[논문 리뷰] LDoS attack detection method based on traffic time-frequency characteristics

Yu Fu, Xueyuan Duan외 2명|arXiv (Cornell University)|2022. 06. 01.

Network Security and Intrusion Detection인용 수 5

한 줄 요약

이 논문은 단순한 패킷 통계에서 정상 트래픽 패턴을 재구성하는 데 깊이 있는 신경망을 활용하여 네트워크 트래픽의 시간-주파수 특성을 활용하는 경량이며 실시간 LDoS 공격 탐지 방법을 제안한다. 입력 트래픽과 재구성된 시퀀스 간의 시간-주파수 도메인에서의 이질성을 식별하여 낮은 계산 오버헤드로 높은 탐지 정확도를 달성함으로써, 패킷 수준의 분석 없이 다양한 실제 네트워크 환경에서도 효과적으로 작동한다.

ABSTRACT

For the traditional denial-of-service attack detection methods have complex algorithms and high computational overhead, which are difficult to meet the demand of online detection; and the experimental environment is mostly a simulation platform, which is difficult to deploy in real network environment, we propose a real network environment-oriented LDoS attack detection method based on the time-frequency characteristics of traffic data. All the traffic data flowing through the Web server is obtained through the acquisition storage system, and the detection data set is constructed using pre-processing; the simple features of the flow fragments are used as input, and the deep neural network is used to learn the time-frequency domain features of normal traffic features and generate reconstructed sequences, and the LDoS attack is discriminated based on the differences between the reconstructed sequences and the input data in the time-frequency domain. The experimental results show that the proposed method can accurately detect the attack features in the flow fragments in a very short time and achieve high detection accuracy for complex and diverse LDoS attacks; since only the statistical features of the packets are used, there is no need to parse the packet data, which can be adapted to different network environments.

연구 동기 및 목표

• 기존의 DoS 탐지 방법이 실재 네트워크 환경에서 높은 계산 복잡도와 낮은 구현 가능성 문제를 겪는 데 기인한 한계를 해결하기 위해.
• 낮은 계산 비용으로 실시간으로 효율적으로 작동할 수 있는 탐지 접근법을 개발하기 위해.
• 패킷 수준의 검사나 복잡한 프로토콜 파싱이 필요 없이 다양한 실제 네트워크 환경에 쉽게 구현 가능하도록 하기 위해.
• 네트워크 트래픽의 시간-주파수 도메인 특성을 활용하여 저속도 및 저강도 DoS(LDoS) 공격을 향상된 성능으로 탐지하기 위해.
• 모의 환경에 의존하지 않고 실제 트래픽 데이터를 기반으로 실용적인 탐지 시스템을 구축하기 위해.

제안 방법

• 웹 서버에서 수집 및 저장 시스템을 통해 트래픽 데이터를 확보하여 탐지 데이터셋의 기초를 마련한다.
• 심층 패킷 검사 없이도 흐름 조각으로부터 간단한 통계적 특징(예: 도착 간격, 패킷 크기 등)을 추출하기 위해 사전 처리를 적용한다.
• 정상 트래픽의 시간-주파수 도메인 패턴을 학습하고 이러한 특징에서 입력 시퀀스를 재구성하기 위해 깊이 있는 신경망을 훈련시킨다.
• 재구성된 시퀀스를 원본 입력과 시간-주파수 도메인에서 비교하여 LDoS 공격의 징후가 되는 이질성을 탐지한다.
• 탐지 메커니즘은 시간-주파수 공간에서 입력 신호와 재구성된 신호 간의 발산에 기반하며, 미세한 LDoS 패턴을 식별한다.
• 프로토콜에 특화된 세부 정보가 아닌 기본적인 통계적 특징에 의존하므로 다양한 네트워크 환경에 적응 가능한 방법으로 설계되어 있다.

실험 결과

연구 질문

• RQ1 시간-주파수 특성에 기반한 경량 탐지 방법이 실제 네트워크 트래픽에서 LDoS 공격을 효과적으로 식별할 수 있는가?
• RQ2 기존 방법과 비교해 볼 때 제안된 방법은 탐지 정확도와 계산 효율성 측면에서 어떤 성능을 보이는가?
• RQ3 프로토콜에 특화된 튜닝 없이도 다양한 실제 네트워크 환경에 얼마나 잘 일반화되는가?
• RQ4 간단한 패킷 통계의 시간-주파수 도메인 분석이 기존 방법보다 저속도 및 저강도 DoS 공격 탐지에 뛰어난 성능을 보일 수 있는가?
• RQ5 시간-주파수 도메인에서의 모델 재구성 능력이 LDoS에 대한 이상 탐지 성능을 어떻게 향상시키는가?

주요 결과

• 제안된 방법은 패킷의 기본 통계적 특징만을 사용하여 복잡하고 다양한 LDoS 공격에 대해 높은 탐지 정확도를 달성한다.
• 낮은 계산 오버헤드로 작동하여 실제 운영 환경에서 실시간 온라인 탐지에 적합하다.
• 심층 패킷 검사를 피하기 때문에 다양한 네트워크 환경 및 프로토콜에 적응 가능하다.
• 입력 시퀀스와 재구성된 시퀀스 간의 시간-주파수 도메인 비교가 미세한 LDoS 공격 패턴을 효과적으로 포착한다.
• 많은 이전 방법들이 시뮬레이션 플랫폼에 의존하는 것과는 달리, 실제 네트워크 조건에서 뛰어난 성능을 보인다.
• 정상 트래픽 패턴을 재구성할 수 있는 모델의 능력 덕분에 스펙트럼의 이질성에 기반해 LDoS 공격을 정밀하게 식별할 수 있다.