[논문 리뷰] ORACLE: Collaboration of Data and Control Planes to Detect DDoS Attacks

Sebastián Gómez Macías, Luciano Paschoal Gaspary외 1명|arXiv (Cornell University)|2020. 09. 22.

Network Security and Intrusion Detection참고 문헌 8인용 수 8

한 줄 요약

ORACLE는 SDN/P4 기반 아키텍처를 제안하여 데이터 플레인으로 흐름 기능 추출 및 처리를 위임함으로써 DDoS 탐지에 대한 고해상도 내흐름 기능 계산을 가능하게 한다. 제어 플레인에서 기능 계산을 오프로드함으로써 K-Nearest Neighbor를 사용해 최대 96%의 정확도를 달성하며, 컨트롤러 부하를 감소시키고 OpenFlow의 한계를 극복한다.

ABSTRACT

The possibility of programming the control and data planes, enabled by the Software-Defined Networking (SDN) paradigm, represents a fertile ground on top of which novel operation and management mechanisms can be fully explored, being Distributed Denial of Service (DDoS) attack detection based on machine learning techniques the focus of this work. To carry out the detection, this paper proposes ORACLE: cOllaboRation of dAta and Control pLanEs to detect DDoS attacks, an architecture that promotes the coordination of control and data planes to detect network attacks. As its first contribution, this architecture delegates to the data plane the extraction and processing of traffic information collected per flow. This is done in order to ease the calculation and classification of the feature set used in the attack detection, as the needed flow information is already processed when it arrives at the control plane. Besides, as the second contribution, this architecture breaks the limitations to calculate some features that are not possible to implement in a traditional OpenFlow-based environment. In the evaluation of ORACLE, we obtained up to 96% of accuracy in the testing phase, using a K-Nearest Neighbor model.

연구 동기 및 목표

• 기계학습 기반 DDoS 탐지 시스템에서 제어 플레인 오버헤드 문제를 해결하기 위해 기능 처리를 데이터 플레인으로 오프로드하는 것.
• 전통적인 OpenFlow가 공격 탐지에 적합한 세밀한 내흐름 트래픽 기능을 계산하는 데에 한계를 가지는 문제를 해결하는 것.
• 프로그래밍 가능한 데이터 플레인을 활용해 기계학습 모델을 위한 실시간 고정밀도 기능 추출을 가능하게 하는 것.
• 제어 플레인과 데이터 플레인 간의 협업 프레임워크를 설계하여 탐지 정확도를 향상시키고 지연을 감소시키는 것.
• 기존 표준 SDN 환경에서 구현이 어려웠던 내흐름 기반 기능을 활용한 DDoS 공격 탐지의 가능성을 입증하는 것.

제안 방법

• 데이터 플레인은 흐름 기반 트래픽 통계(인터어라이벌 시간 및 패킷 순서 정보 포함)를 저장하는 해시 기반 데이터 구조를 P4로 구현한다.
• 주기적인 보고 메커니즘을 통해 데이터 플레인에서 제어 플레인으로 유동 데이터를 구성 가능한 간격(5초에서 60초)으로 보고한다.
• 제어 플레인은 유동 보고를 수신하고 집계하여 내흐름 수준 기능(예: 인터어라이벌 시간 분산 및 패킷 순서 패턴 포함)을 포함한 종합적인 기능 세트를 계산한다.
• 기계학습 모델(K-Nearest Neighbor 및 Random Forest)은 기능 세트를 기반으로 유동을 정상 또는 DDoS로 분류하도록 훈련된다.
• 제어 플레인과 프로그래밍 가능한 스위치 간의 통신을 위해 P4Runtime를 사용하여 동적 구성 및 데이터 검색을 가능하게 한다.
• 기능 계산에는 인터어라이벌 시간의 평균, 표준편차, 변동계수 등의 지표가 포함되며, 이는 표준 OpenFlow에서는 구현이 불가능하다.

실험 결과

연구 질문

• RQ1 기능 추출을 데이터 플레인으로 오프로드하면 기계학습 기반 DDoS 탐지 시스템에서 제어 플레인 오버헤드를 줄일 수 있는가?
• RQ2 SDN/P4 환경에서 프로그래밍 가능한 데이터 플레인은 공격 탐지에 적합한 세밀한 내흐름 기능 계산을 가능하게 하는가?
• RQ3 데이터 플레인 지원 탐지 시스템에서 다양한 시간 윈도우 지속 시간에 따라 기계학습 모델의 탐지 정확도는 어떻게 변화하는가?
• RQ4 협업형 제어-데이터 플레인 아키텍처에서 탐지 정확도, 거짓 경고율, 탐지 지연 간의 상호 트레이드오프는 어떠한가?
• RQ5 제안된 아키텍처는 기존의 제어 플레인 전용 접근 방식보다 더 높은 정확도로 DDoS 공격을 탐지할 수 있는가?

주요 결과

• K-Nearest Neighbor 모델은 60초 윈도우에서 최고의 탐지 정확도 96%를 기록했으며, Random Forest 모델을 초월했다.
• 40초 윈도우에서 KNN 모델 M7는 균형 잡힌 F1-스코어 0.962를 기록했으며, 재현율 97.0%와 선택도 96.7%를 확보하여 낮은 거짓 음성 및 거짓 양성 비율을 나타냈다.
• 60초 윈도우에서 Random Forest 모델 M4는 F1-스코어 95.9%를 기록했으며, 재현율 96.3%와 선택도 94.1%를 기록해 중간 수준의 거짓 경고율을 유지하면서도 뛰어난 성능을 보였다.
• 모든 시간 윈도우에서 모든 모델의 탐지 정확도가 93% 이상을 유지했으며, 정확도가 가장 높은 것은 60초에서 관측되었지만 이는 높은 탐지 지연을 유발한다.
• 모든 시간 윈도우에서 KNN 모델이 Random Forest 모델보다 높은 정확도를 기록했으며, 정확도 차이가 최대 1.2%에 이르렀다.
• 시스템은 프로그래밍 가능한 데이터 플레인을 통해 내흐름 기능(예: 인터어라이벌 시간 분산)을 효과적으로 추출하고 기계학습 모델에 활용할 수 있음을 입증했으며, 이는 OpenFlow의 한계를 극복한 것이다.