[論文レビュー] Holmes: An Evidence-Grounded LLM Agent for Auditable DDoS Investigation in Cloud Networks

Haodong Chen, Z. H. Zhang+3 more|arXiv (Cornell University)|Jan 21, 2026

Network Security and Intrusion Detection被引用数 0

ひとこと要約

Holmes は LLM を Virtual SRE に再構成し、階層的・オンデマンドのワークフローと Evidence Pack を用いたクラウドネットワークにおける監査可能で証拠ベースの DDoS 調査を実施する。

ABSTRACT

Cloud environments face frequent DDoS threats due to centralized resources and broad attack surfaces. Modern cloud-native DDoS attacks further evolve rapidly and often blend multi-vector strategies, creating an operational dilemma: defenders need wire-speed monitoring while also requiring explainable, auditable attribution for response. Existing rule-based and supervised-learning approaches typically output black-box scores or labels, provide limited evidence chains, and generalize poorly to unseen attack variants; meanwhile, high-quality labeled data is often difficult to obtain in cloud settings. We present Holmes (DDoS Detective), an LLM-based DDoS detection agent that reframes the model as a virtual SRE investigator rather than an end-to-end classifier. Holmes couples a funnel-like hierarchical workflow (counters/sFlow for continuous sensing and triage; PCAP evidence collection triggered only on anomaly windows) with an Evidence Pack abstraction that converts binary packets into compact, reproducible, high-signal structured evidence. On top of this evidence interface, Holmes enforces a structure-first investigation protocol and strict JSON/quotation constraints to produce machine-consumable reports with auditable evidence anchors. We evaluate Holmes on CICDDoS2019 reflection/amplification attacks and script-triggered flooding scenarios. Results show that Holmes produces attribution decisions grounded in salient evidence anchors across diverse attack families, and when errors occur, its audit logs make the failure source easy to localize, demonstrating the practicality of an LLM agent for cost-controlled and traceable DDoS investigation in cloud operations.

研究の動機と目的

• 従来の ML ベース DDoS 検出器がクラウド環境で抱える説明性の欠如、監査可能な証拠の不足、一般化の poor を是正する。
• ワイヤースピードの監視と高コストな深い分析を分離するオンデマンドの階層的ワークフローを提案する。
• LLM の推論のために二進トラフィックを高信号・引用可能な証拠へ変換する Evidence Pack を導入する。
• 監査可能な事案報告のために厳密な JSON 出力と引用制約を備えた証拠ベースの構造優先推論プロセスを強制する。

提案手法

• 連続的なテレメトリ（L1）、軽量なトリアージ（L2）、オンデマンド調査（L3）を分離する漏斗状の階層的ワークフローを実装する。
• 代表的なバイナリパケットを圧縮された意味的アンカー（PRIMARY サンプル）として統合し、LLM 消費用の Evidence Pack を開発する。
• 検証可能で監査可能な結論を保証する引用ルールと厳密な JSON スキーマを備えた証拠ベースの推論プロトコルを作成する。
• ルート1 の構造優先手順と厳密な JSON 出力形式を持つ invariant を含む Prompt Contract でエージェントの挙動をエンコードする。
• 異常コンテキスト、トリアージ結果、Evidence Pack、エージェント出力を記録する監査ログシステムを統合して事案レビューを可能にする。

実験結果

リサーチクエスチョン

• RQ1 ワイヤースピード監視とオンデマンドの深い推論を予算と遅延制約の中で実行できる LLM ベースの DDoS 調査者はどう機能するか？
• RQ2 証拠ベースで引用制約のある LLM ワークフローはクラウドネットワークの多様な DDoS 攻撃ファミリに対する監査可能な帰属を生み出せるか？
• RQ3 意味的 Evidence Pack は Operational な設定においてバイナリトラフィックデータと意味論的推論を効果的に橋渡しできるか？
• RQ4 構造優先・証拠ベースの LLM エージェントの DDoS 調査における制約と故障モードは何か？

主な発見

• 階層的ワークフローにより、クラウド環境でワイヤースピード監視を犠牲にすることなくオンデマンドの深い調査が可能になる。
• Evidence Packs はバイナリ PCAP データを圧縮された観察可能なアンカーへ変換し、監査可能で引用基地の帰属を支持する。
• 引用ルールと厳密な JSON スキーマは非忠実な推論を抑制し、事案報告の監査可能性を向上させる。
• CICDDoS2019 のリフレクション/増幅および合成フラッドでの実験は、エージェントが多様な攻撃を追跡可能な証拠アンカーとともに帰属できることを示す。
• 監査ログは故障源や誤帰属を容易に局所化できることを示し、実用的なデプロイ性と観測性の利点を実証する。