[論文レビュー] Early Signals from Volumetric DDoS Attacks: An Empirical Study

Michele Nogueira, Augusto Santos+1 more|arXiv (Cornell University)|Sep 30, 2016

Network Security and Intrusion Detection参考文献 15被引用数 3

ひとこと要約

本論文では、ボリュメトリックDDoS攻撃の発生前にその傾向を予測するために、パrameterフリーの先行指標（リターンレート、自己相関、変動係数、歪度）の使用を提案する。実際のCAIDAデータセットのトレースを分析した結果、攻撃開始の22分前までに、これらの指標が重要な遷移行動を示すことが判明し、ネットワークの破壊的変化に対する早期警告が可能であることが示された。

ABSTRACT

Distributed Denial of Service (DDoS) is a common type of Cybercrime. It can strongly damage a company reputation and increase its costs. Attackers improve continuously their strategies. They doubled the amount of unleashed communication requests in volume, size, and frequency in the last few years. This occurs against different hosts, causing resource exhaustion. Previous studies focused on detecting or mitigating ongoing DDoS attacks. Yet, addressing DDoS attacks when they are already in place may be too late. In this article, we consider network resilience by early prediction of attack trends. We show empirically the advantage of using non-parametric leading indicators for early prediction of volumetric DDoS attacks. We report promising results over a real dataset from CAIDA. Our results raise new questions and opportunities for further research in early predicting trends of DDoS attacks.

研究の動機と目的

• 攻撃開始後にのみ反応する既存のDDoS検出および対策システムの限界を是正すること。
• パrameterフリーの先行指標が、攻撃発生の前触れとして、ボリュメトリックDDoS攻撃の発生を予測できるかどうかを検討すること。
• 破壊的DDoSイベントの前段階で、メタ安定性関連の行動が実際に存在することを実証的に検証すること。
• 攻撃傾向の一般的な早期警告シグネチャーを特定することで、能動的防御メカニズムの基盤を提供すること。

提案手法

• CAIDA UCSD DDoS 2007データセットのtcpdumpトレースから、パケットサイズの時系列データを抽出し、攻撃および準備段階に焦点を当てる。
• スライディングウインドウを用いて、時系列データの4つのパラメータフリーの先行指標（リターンレート、ラグ1自己相関、変動係数、歪度）を計算する。
• ネットワーク状態における臨界的遷移に関連する特徴的な行動を検出するために、これらの指標の時間的変化を分析する。
• 攻撃発生前に、リターンレートの低下と自己相関、分散、歪度の上昇というメタ安定性に類似したパターンを同定する。
• 準備段階、攻撃段階、攻撃後段階における指標行動を比較するため、実証的分析を実施する。
• 実際に攻撃が開始された時刻に対して、これらの行動的シフトのタイミングを評価し、早期予測の可能性を検証する。

実験結果

リサーチクエスチョン

• RQ1 ネットワークトラフィック時系列から導出された先行指標は、ボリュメトリックDDoS攻撃の発生前兆候を検出できるか？
• RQ2 リターンレートの低下や自己相関の上昇といった、メタ安定性の特徴的行動は、攻撃開始前に現れるか？
• RQ3 これらの指標は、DDoS攻撃による破壊的ネットワーク遷移の発生をどの程度前もってシグナルすることができるか？
• RQ4 これらの指標は、攻撃が完全に開始される前段階でも有効か？
• RQ5 これらの一般的な指標は、能動的DDoS早期警告システムの基盤として機能できるか？

主な発見

• リターンレート、自己相関、変動係数、歪度の先行指標が、DDoS攻撃開始の22分前までに、臨界的遷移の特徴的行動を示した。
• 準備段階の20:51および20:52に、リターンレートの顕著な低下と、自己相関、変動係数、歪度の上昇が観測された。
• これらの行動的シフトは、攻撃の正確な開始時刻には現れず、警告信号が準備段階に現れることが示された。
• 本研究では、破壊的DDoSイベント発生前に、ネットワークトラフィックにおけるメタ安定性関連のパターンを検出できることを確認した。
• 指標は準備段階で一貫性があり、検出可能な変化を示しており、早期予測の可能性を示唆している。
• 結果から、パラメータフリーで一般的な指標が、ボリュメトリックDDoS攻撃の信頼できる早期警告シグナルとして機能できることを示唆している。