[论文解读] Advancing DDoS Attack Detection: A Synergistic Approach Using Deep Residual Neural Networks and Synthetic Oversampling

Ali Alfatemi, Mohamed Rahouti+4 more|arXiv (Cornell University)|Jan 6, 2024

Network Security and Intrusion Detection被引用 7

一句话总结

本文将基于 SMOTE 的合成过采样与带注意力增强的深度残差网络（ResNet）相结合，用于检测DDoS攻击，在CICIDS数据集上实现近乎完美的准确率。

ABSTRACT

Distributed Denial of Service (DDoS) attacks pose a significant threat to the stability and reliability of online systems. Effective and early detection of such attacks is pivotal for safeguarding the integrity of networks. In this work, we introduce an enhanced approach for DDoS attack detection by leveraging the capabilities of Deep Residual Neural Networks (ResNets) coupled with synthetic oversampling techniques. Because of the inherent class imbalance in many cyber-security datasets, conventional methods often struggle with false negatives, misclassifying subtle DDoS patterns as benign. By applying the Synthetic Minority Over-sampling Technique (SMOTE) to the CICIDS dataset, we balance the representation of benign and malicious data points, enabling the model to better discern intricate patterns indicative of an attack. Our deep residual network, tailored for this specific task, further refines the detection process. Experimental results on a real-world dataset demonstrate that our approach achieves an accuracy of 99.98%, significantly outperforming traditional methods. This work underscores the potential of combining advanced data augmentation techniques with deep learning models to bolster cyber-security defenses.

研究动机与目标

• 解决DDoS检测数据集中类别不平衡的问题。
• 利用SMOTE平衡正常与恶意流量，以实现鲁棒学习。
• 开发面向网络流量特征的带注意力增强的ResNet。
• 在CICIDS数据集上使用严格的指标评估所提方法。
• 展示双阶段训练方案以提升泛化能力。

提出的方法

• 在模型训练前应用SMOTE平衡CICIDS数据集。
• 使用带注意力增强的深度残差网络以捕捉特征之间的相互依赖。
• 引入双阶段训练：阶段1在原始数据上预训练，阶段2在SMOTE平衡数据上进行微调，并加入正则化项。
• 将Dice Loss用作训练目标，以增强预测与目标之间的重叠。
• 采用Adagrad作为网络训练的优化器。
• 使用标准指标进行评估：准确率、精确率、召回率、F1分数和 ROC-AUC。

Figure 1: Schematic representation of the data processing and analysis pipeline for DDoS attack detection. The detection workflow starts with initial data preparation. This is succeeded by synthetic oversampling via SMOTE to rectify class disproportion. Subsequently, a deep residual neural network p

实验结果

研究问题

• RQ1 SMOTE平衡训练是否能提升深度学习模型的DDoS检测准确率？
• RQ2 带注意力增强的ResNet是否能改善在不平衡流量数据中对微妙DDoS模式的检测？
• RQ3 双阶段训练方案对模型鲁棒性和泛化性的影响如何？
• RQ4 与传统方法相比，所提出方法在真实CICIDS数据上的表现如何？

主要发现

指标	数值（％）	备注
准确率	99.98	在SMOTE平衡数据上训练的模型
精确率	99.98	在SMOTE平衡数据上训练的模型
召回率	99.96	在SMOTE平衡数据上训练的模型
F1分数	99.97	在SMOTE平衡数据上训练的模型
ROC-AUC	1.00	在SMOTE平衡数据上训练的模型

• 在平衡后的CICIDS数据集上的准确率为99.98％。
• 精确度为99.98%，表明假阳性很低。
• 召回率为99.96%，表明真正例率很高。
• F1分数为99.97%，反映出平衡的性能。
• ROC-AUC为1.00，表明测试数据上的完美区分能力。

Figure 2: Training Accuracy over Epochs