[논문 리뷰] Privacy-Preserving DDoS Attack Detection Using Cross-Domain Traffic in Software Defined Networks

Liehuang Zhu, Xiangyun Tang외 3명|arXiv (Cornell University)|2018. 09. 19.

Network Security and Intrusion Detection참고 문헌 23인용 수 5

한 줄 요약

이 논문은 소프트웨어 정의 네트워크(SDNs)에서 민감한 트래픽 데이터를 보호하면서도 정확한 검출을 가능하게 하는, 편향 암호화와 데이터 암호화를 결합한 프라이버시 보장형 다중 도메인 DDoS 공격 탐지 기법 Predis를 제안한다. Predis는 최적화된 k-최근접 이웃(kNN) 알고리즘을 활용해 낮은 시간 소비로 높은 탐지 정확도를 달성하며, 여러 SDN 도메인 간 프라이버시를 유지한다.

ABSTRACT

Existing distributed denial-of-service attack detection in software defined networks (SDNs) typically perform detection in a single domain. In reality, abnormal traffic usually affects multiple network domains. Thus, a cross-domain attack detection has been proposed to improve detection performance. However, when participating in detection, the domain of each SDN needs to provide a large amount of real traffic data, from which private information may be leaked. Existing multiparty privacy protection schemes often achieve privacy guarantees by sacrificing accuracy or increasing the time cost. Achieving both high accuracy and reasonable time consumption is a challenging task. In this paper, we propose Predis, which is a privacypreserving cross-domain attack detection scheme for SDNs. Predis combines perturbation encryption and data encryption to protect privacy and employs a computationally simple and efficient algorithm k-Nearest Neighbors (kNN) as its detection algorithm. We also improve kNN to achieve better efficiency. Via theoretical analysis and extensive simulations, we demonstrate that Predis is capable of achieving efficient and accurate attack detection while securing sensitive information of each domain.

연구 동기 및 목표

• SDNs에서 다중 도메인 DDoS 공격을 탐지하면서 도메인 내 민감한 트래픽 데이터의 프라이버시 누출을 방지하는 도전 과제를 해결한다.
• 기존의 프라이버시 보장 기법들이 정확도를 희생하거나 높은 계산 비용을 유발하는 한계를 극복한다.
• 원시 트래픽 데이터(예: 소스/대상 IP 및 플로우 통계)를 폭 lộ하지 않고도 여러 SDN 도메인 간 협업 탐지를 가능하게 한다.
• 프라이버시 제약 조건 하에서도 높은 정확도를 유지하면서 경량이고 효율적인 탐지 메커니즘을 설계한다.
• 안전한 통신을 갖춘 이중 서버 아키텍처를 통해 도메인 간 공모에 대비한 내성성을 확보한다.

제안 방법

• 다른 도메인 간 공유 전에 원시 트래픽 특징을 익명화하기 위해 기하 변환 기반의 데이터 편향 기법을 적용한다.
• 전송 및 저장 중 민감한 데이터의 기밀성을 확보하기 위해 대칭 암호화를 사용한다.
• 탐지 과정을 두 단계로 분해한다: 트래픽 편향 및 분산 kNN 기반의 이상 탐지.
• 편향 처리를 담당하는 서버와 탐지 기능을 담당하는 서버를 논리적으로 분리하여 도메인과 서버 간의 공모를 방지한다.
• 중복된 거리 계산을 줄이고 효율적인 데이터 색인을 사용하여 시간 복잡도를 낮추는 방식으로 kNN 알고리즘을 최적화한다.
• 실시간 플로우 제어 및 경고 처리를 위해 오픈플로우 기반 SDN 컨트롤러의 남부 인터페이스(COPI)를 통해 시스템을 통합한다.

실험 결과

연구 질문

• RQ1 SDNs에서 도메인 내 트래픽 데이터의 프라이버시를 보장하면서도 높은 탐지 정확도를 유지하는 다중 도메인 DDoS 탐지 기법을 설계할 수 있는가?
• RQ2 여러 SDN 도메인이 트래픽 데이터를 공유하여 협업 탐지를 수행할 때 민감한 정보를 폭 lộ하지 않고도 프라이버시를 어떻게 확보할 수 있는가?
• RQ3 다중 도메인 DDoS 탐지에서 프라이버시 보호, 탐지 정확도, 계산 효율성 간의 상호 갈등은 어떻게 평가할 수 있는가?
• RQ4 데이터 편향과 암호화를 조합한 하이브리드 접근 방식이 기존의 프라이버시 보장 기법들보다 보안성과 성능 면에서 뛰어나다고 볼 수 있는가?
• RQ5 프라이버시 보장 환경에서 탐지 정확도를 저하시키지 않으면서도 시간 소비를 줄이기 위해 kNN 알고리즘을 얼마나 최적화할 수 있는가?

주요 결과

• KDD Cup 1999 데이터셋에서 Predis는 DoS 공격에 대해 정밀도 0.9161, Probe 공격에 대해 0.9901을 기록하며 대부분의 경우 SOM 및 SVM보다 뛰어난 성능을 보였다.
• DoS 및 Probe 공격의 재현율은 0.91 초과로, 참 양성(true positives)을 잘 식별하는 강력한 탐지 능력을 보였다.
• 데이터셋에서 희귀한 U2R 공격의 경우 재현율은 낮게(0.79) 나타났지만, 정밀도는 여전히 0.8834를 유지하여 낮은 빈도의 인스턴스에도 불구하고 강건함을 입증했다.
• Predis는 프라이버시 보장 기법인 PSOM 대비 시간 소비를 줄여 다중 도메인 탐지에서 뛰어난 효율성을 입증했다.
• 이론적 분석 및 시뮬레이션 결과, Predis는 도메인과 서버 간 잠재적 공모 상황에서도 프라이버시를 보호하면서 높은 탐지 정확도를 유지함을 확인했다.
• 최적화된 kNN 알고리즘은 계산 오버헤드를 크게 감소시켜 대규모 SDN 환경에서 실시간 탐지의 가능성을 높였다.