[논문 리뷰] A Novel Supervised Deep Learning Solution to Detect Distributed Denial of Service (DDoS) attacks on Edge Systems using Convolutional Neural Networks (CNN)

Vedanth Ramanathan, Krish Mahadevan외 1명|arXiv (Cornell University)|2023. 09. 11.

Network Security and Intrusion Detection인용 수 6

한 줄 요약

이 논문은 엣지 네트워크 환경에서 분산 서비스 거부(Distributed Denial of Service, DDoS) 공격을 탐지하기 위해 컨볼루션 신경망(Convolutional Neural Networks, CNNs)을 사용하는 새로운 지도 학습 기반 딥러닝 모델을 제안한다. 이 방법은 네트워크 트래픽을 고정 길이 패킷 플로우로 전처리하고, 정규화한 후, 드롭아웃과 시그모이드 활성화 함수를 적용한 맞춤형 CNN 아키텍처를 적용하여, 미리 보지 않은 테스트 데이터에서 악성 트래픽과 양성 트래픽을 분류하는 데 98.83%의 정확도를 달성한다.

ABSTRACT

Cybersecurity attacks are becoming increasingly sophisticated and pose a growing threat to individuals, and private and public sectors. Distributed Denial of Service attacks are one of the most harmful of these threats in today's internet, disrupting the availability of essential services. This project presents a novel deep learning-based approach for detecting DDoS attacks in network traffic using the industry-recognized DDoS evaluation dataset from the University of New Brunswick, which contains packet captures from real-time DDoS attacks, creating a broader and more applicable model for the real world. The algorithm employed in this study exploits the properties of Convolutional Neural Networks (CNN) and common deep learning algorithms to build a novel mitigation technique that classifies benign and malicious traffic. The proposed model preprocesses the data by extracting packet flows and normalizing them to a fixed length which is fed into a custom architecture containing layers regulating node dropout, normalization, and a sigmoid activation function to out a binary classification. This allows for the model to process the flows effectively and look for the nodes that contribute to DDoS attacks while dropping the "noise" or the distractors. The results of this study demonstrate the effectiveness of the proposed algorithm in detecting DDOS attacks, achieving an accuracy of .9883 on 2000 unseen flows in network traffic, while being scalable for any network environment.

연구 동기 및 목표

• 스케일링 가능하고 실시간으로 작동하는 탐지 메커니즘을 개발하여 엣지 시스템에서 증가하는 DDoS 공격 위협에 대응하기 위해.
• 기존의 시그니처 기반 필터링, 레이트 제한, 정적 임계값과 같은 전통적인 DDoS 탐지 방법의 한계를 극복하기 위해.
• 딥러닝을 활용하여 동적 네트워크 환경에서의 탐지 정확도와 일반화 능력을 향상시키기 위해.
• 진화하는 공격 패턴에 적응 가능한 모델을 개발하고 실제 엣지 네트워크 환경에 구현 가능한 모델을 만들기 위해.
• 실제 DDoS 데이터셋을 사용하여 미리 보지 않은 트래픽 플로우에서의 성능을 평가하여 일반화 능력과 강건성을 평가하기 위해.

제안 방법

• 모델은 원시 네트워크 트래픽을 패킷 플로우로 추출하고, 고정 길이로 정규화하여 CNN에 일관된 입력을 제공한다.
• 이진 분류를 위해 복수의 컨볼루션 레이어, 배치 정규화, 드롭아웃 정규화, 최종 시그모이드 활성화 함수를 포함한 맞춤형 CNN 아키텍처를 설계한다.
• ReLU 활성화 함수의 사용은 중요한 트래픽 패턴을 강조함으로써 특징 학습과 모델의 해석 가능성 향상에 기여한다.
• 데이터 전처리에는 플로우 길이 표준화와 노이즈 감소를 위한 팯딩 및 정규화가 포함되어 모델의 안정성과 성능 향상에 기여한다.
• 모델은 실제 DDoS 공격에서의 실시간 패킷 캡처를 포함한 뉴브런즈위버시티의 DDoS 평가 데이터셋을 기반으로 훈련된다.
• 모델 평가에는 정확도, 미리 보지 않은 플로우에서의 일반화 능력, 향후 AUC-ROC 지표를 활용한 향상된 분류 분석이 포함된다.

Figure 1: Architecture of a traditional DDoS Attack

실험 결과

연구 질문

• RQ1 실제 네트워크 트래픽 데이터를 사용하여 지도 학습 기반 CNN 모델이 엣지 시스템에서 DDoS 공격을 높은 정확도로 탐지할 수 있는가?
• RQ2 제안된 전처리 파이프라인(플로우 추출, 정규화, 패딩)이 모델의 일반화 능력과 성능 향상에 얼마나 효과적인가?
• RQ3 학습 데이터에 존재하지 않는 새로운 DDoS 공격 패턴에 대해 모델이 얼마나 잘 일반화되는가?
• RQ4 정확도, 위양성 비율, 확장성 측면에서 전통적인 DDoS 탐지 기법과 비교해 볼 때 모델의 성능은 어떠한가?
• RQ5 모델이 알려지지 않은 0-day 공격 또는 이전에 존재하지 않은 DDoS 공격 변종을 탐지하는 데 있어 핵심적인 한계는 무엇인가?

주요 결과

• 제안된 CNN 모델은 2000개의 미리 보지 않은 네트워크 트래픽 플로우에서 테스트 정확도 98.83%를 달성하여 강력한 일반화 능력과 강건성을 입증하였다.
• 배치 정규화, 드롭아웃, ReLU 활성화 함수의 통합은 모델의 안정성을 향상시키고 과적합을 감소시켰다.
• 모델은 노이즈를 제거하고 DDoS 행동에 기여하는 핵심 특징에 집중함으로써 악성 트래픽 패턴을 효과적으로 식별하였다.
• 아키텍처는 확장성과 적응 가능성을 보였으며, 엣지 시스템을 포함한 다양한 네트워크 환경에 구현하기에 적합하였다.
• 높은 정확도에도 불구하고, 학습 데이터에 알려진 공격 패턴에 의존하기 때문에 모델은 0-day 공격에 여전히 취약하다. 이는 지속적인 재학습의 필요성을 강조한다.
• 본 연구는 향후 AUC-ROC 지표의 통합을 통해 단순 정확도를 넘어서 모델의 분류 능력을 더 잘 평가할 것을 제안한다.

Figure 2: Current State of DDoS Mitigation Techniques