[论文解读] A Framework for BGP Abnormal Events Detection

Anisa Allahdadi, Ricardo Morla+1 more|arXiv (Cornell University)|Aug 11, 2017

Network Security and Intrusion Detection参考文献 5被引用 5

一句话总结

本文提出了一种基于机器学习的框架，通过从BGP更新消息中提取、选择和生成特征，检测BGP异常事件。通过在正常BGP行为上训练支持向量机（SVM）模型并测量偏差，该框架实现了高检测准确率和高精确率，优于以往工作，在异常检测方面表现更优，并能有效按类型（如蠕虫攻击与网络中断）对相似BGP异常进行聚类。

ABSTRACT

Detection of abnormal BGP events is of great importance to preserve the security and robustness of the Internet inter-domain routing system. In this paper, we propose an anomaly detection framework based on machine learning techniques to identify the anomalous events by training a model for normal BGP-updates and measuring the extent of deviation from the normal model during the abnormal occasions. Our preliminary results show that the features generated and selected are capable of improving the classification results to distinguish between anomalies and normal BGP update messages. Furthermore, the clustering results demonstrate the effectiveness of formed models to detect the similar types of BGP anomalies. In a more general context, an interdisciplinary research is performed between network security and data mining to deal with real-world problems and the achieved results are promising.

研究动机与目标

• 为应对威胁互联网稳定性和安全性的BGP异常早期检测的迫切需求。
• 通过建模正常BGP行为并识别显著偏差，降低异常检测中的误报率。
• 通过基于所选BGP消息特征之间相关性的新特征生成，提高检测准确率。
• 通过在类似事件上训练的模型，实现对先前未见BGP异常的检测，特别是通过按根本原因（如蠕虫与网络中断）对异常进行分组。

提出的方法

• 从BGP更新消息中提取一组全面的特征，包括时间、路径和策略相关度量。
• 使用信息增益进行特征选择，以识别对建模正常行为最相关的特征。
• 通过所选特征的成对相关性分析生成新特征，以增强模型的判别能力。
• 在所选特征和生成特征上训练支持向量机（SVM）分类器，以建模正常BGP更新模式。
• 基于准确率矩阵使用距离度量，评估在不同异常类型上训练的模型之间的相互匹配度。
• 对距离矩阵执行k-means聚类，以对相似BGP异常进行分组，并验证模型在事件间的可迁移性。

实验结果

研究问题

• RQ1 能否通过建模正常更新行为并识别偏差，利用机器学习框架有效检测BGP异常？
• RQ2 与基线方法相比，特征选择与生成在提高BGP异常检测准确率和精确率方面有何改进？
• RQ3 在一种异常类型（如蠕虫攻击）上训练的模型，在无需微调的情况下，能多大程度上检测其他类似异常？
• RQ4 基于模型相似性的聚类能否揭示BGP异常按根本原因（如蠕虫与大规模中断）的有意义分组？

主要发现

• 所提出的框架在BGP异常检测方面实现了比现有最先进方法更高的检测准确率和更低的误报率。
• 基于成对相关性的特征生成显著提升了分类性能，使正常与异常BGP更新之间的区分更加清晰。
• 在一种异常类型（如Slammer）上训练的模型能有效检测其他类似异常（如Nimda），当使用Nimda模型检测Slammer数据时，检测准确率最高。
• 基于交叉准确率评估形成的距离矩阵进行聚类，成功将异常分为两大类：蠕虫攻击与大规模网络中断，在k=3时进一步分离出子类（如Eastcoast被孤立）。
• 公式（3）中定义的距离度量有效捕捉了模型间的相互匹配度，表明在相似事件上训练的模型产生更低距离和更高交叉检测准确率。
• 结果表明，具有相同根本原因（如蠕虫爆发）的BGP异常更可能被相似模型检测到，从而在实践中实现可扩展且可迁移的异常检测。