[논문 리뷰] Reconstruction-based LSTM-Autoencoder for Anomaly-based DDoS Attack Detection over Multivariate Time-Series Data

Yuanyuan Wei, Julian Jang‐Jaccard외 4명|arXiv (Cornell University)|2023. 04. 21.

Network Security and Intrusion Detection인용 수 6

한 줄 요약

이 논문은 다변량 시계열 네트워크 트래픽에서 DDoS 공격을 탐지하기 위해 복원 기반의 LSTM-오토에인드어(이하 LSTM-AE) 모델을 제안한다. LSTM 유닛을 활용해 장기적 시간적 의존성을 포착하고, 오토에인드어를 통해 복원 오차를 계산하여 이상 탐지 점수를 산출함으로써, 모델은 99% 이상의 정확도를 달성하였으며, 특히 LDAP 공격 탐지에서 99.96%의 정확도와 99.99%의 정밀도를 기록하여 뛰어난 성능을 보였다.

ABSTRACT

A Distributed Denial-of-service (DDoS) attack is a malicious attempt to disrupt the regular traffic of a targeted server, service, or network by sending a flood of traffic to overwhelm the target or its surrounding infrastructure. As technology improves, new attacks have been developed by hackers. Traditional statistical and shallow machine learning techniques can detect superficial anomalies based on shallow data and feature selection, however, these approaches cannot detect unseen DDoS attacks. In this context, we propose a reconstruction-based anomaly detection model named LSTM-Autoencoder (LSTM-AE) which combines two deep learning-based models for detecting DDoS attack anomalies. The proposed structure of long short-term memory (LSTM) networks provides units that work with each other to learn the long short-term correlation of data within a time series sequence. Autoencoders are used to identify the optimal threshold based on the reconstruction error rates evaluated on each sample across all time-series sequences. As such, a combination model LSTM-AE can not only learn delicate sub-pattern differences in attacks and benign traffic flows, but also minimize reconstructed benign traffic to obtain a lower range reconstruction error, with attacks presenting a larger reconstruction error. In this research, we trained and evaluated our proposed LSTM-AE model on reflection-based DDoS attacks (DNS, LDAP, and SNMP). The results of our experiments demonstrate that our method performs better than other state-of-the-art methods, especially for LDAP attacks, with an accuracy of over 99.

연구 동기 및 목표

• 기존의 통계적 및 얕은 기계학습 방법의 한계를 해결하여, 미리 보지 못한 또는 제로데이 DDoS 공격을 탐지할 수 있도록 한다.
• RNN에서의 기울기 소실 문제와 오토에인드어의 이상치에 대한 민감성 문제를 해결하기 위해 LSTM과 오토에인드어 아키텍처를 결합한다.
• 다변량 네트워크 트래픽에서 복잡한 시간적 패턴을 학습할 수 있는 딥러닝 모델을 개발하여 강력한 이상 탐지 능력을 확보한다.
• CICDDoS2019 데이터셋을 활용해 반사 기반 DDoS 공격(예: DNS, LDAP, SNMP)에 대한 탐지 성능을 향상시킨다.
• 복원 오차를 기반으로 이상 탐지에 최적의 임계값을 설정하여, 잘못된 경고를 최소화하면서 악성 트래픽 탐지율을 극대화한다.

제안 방법

• 양방향 LSTM 인코더와 대칭적인 디코더를 갖춘 딥 오토에인드어 아키텍처를 사용하여 입력 시계열 시퀀스를 복원한다.
• 원본 시퀀스와 재구성된 시퀀스 간의 평균 제곱오차(MSE)로 계산된 복원 오차를 이상 점수로 사용한다.
• CICDDoS2019 데이터셋의 다변량 시계열 네트워크 플로우 데이터(정상 및 공격 플로우 포함)를 대상으로 LSTM-AE 모델을 엔드 투 엔드로 훈련한다.
• 정상 트래픽의 복원 오차 분포에 임계값 기반의 처리를 적용하여 이상을 분류하며, 최적의 임계값은 검증을 통해 결정된다.
• 시계열 창을 활용한 슬라이딩 윈도우 방식의 네트워크 특성(예: 패킷 수, 바이트 수, 지속 시간 등)을 모델의 입력으로 사용하며, 창 길이를 10, 50, 100으로 테스트한다.
• 학습률(0.001, 0.0001, 0.00001)을 포함한 하이퍼파라미터를 최적화하여 수렴 속도와 탐지 성능 사이의 균형을 확보한다.

실험 결과

연구 질문

• RQ1 하이브리드 LSTM-AE 모델은 기존의 얕은 기계학습 방법보다 미리 보지 못한 DDoS 공격을 더 효과적으로 탐지할 수 있는가?
• RQ2 제안된 LSTM-AE 모델에서 정상 트래픽 시퀀스와 악성 트래픽 시퀀스의 복원 오차는 어떻게 다를까?
• RQ3 다양한 DDoS 공격 유형(DNS, LDAP, SNMP)에 대해 높은 탐지 정확도를 달성하기 위한 최적의 시간 창 길이는 얼마인가?
• RQ4 다양한 학습률이 모델의 수렴, 복원 오차, 탐지 성능에 미치는 영향은 어떠한가?
• RQ5 모델은 반사 기반 DDoS 공격 탐지에서 최신 기술의 딥러닝 모델보다 얼마나 뛰어난 성능을 보이는가?

주요 결과

• LSTM-AE 모델은 LDAP 기반 DDoS 공격 탐지에서 99.96%의 정확도, 99.99%의 정밀도, 99.93%의 재현율, 99.96%의 F1 점수를 기록하여 비교한 모든 최신 기술 모델을 초월했다.
• DNS 및 SNMP 공격에 대해서는 각각 AUC-ROC 점수 97.14%와 97.75%를 기록하였으며, 시간 창 길이가 10일 때 가장 높은 AUC-ROC를 기록했다.
• 모델은 다양한 학습률에서 뛰어난 안정성을 보였으며, 학습률 0.001이 속도와 성능 사이의 최적의 균형을 이룩했고, 0.00001은 훨씬 더 긴 학습 시간을 요구했다.
• 공격 샘플의 복원 오차는 정상 트래픽보다 일관되게 높게 나타났으며, 이는 모델이 복원 정확도 기반으로 이상을 구분할 수 있음을 검증했다.
• 모델은 LDAP 공격 탐지에서 가장 높은 성능을 보였으며, F1 점수와 AUC-ROC가 99.9%를 초과하여 복잡한 공격 패턴에 대한 강력한 일반화 능력을 입증했다.
• 모델의 성능는 다양한 시간 창 길이에서 안정적이었으며, 창 크기를 10에서 100으로 늘여도 지표에 미미한 저하만 나타내어 확장성과 강건성을 입증했다.