[논문 리뷰] DDoSDet: An approach to Detect DDoS attacks using Neural Networks

Aman Rangapur, Tarun Kanakam외 1명|arXiv (Cornell University)|2022. 01. 24.

Network Security and Intrusion Detection인용 수 7

한 줄 요약

이 논문은 CICDDoS2019 데이터셋을 사용하여 DDoS 공격을 99.7%의 정확도로 탐지하는 딥 뉴럴 네트워크 모델인 DDoSDet을 제안한다. 이 모델는 ReLU 활성화 함수와 0.25 드롭아웃을 사용하는 3층의 밀집 구조를 채택하여 실시간 소프트웨어 정의 네트워크(SDN) 환경에서의 침입 탐지에 유사한 네트워크 흐름 기반 특징을 활용함으로써 기존의 기계학습 방법보다 뛰어난 성능을 달성한다.

ABSTRACT

Cyber-attacks have been one of the deadliest attacks in today's world. One of them is DDoS (Distributed Denial of Services). It is a cyber-attack in which the attacker attacks and makes a network or a machine unavailable to its intended users temporarily or indefinitely, interrupting services of the host that are connected to a network. To define it in simple terms, It's an attack accomplished by flooding the target machine with unnecessary requests in an attempt to overload and make the systems crash and make the users unable to use that network or a machine. In this research paper, we present the detection of DDoS attacks using neural networks, that would flag malicious and legitimate data flow, preventing network performance degradation. We compared and assessed our suggested system against current models in the field. We are glad to note that our work was 99.7\% accurate.

연구 동기 및 목표

• 현대 네트워크, 특히 SDN 환경에서 증가하는 DDoS 공격의 위협을 해결하기 위해.
• 기존의 기계학습 모델을 뛰어넘는 정확도와 효율성을 향상시키기 위해.
• 실시간 DDoS 공격 식별을 위한 강력하고 확장 가능한 신경망 기반 침입 탐지 시스템을 개발하기 위해.
• 최근의 DDoS 공격 유형을 포함한 균형 잡힌 포괄적인 데이터셋을 사용하여 모델 성능을 평가하기 위해.
• 유해한 네트워크 트래픽과 양호한 트래픽를 모두 탐지하는 데 있어 딥 러닝이 전통적인 기계학습 방법보다 뛰어난 성능을 보임을 입증하기 위해.

제안 방법

• 모델는 각각 64개의 뉴런과 ReLU 활성화 함수를 가진 3개의 밀집층을 가지는 순차적 신경망을 사용한다.
• 과적합을 방지하기 위해 각 밀집층 이후에 0.25의 드롭아웃 정규화를 적용한다.
• 최종층은 이진 분류를 위한 두 개의 유닛을 가지며, 양호 또는 DDoS 공격로 분류한다.
• 모델는 카테고리형 교차 엔트로피 손실과 RMSProp 옵timizer를 사용하여 훈련된다.
• 특징은 CICFlowMeter를 사용하여 CICDDoS2019 데이터셋에서 추출되며, 80개 이상의 흐름 기반 속성이 생성된다.
• 훈련 과정은 40 에포크 동안 진행되며, 균형 잡힌 데이터셋은 훈련(271,479개 샘플), 검증(53,880개 샘플), 테스트(28,000개 샘플)로 분할된다.

실험 결과

연구 질문

• RQ1 딥 뉴럴 네트워크는 기존의 기계학습 모델보다 DDoS 공격을 더 높은 정확도로 식별할 수 있는가?
• RQ2 모델 아키텍처, 특히 깊이와 드롭아웃 비율이 탐지 성능과 훈련 효율성에 미치는 영향은 무엇인가?
• RQ3 CICDDoS2019 데이터셋에서 유도된 흐름 기반 특징의 사용이 공격 탐지 정확도에 미치는 영향은 무엇인가?
• RQ4 훈련 세트에 포함되지 않은 다양한 DDoS 공격 유형을 가진 미사용 테스트 데이터에서 모델의 성능은 어떠한가?
• RQ5 실시간 DDoS 탐지에서 모델의 복잡성과 탐지 성능 사이의 최적의 균형은 무엇인가?

주요 결과

• DDoSDet 모델은 테스트 세트에서 전체 정확도 99.7%를 기록하여 기존의 기계학습 모델을 크게 뛰어넘었다.
• 공격 탐지에 대해 정밀도 0.97, 양호한 트래픽에 대해 정밀도 0.98을 기록했으며, 각 클래스에 대해 재현율 0.99를 확보했다.
• 공격 탐지에 대해 F-스코어는 0.98, 양호한 트래픽에 대해 0.99로 정밀도와 재현율 사이의 균형이 매우 뛰어났다.
• 모델의 성능는 세 개의 은닉층을 가진 경우 가장 안정적이고 정확했으며, 깊이를 늘리면 정확도 향상 없이 훈련 시간만 증가했다.
• SVM, LR, RF와 비교했을 때 DDoSDet은 가장 높은 정확도(99%)와 F-스코어(0.98/0.99)를 기록했으며, 최고의 기계학습 모델을 초월했다.
• 훈련 곡선은 40 에포크 동안 안정적인 정확도(약 99.7%)와 감소하는 손실을 보이며 수렴함을 나타내어 효과적인 학습이 이루어졌음을 시사한다.