[論文レビュー] LDoS attack detection method based on traffic time-frequency characteristics

Yu Fu, Xueyuan Duan+2 more|arXiv (Cornell University)|Jun 1, 2022

Network Security and Intrusion Detection被引用数 5

ひとこと要約

本稿では、単純なパケット統計から正常なトラフィックパターンを再構築するための深層ニューラルネットワークを用いて、ネットワークトラフィックの時間周波数特性を活用する軽量でリアルタイムなLDoS攻撃検出手法を提案する。この手法は、時間周波数ドメインにおける入力トラフィックと再構築されたシーケンスの乖離を特定することで、パケットレベルの解析を必要とせず多様な実世界のネットワーク環境でも効果的に検出が可能であり、高い検出精度と低い計算オーバーヘッドを達成する。

ABSTRACT

For the traditional denial-of-service attack detection methods have complex algorithms and high computational overhead, which are difficult to meet the demand of online detection; and the experimental environment is mostly a simulation platform, which is difficult to deploy in real network environment, we propose a real network environment-oriented LDoS attack detection method based on the time-frequency characteristics of traffic data. All the traffic data flowing through the Web server is obtained through the acquisition storage system, and the detection data set is constructed using pre-processing; the simple features of the flow fragments are used as input, and the deep neural network is used to learn the time-frequency domain features of normal traffic features and generate reconstructed sequences, and the LDoS attack is discriminated based on the differences between the reconstructed sequences and the input data in the time-frequency domain. The experimental results show that the proposed method can accurately detect the attack features in the flow fragments in a very short time and achieve high detection accuracy for complex and diverse LDoS attacks; since only the statistical features of the packets are used, there is no need to parse the packet data, which can be adapted to different network environments.

研究の動機と目的

• 従来のDoS検出手法には、高い計算複雑性と実ネットワークにおける導入困難さの問題があるため、これを解消すること。
• 最小限の計算コストでリアルタイムに効率的に動作する検出アプローチを開発すること。
• パケットレベルの監視や複雑なプロトコル解析を必要とせず、多様な実世界のネットワーク環境に展開可能であること。
• ネットワークトラフィックの時間周波数ドメイン特徴を活用して、低速度・低帯域DoS（LDoS）攻撃の検出を向上させること。
• シミュレーション環境に依存せず、実際のトラフィックデータを用いて実用的な検出システムを構築すること。

提案手法

• Webサーバーから収集・保存されたトラフィックデータを用いて、検出用データセットを構築する。
• パケットの到着間隔やパケットサイズなどの単純な統計的特徴を、ディープパケットインスペクションを伴わずに抽出するための前処理を実施する。
• 深層ニューラルネットワークを用いて、正常トラフィックの時間周波数ドメインパターンを学習し、これらの特徴から入力シーケンスを再構築する。
• 再構築されたシーケンスと元の入力との時間周波数ドメインにおける比較を通じて、LDoS攻撃を示す異常を検出する。
• 検出メカニズムは、時間周波数空間における入力信号と再構築信号の乖離に基づくものであり、微細なLDoSパターンを特定可能である。
• プロトコル固有の詳細ではなく基本的な統計的特徴に依存しているため、さまざまなネットワーク環境に適応可能である。

実験結果

リサーチクエスチョン

• RQ1 時間周波数特徴に基づく軽量な検出手法は、実ネットワークトラフィックにおけるLDoS攻撃を効果的に同定できるか？
• RQ2 従来の手法と比較して、提案手法の検出精度と計算効率はどの程度か？
• RQ3 プロトコル固有のチューニングを必要とせず、さまざまな実世界のネットワーク環境にどの程度一般化可能か？
• RQ4 単純なパケット統計の時間周波数ドメイン分析は、従来の手法を上回って低速度・低帯域DoS攻撃を検出できるか？
• RQ5 時間周波数ドメインにおけるモデルの再構築能力は、LDoSの異常検出をどのように向上させるか？

主な発見

• 本手法は、パケットの基本的統計的特徴のみを用いても、複雑で多様なLDoS攻撃に対して高い検出精度を達成する。
• 計算オーバーヘッドが低いため、本番環境におけるリアルタイムオンライン検出に適している。
• ディープパケットインスペクションを回避しているため、さまざまなネットワーク環境やプロトコルに適応可能である。
• 入力シーケンスと再構築シーケンスの時間周波数ドメイン比較により、微細なLDoS攻撃パターンを効果的に捉えることができる。
• 多くの先行手法がシミュレーションプラットフォームに依存するのに対し、本手法は実ネットワーク環境でも優れた性能を示す。
• 正常トラフィックパターンの再構築能力のおかげで、スペクトルのずれに基づくLDoS攻撃の精密な識別が可能となる。