[論文レビュー] ORACLE: Collaboration of Data and Control Planes to Detect DDoS Attacks

Sebastián Gómez Macías, Luciano Paschoal Gaspary+1 more|arXiv (Cornell University)|Sep 22, 2020

Network Security and Intrusion Detection参考文献 8被引用数 8

ひとこと要約

ORACLE は、データプレーンにフロー特徴抽出と処理を委譲する SDN/P4 アーキテクチャを提案し、DDoS 検出のための高粒度なインラインフロー特徴計算を可能にした。コントロールプレーンからの特徴計算のオフロードにより、K-Nearest Neighbor を用いて最大 96% の検出精度を達成し、コントローラ負荷を低減するとともに OpenFlow の制限を克服した。

ABSTRACT

The possibility of programming the control and data planes, enabled by the Software-Defined Networking (SDN) paradigm, represents a fertile ground on top of which novel operation and management mechanisms can be fully explored, being Distributed Denial of Service (DDoS) attack detection based on machine learning techniques the focus of this work. To carry out the detection, this paper proposes ORACLE: cOllaboRation of dAta and Control pLanEs to detect DDoS attacks, an architecture that promotes the coordination of control and data planes to detect network attacks. As its first contribution, this architecture delegates to the data plane the extraction and processing of traffic information collected per flow. This is done in order to ease the calculation and classification of the feature set used in the attack detection, as the needed flow information is already processed when it arrives at the control plane. Besides, as the second contribution, this architecture breaks the limitations to calculate some features that are not possible to implement in a traditional OpenFlow-based environment. In the evaluation of ORACLE, we obtained up to 96% of accuracy in the testing phase, using a K-Nearest Neighbor model.

研究の動機と目的

• 機械学習ベースの DDoS 検出システムにおけるコントロールプレーンの過負荷を軽減するため、特徴処理をデータプレーンにオフロードすること。
• 従来の OpenFlow が攻撃検出のための細粒度でインラインフローのトラフィック特徴を計算するのを制限する点を克服すること。
• プログラマブルデータプレーンを活用して、機械学習モデル向けにリアルタイムで高精度な特徴抽出を可能にすること。
• コントロールプレーンとデータプレーンの間で協調するフレームワークを設計し、検出精度の向上と遅延の低減を実現すること。
• 従来の SDN 環境では達成できなかったインラインフロー特徴を用いた DDoS 攻撃検出の実現可能性を示すこと。

提案手法

• データプレーンは、到着間隔時間やパケットシーケンス情報などを含む、フローごとのトラフィック統計を格納するハッシュベースのデータ構造を P4 で実装する。
• 周期的なレポートメカニズムにより、データプレーンからコントロールプレーンへ、設定可能な間隔（5秒から60秒）で処理済みのフローデータが送信される。
• コントロールプレーンはフローレポートを受信し集約し、到着間隔時間の分散やパケットシーケンスパターンなどのインラインフローレベル特徴を含む包括的な特徴セットを計算する。
• 機械学習モデル（K-Nearest Neighbor および Random Forest）は、特徴セットを用いてフローを健全または DDoS として分類するように学習される。
• 制御プレーンとプログラマブルスイッチ間の通信には P4Runtime が使用され、動的設定とデータ取得を可能にする。
• 特徴計算には、到着間隔時間の平均、標準偏差、変動係数といったメトリクスが含まれるが、これらは標準的な OpenFlow では実現不可能である。

実験結果

リサーチクエスチョン

• RQ1 特徴抽出をデータプレーンにオフロードすることで、機械学習ベースの DDoS 検出におけるコントロールプレーンのオーバーヘッドを低減できるか？
• RQ2 SDN/P4 環境におけるプログラマブルデータプレーンは、攻撃検出のための細粒度なインラインフロー特徴の計算を可能にするか？
• RQ3 データプレーン支援の検出システムにおいて、異なる時間ウィンドウ期間での機械学習モデルの検出精度はどのように変化するか？
• RQ4 協調的コントロール-データプレーンアーキテクチャにおいて、検出精度、誤検出率、検出遅延のトレードオフはどのようなものか？
• RQ5 提案アーキテクチャは、従来のコントロールプレーンオンリーアプローチよりも高い精度で DDoS 攻撃を検出できるか？

主な発見

• K-Nearest Neighbor モデルは 60 秒の時間ウィンドウで 96% の最高検出精度を達成し、Random Forest モデルを上回った。
• 40 秒の時間ウィンドウでは、KNN モデル M7 が F1 スコア 0.962 を達成し、リコール 97.0%、セレクティビティ 96.7% を示しており、偽陰性および偽陽性が低く抑えられていることを示した。
• 60 秒のウィンドウで学習した Random Forest モデル M4 は F1 スコア 95.9% を達成し、リコール 96.3%、セレクティビティ 94.1% を示し、中程度の誤検出率で優れた性能を発揮した。
• すべての時間ウィンドウにおいて、すべてのモデルの検出精度が 93% を超えており、60 秒で最も高い精度が得られたが、これには高い検出遅延が伴う。
• KNN モデルは、すべての時間ウィンドウで Random Forest よりも一貫して高い精度を示し、最大で 1.2% の精度差を示した。
• 本システムは、プログラマブルなデータプレーンを介して、到着間隔時間の分散といったインラインフロー特徴を効果的に抽出・機械学習モデルに利用できることを示した。これにより、OpenFlow の制限を克服した。