[论文解读] Efficient Distinct Heavy Hitters for DNS DDoS Attack Detection

Yehuda Afek, Anat Bremler-Barr+3 more|arXiv (Cornell University)|Dec 8, 2016

Network Security and Intrusion Detection参考文献 12被引用 7

一句话总结

本文提出新颖且实用的固定大小算法——差异加权采样（dwsHH）与组合加权采样（cwsHH），用于检测网络流量流中的差异重头节点（distinct heavy hitters）与组合重头节点（combined heavy hitters），从而实现对随机化DNS DDoS攻击的高效检测。这些方法采用基于采样的近似差异计数器，实现最优的O(ε⁻¹)空间复杂度，同时在基数估计与检测中保持高精度，理论与实践表现均优于以往的布隆过滤器与线性草图方法。

ABSTRACT

Motivated by a recent new type of randomized Distributed Denial of Service (DDoS) attacks on the Domain Name Service (DNS), we develop novel and efficient distinct heavy hitters algorithms and build an attack identification system that uses our algorithms. Heavy hitter detection in streams is a fundamental problem with many applications, including detecting certain DDoS attacks and anomalies. A (classic) heavy hitter (HH) in a stream of elements is a key (e.g., the domain of a query) which appears in many elements (e.g., requests). When stream elements consist of a pairs, () a distinct heavy hitter (dhh) is a key that is paired with a large number of different subkeys. Our dHH algorithms are considerably more practical than previous algorithms. Specifically the new fixed-size algorithms are simple to code and with asymptotically optimal space accuracy tradeoffs. In addition we introduce a new measure, a combined heavy hitter (cHH), which is a key with a large combination of distinct and classic weights. Efficient algorithms are also presented for cHH detection. Finally, we perform extensive experimental evaluation on real DNS attack traces, demonstrating the effectiveness of both our algorithms and our DNS malicious queries identification system.

研究动机与目标

• 为解决利用不存在子域名的随机化DNS DDoS攻击所导致的DNS服务器过载问题。
• 设计实用的、固定大小的流式算法，用于差异重头节点（dHH）与组合重头节点（cHH）检测，实现最优的空间-精度权衡。
• 通过采用基于采样的差异计数器，改进现有方法（尤其是布隆过滤器与基于线性草图的计数器），以实现更高的精度与更低的内存开销。
• 通过结合经典重头节点检测与差异子键计数，实现实时检测恶意DNS查询模式。
• 构建可部署的系统，利用所提出的dwsHH与cwsHH算法识别RSDDoS攻击，并在真实攻击痕迹上进行验证。

提出的方法

• 提出差异加权采样（dwsHH）算法，一种固定大小、基于采样的dHH检测方法，维持O(ε⁻¹)空间复杂度，并为每个键提供准确的基数估计。
• 引入组合加权采样（cwsHH）算法，这是首个实现常量内存的联合检测方法，通过经典权重与差异权重的加权组合，同时检测高频键与高差异子键计数的键。
• 采用加权采样技术维护（键，子键）对的代表性样本，实现在严格内存限制下对频率与差异子键计数的估计。
• 采用概率框架，确保以高概率检测到权重≥ε总权重的键，利用加权采样在流处理中已知的分析结果。
• 设计一个系统，将dwsHH与cwsHH应用于真实DNS流量，识别如单个域名下存在大量唯一子域名的高流量查询等攻击特征。
• 通过平时状态的轮廓分析提升检测精度，减少在动态环境中的误报。

实验结果

研究问题

• RQ1 是否存在一种固定大小、实用的算法，可在实现最优空间复杂度的同时，对网络流中的差异重头节点实现高基数估计精度？
• RQ2 如何高效建模组合重头节点检测，以实现实时捕获高频率与高多样性子键模式？
• RQ3 基于采样的差异计数器是否能在理论边界与实际性能上均优于布隆过滤器与基于线性草图的计数器，用于dHH检测？
• RQ4 所提出的dwsHH与cwsHH算法在真实流量痕迹上，对随机化DNS DDoS攻击的检测能力达到何种程度？
• RQ5 将平时状态轮廓分析集成后，如何提升系统在识别恶意DNS查询模式方面的检测精度？

主要发现

• dwsHH算法实现O(ε⁻¹)空间复杂度，其基数估计精度显著高于Locher的基于线性草图的方法，后者因阈值的平方依赖关系而面临空间复杂度的显著上升。
• cwsHH算法是首个实现常量内存的组合重头节点检测解决方案，能有效在单一结构中捕获高频与高多样性子键模式。
• 在真实DNS攻击痕迹上的实验评估表明，所提算法在检测攻击模式方面比以往方法更早、更准确，尤其在识别随机子域名洪水攻击方面表现突出。
• 基于采样的方法在内存效率与区分重头键与极重头键的能力上，优于基于布隆过滤器的方案（如Superspreaders）；饱和的布隆过滤器会丧失这种区分能力。
• 基于dwsHH与cwsHH构建的系统能成功识别RSDDoS攻击，即使在伪造或分布式源的情况下，也能检测到查询量高且拥有大量唯一子域名的域名。
• 集成平时状态轮廓分析可有效降低误报率，证明了该系统在真实运行环境中的鲁棒性。