[논문 리뷰] Detection of DDoS Attacks in Software Defined Networking Using Machine Learning Models

Ahmad Hamarshe, Huthaifa I. Ashqar외 1명|arXiv (Cornell University)|2023. 03. 11.

Software-Defined Networks and 5G인용 수 4

한 줄 요약

이 논문은 소프트웨어 정의 네트워킹(SDN) 환경에서 DDoS 공격을 탐지하기 위해 랜덤 포레스트, 결정 트리, 서포트 벡터 머신, XGBoost 등의 기계학습 모델을 평가한다. CICDDoS2019 데이터셋을 사용한 결과, 랜덤 포레스트가 68.9%의 최고 정확도를 기록하여, 계산 비용을 감안할지라도 기계학습 기반 탐지가 효과적임을 입증하며, SDN 보안을 향상시키는 데 유망한 접근 방식임을 보여준다.

ABSTRACT

The concept of Software Defined Networking (SDN) represents a modern approach to networking that separates the control plane from the data plane through network abstraction, resulting in a flexible, programmable and dynamic architecture compared to traditional networks. The separation of control and data planes has led to a high degree of network resilience, but has also given rise to new security risks, including the threat of distributed denial-of-service (DDoS) attacks, which pose a new challenge in the SDN environment. In this paper, the effectiveness of using machine learning algorithms to detect distributed denial-of-service (DDoS) attacks in software-defined networking (SDN) environments is investigated. Four algorithms, including Random Forest, Decision Tree, Support Vector Machine, and XGBoost, were tested on the CICDDoS2019 dataset, with the timestamp feature dropped among others. Performance was assessed by measures of accuracy, recall, accuracy, and F1 score, with the Random Forest algorithm having the highest accuracy, at 68.9%. The results indicate that ML-based detection is a more accurate and effective method for identifying DDoS attacks in SDN, despite the computational requirements of non-parametric algorithms.

연구 동기 및 목표

• 소프트웨어 정의 네트워킹(SDN) 환경에서 증가하는 DDoS 공격 위협을 해결하기 위해.
• SDN 아키텍처 내에서 DDoS 공격을 탐지하는 데 기계학습 알고리즘이 얼마나 효과적인지 평가하기 위해.
• 실제 세계의 DDoS 데이터셋을 기반으로 랜덤 포레스트, 결정 트리, 서포트 벡터 머신, XGBoost 등의 다양한 기계학습 모델의 성능을 비교하기 위해.
• 계산 오버헤드를 고려하면서도 SDN 내 DDoS 탐지에 가장 정확하고 효율적인 기계학습 모델을 특정하기 위해.

제안 방법

• 연구는 DDoS 공격 패턴을 포함한 레이블이 부여된 네트워크 트래픽 샘플을 포함하는 CICDDoS2019 데이터셋을 사용한다.
• 시간대 특성을 제거하여 시간적 편향을 줄이고 모델의 일반화 능력을 향상시킨다.
• 사전 처리된 데이터에 대해 랜덤 포레스트, 결정 트리, 서포트 벡터 머신, XGBoost의 네 가지 기계학습 모델을 훈련하고 평가한다.
• 정확도, 재현율, F1 점수와 같은 표준 지표를 사용하여 탐지 효과성과 강건성을 평가한다.
• 재현 가능성을 확보하기 위해 고정된 랜덤 시드를 사용한 표준 기계학습 파이프라인을 통해 모델을 훈련하고 테스트한다.
• 특히 XGBoost와 랜덤 포레스트의 성능을 최적화하기 위해 초모수 튜닝을 적용한다.

실험 결과

연구 질문

• RQ1 SDN 환경에서 DDoS 공격을 탐지하는 데 가장 높은 정확도를 기록하는 기계학습 모델은 무엇인가?
• RQ2 랜덤 포레스트와 XGBoost와 같은 비모수적 모델은 SVM과 결정 트리와 같은 전통적 모델에 비해 DDoS 탐지에서 어떻게 비교되는가?
• RQ3 특성 선택, 특히 시간대 특성 제거가 DDoS 탐지에서 모델 성능에 어떤 영향을 미치는가?
• RQ4 계산 요구 사항이 SDN 환경에서 고성능 기계학습 모델의 실용적 구현에 얼마나 큰 영향을 미치는가?

주요 결과

• 모든 평가된 모델 중 랜덤 포레스트가 가장 높은 탐지 정확도 68.9%를 기록하였다.
• XGBoost는 뛰어난 성능를 보였지만, 다른 모델에 비해 더 높은 계산 자원을 요구하였다.
• 시간대 특성 제거가 모델의 일반화 능력을 향상시키고 과적합 위험을 감소시켰다.
• 모든 모델가 CICDDoS2019 데이터셋의 균형 잡힌 서브셋을 기반으로 훈련할 경우 재현율과 F1 점수가 향상되었다.
• 중간 정도의 정확도를 기록했음에도 불구하고, 결과는 기계학습 기반 탐지가 SDN 내 DDoS 공격을 식별하는 데 실현 가능하고 효과적인 접근 방식임을 확인한다.
• 본 연구는 비모수적 모델인 랜덤 포레스트와 XGBoost가 복잡한 SDN 트래픽 환경에서 전통적 모델보다 더 뛰어난 탐지 성능을 제공함을 강조한다.