[논문 리뷰] Correlation-Aware Neural Networks for DDoS Attack Detection In IoT Systems

Arvin Hekmati, Nishant Jethwa외 2명|arXiv (Cornell University)|2023. 02. 15.

Network Security and Intrusion Detection인용 수 5

한 줄 요약

이 논문은 공격자가 정상 트래픽을 모방하여 탐지에서 벗어나도록 설계된 정교한 DDoS 공격을 탐지하기 위해 상관관계 인식 신경망 아키텍처를 제안한다. LSTM 및 트랜스포머 모델을 노드 간 상관관계 정보와 함께 활용함으로써, 이 방법은 비상관관계 기반 모델보다 유의하게 뛰어난 81%의 F1 스코어를 달성하였으며, 특히 가림 공격 상황에서 뛰어난 성능을 보였다.

ABSTRACT

We present a comprehensive study on applying machine learning to detect distributed Denial of service (DDoS) attacks using large-scale Internet of Things (IoT) systems. While prior works and existing DDoS attacks have largely focused on individual nodes transmitting packets at a high volume, we investigate more sophisticated futuristic attacks that use large numbers of IoT devices and camouflage their attack by having each node transmit at a volume typical of benign traffic. We introduce new correlation-aware architectures that take into account the correlation of traffic across IoT nodes, and we also compare the effectiveness of centralized and distributed detection models. We extensively analyze the proposed architectures by evaluating five different neural network models trained on a dataset derived from a 4060-node real-world IoT system. We observe that long short-term memory (LSTM) and a transformer-based model, in conjunction with the architectures that use correlation information of the IoT nodes, provide higher performance (in terms of F1 score and binary accuracy) than the other models and architectures, especially when the attacker camouflages itself by following benign traffic distribution on each transmitting node. For instance, by using the LSTM model, the distributed correlation-aware architecture gives 81% F1 score for the attacker that camouflages their attack with benign traffic as compared to 35% for the architecture that does not use correlation information. We also investigate the performance of heuristics for selecting a subset of nodes to share their data for correlation-aware architectures to meet resource constraints.

연구 동기 및 목표

• 수천 대의 손상된 디바이스를 동원해 타겟을 폭주시키는 대규모 IoT 시스템 내에서 증가하는 DDoS 공격 위협을 해결한다.
• 기존 탐지 방법의 한계를 극복한다. 기존 방법은 고체적 트래픽 급증에 의존하나, 은폐된 공격에는 실패한다.
• 개별 노드의 행동이 아닌 상호 노드 간 트래픽 패턴을 분석함으로써 공격을 탐지하는 상관관계 인식 신경망 아키텍처를 개발한다.
• 최적의 노드 서브셋을 선정하여 상관관계 기반 학습에 활용함으로써 탐지 성능과 자원 제약 조건 간의 상호 상충 관계를 평가한다.
• 공격자가 정상 트래픽 행동을 모방할 경우, 상관관계 인식 모델이 탐지 정확도를 크게 향상시킨다는 것을 입증한다.

제안 방법

• 실제 4060개 노드를 포함한 IoT 데이터셋을 사용하며, 정상 트래픽 및 DDoS 트래픽을 단절된 코시 분포를 활용해 시뮬레이션하여 현실적인 공격 패턴을 재현한다.
• 네 가지 새로운 신경망 아키텍처를 설계한다: MM-WC(중앙집중식, 상관관계 포함), MM-NC(중앙집중식, 상관관계 미포함), OM-WC(분산식, 상관관계 포함), OM-NC(분산식, 상관관계 미포함).
• 성능 차이를 평가하기 위해 이 아키텍처들에 대해 다섯 가지 신경망 모델(MLP, CNN, LSTM, 트랜스포머(TRF), 오토에인코더(AEN))을 학습하고 평가한다.
• 최소한의 노드 서브셋을 선정하여 탐지 정확도를 유지할 수 있도록 히우리스틱 노드 선택 방법(피어슨 상관계수, SHAP, 최근접 이웃, 무작위 선택)을 적용한다.
• 노드를 피어슨 상관계수로 순위를 매기고, 성능 저하를 최소화하면서 자원 제약 조건 하에서 가장 정보성 높은 서브셋을 선정한다.
• 다양한 공격 강도(매개변수 k로 파arameterized)에 따라 표준 지표를 사용해 모델 성능을 평가한다: F1 스코어, 이진 정확도, AUC, ROC 곡선.

실험 결과

연구 질문

• RQ1 개별 노드를 독립적으로 분석하는 전통적 모델과 비교해, 상관관계 인식 신경망 아키텍처는 DDoS 공격을 더 효과적으로 탐지할 수 있는가?
• RQ2 LSTM, 트랜스포머 등 다양한 신경망 모델의 성능은 상관관계 인식 아키텍처와 비상관관계 인식 아키텍처에서 어떻게 달라지는가?
• RQ3 상관관계 분석에 사용되는 IoT 노드 서브셋을 사용할 경우 성능에 어떤 영향을 미치며, 노드 선택 히우리스틱 중 어느 것이 탐지 정확도를 가장 잘 유지하는가?
• RQ4 각 노드가 정상 트래픽과 구분되지 않을 정도로 트래픽량을 낮게 유지하는 가림 DDoS 공격 상황에서 상관관계 인식 모델은 얼마나 효과적인가?
• RQ5 분산 탐지 아키텍처는 중앙 시스템의 통신 및 계산 부담을 줄이면서도 높은 성능을 유지할 수 있는가?

주요 결과

• MM-WC(중앙집중식, 상관관계 인식) 아키텍처를 사용한 LSTM 모델은 가림 DDoS 공격 탐지에서 81%의 F1 스코어를 기록했으며, 비상관관계 인식 버전은 단지 35%에 그쳤다.
• 트랜스포머 기반(TRF) 모델과 OM-WC(분산식, 상관관계 인식) 아키텍처 조합도 다른 모델-아키텍처 조합보다 뛰어난 성능을 보였다.
• 피어슨 상관계수를 활용해 학습용 노드 서브셋을 선정함으로써, 모든 노드를 사용한 경우 대비 F1 스코어 저하를 최대 5%까지 줄일 수 있었으며, SHAP 및 최근접 이웃 방법보다 뛰어난 성능을 보였다.
• 상관관계 데이터를 일부 노드에서만 사용할 경우 상관관계 인식 모델의 성능 저하가 매우 미미하게(최대 5%) 발생하여 자원 제약 조건 하에서도 확장 가능함을 시사한다.
• 노드 선택 히우리스틱 중 최근접 이웃 방법이 가장 열 劣한 성능을 보였으며, 이는 통계적 상관관계가 거리 기반 선택보다 중요하다는 것을 강조한다.
• 제안된 상관관계 인식 모델은 기존 방법이 볼륨 기반 이질성을 보이지 않는 저신호, 가림 공격 상황에서 탐지 성능을 크게 향상시킨다.