN）におけるDDoS攻撃の検出に、ランダムフォレスト、決定木、SVM、XGBoostの機械学習モデルを評価している。ランダムフォレストは68.9%の最高精度を達成し、計算コストを伴うものの、MLベースの検出が有効であることを示しており、SDNのセキュリティをDDoS脅威から強化する有望なアプローチを提供している。

ABSTRACT

The concept of Software Defined Networking (SDN) represents a modern approach to networking that separates the control plane from the data plane through network abstraction, resulting in a flexible, programmable and dynamic architecture compared to traditional networks. The separation of control and data planes has led to a high degree of network resilience, but has also given rise to new security risks, including the threat of distributed denial-of-service (DDoS) attacks, which pose a new challenge in the SDN environment. In this paper, the effectiveness of using machine learning algorithms to detect distributed denial-of-service (DDoS) attacks in software-defined networking (SDN) environments is investigated. Four algorithms, including Random Forest, Decision Tree, Support Vector Machine, and XGBoost, were tested on the CICDDoS2019 dataset, with the timestamp feature dropped among others. Performance was assessed by measures of accuracy, recall, accuracy, and F1 score, with the Random Forest algorithm having the highest accuracy, at 68.9%. The results indicate that ML-based detection is a more accurate and effective method for identifying DDoS attacks in SDN, despite the computational requirements of non-parametric algorithms.

研究の動機と目的

• ソフトウェア定義ネットワーキング（SDN）環境におけるDDoS攻撃の増加するセキュリティ脅威に対処すること。
• SDNアーキテクチャ内でのDDoS攻撃検出における機械学習アルゴリズムの有効性を評価すること。
• ランダムフォレスト、決定木、SVM、XGBoostといった複数のMLモデルを、実世界のDDoSデータセット上で性能比較すること。
• 計算オーバーヘッドを考慮した上で、SDNにおけるDDoS検出に最も正確かつ効率的なMLモデルを特定すること。

提案手法

• 研究では、DDoS攻撃パターンを含むラベル付きのネットワークトラフィックサンプルを含むCICDDoS2019データセットが使用された。
• 時間的バイアスを低減し、モデルの一般化能力を向上させるために、タイムスタンプ特徴量はデータセットから除外された。
• 前処理済みデータ上で、ランダムフォレスト、決定木、サポートベクターマシン、XGBoostの4つの機械学習モデルが訓練および評価された。
• 検出の有効性と頑健性を評価するため、標準的な指標である正確度、再現率、F1スコアが使用された。
• 再現可能性を確保するため、固定された乱数シードを用いた標準的なMLパイプラインでモデルが訓練およびテストされた。
• 特にXGBoostおよびランダムフォレストの性能最適化を目的として、ハイパーパramータチューニングが適用された。

実験結果

リサーチクエスチョン

• RQ1 どの機械学習モデルがSDN環境におけるDDoS攻撃の検出精度が最も高いか？
• RQ2 ランダムフォレストやXGBoostのような非パラメトリックモデルは、SVM や 決定木のような従来のモデルと比べて、DDoS検出においてどのように異なるか？
• RQ3 特にタイムスタンプの除外が、DDoS検出におけるモデル性能にどのような影響を与えるか？
• RQ4 計算リソースの要件が、SDNにおける高性能なMLモデルの実用的導入にどの程度影響を及えるか？

主な発見

• ランダムフォレストが、評価されたすべてのモデルの中で最高の検出精度68.9%を達成した。
• XGBoostは優れた性能を示したが、他のモデルと比較してより高い計算リソースを要した。
• タイムスタンプ特徴量の除外により、モデルの一般化能力が向上し、過学習のリスクが低減された。
• CICDDoS2019データセットのバランスの取れたサブセットで訓練されたすべてのモデルが、再現率およびF1スコアを向上させた。
• 中程度の正確度であったが、結果はMLベースの検出が、SDNにおけるDDoS攻撃の同定に実用的かつ効果的なアプローチであることを確認している。
• 本研究は、非パラメトリックモデルであるランダムフォレストやXGBoostが、複雑なSDNトラフィック環境下で、従来のモデルよりも優れた検出性能を示す可能性を浮き彫りにしている。