[论文解读] A Novel Supervised Deep Learning Solution to Detect Distributed Denial of Service (DDoS) attacks on Edge Systems using Convolutional Neural Networks (CNN)

Vedanth Ramanathan, Krish Mahadevan+1 more|arXiv (Cornell University)|Sep 11, 2023

Network Security and Intrusion Detection被引用 6

一句话总结

本文提出了一种新型的监督深度学习模型，采用卷积神经网络（CNNs）检测边缘网络环境中的分布式拒绝服务（DDoS）攻击。该方法将网络流量预处理为固定长度的数据包流，进行归一化处理，并应用自定义的CNN架构，结合Dropout和Sigmoid激活函数，在未见测试数据上对良性与恶意流量的分类准确率达到98.83%。

ABSTRACT

Cybersecurity attacks are becoming increasingly sophisticated and pose a growing threat to individuals, and private and public sectors. Distributed Denial of Service attacks are one of the most harmful of these threats in today's internet, disrupting the availability of essential services. This project presents a novel deep learning-based approach for detecting DDoS attacks in network traffic using the industry-recognized DDoS evaluation dataset from the University of New Brunswick, which contains packet captures from real-time DDoS attacks, creating a broader and more applicable model for the real world. The algorithm employed in this study exploits the properties of Convolutional Neural Networks (CNN) and common deep learning algorithms to build a novel mitigation technique that classifies benign and malicious traffic. The proposed model preprocesses the data by extracting packet flows and normalizing them to a fixed length which is fed into a custom architecture containing layers regulating node dropout, normalization, and a sigmoid activation function to out a binary classification. This allows for the model to process the flows effectively and look for the nodes that contribute to DDoS attacks while dropping the "noise" or the distractors. The results of this study demonstrate the effectiveness of the proposed algorithm in detecting DDOS attacks, achieving an accuracy of .9883 on 2000 unseen flows in network traffic, while being scalable for any network environment.

研究动机与目标

• 为应对边缘系统上DDoS攻击日益增长的威胁，开发一种可扩展、实时的检测机制。
• 克服传统DDoS检测方法（如基于签名的过滤、速率限制和静态阈值）的局限性。
• 通过深度学习提升在动态网络环境中检测的准确率与泛化能力。
• 构建一种可适应不断演变的攻击模式、适合在真实世界边缘网络中部署的模型。
• 在包含未见流量流的真实世界DDoS数据集上评估模型性能，以检验其泛化能力和鲁棒性。

提出的方法

• 该模型通过提取数据包流并将其归一化为固定长度，对原始网络流量进行处理，以确保输入CNN的一致性。
• 设计了包含多个卷积层、批量归一化、Dropout正则化以及用于二分类的Sigmoid激活函数的自定义CNN架构。
• 使用ReLU激活函数增强了特征学习能力，并提高了模型的可解释性，突出显示显著的流量模式。
• 数据预处理包括填充和归一化，以标准化流长度并减少噪声，从而提升模型的稳定性和性能。
• 模型在新不伦瑞克大学的DDoS评估数据集上进行训练，该数据集包含实际DDoS攻击的实时数据包捕获。
• 模型评估包括准确率、在未见流上的泛化能力，以及未来拟采用AUC-ROC指标以增强区分能力分析的建议。

Figure 1: Architecture of a traditional DDoS Attack

实验结果

研究问题

• RQ1 基于监督的CNN模型能否在使用真实世界网络流量数据的情况下，实现对边缘系统上DDoS攻击的高准确率检测？
• RQ2 所提出的预处理流程（流提取、归一化、填充）在提升模型泛化能力和性能方面有多有效？
• RQ3 该模型在未曾在训练数据中出现过的DDoS攻击模式上，其泛化能力达到何种程度？
• RQ4 与传统DDoS检测技术相比，该模型在准确率、误报率和可扩展性方面的表现如何？
• RQ5 该模型在检测零日或此前未见的DDoS攻击变种方面存在哪些关键局限性？

主要发现

• 所提出的CNN模型在2000个未见的网络流量流上实现了98.83%的测试准确率，表现出强大的泛化能力和鲁棒性。
• 批量归一化、Dropout和ReLU激活函数的集成显著提升了模型的稳定性并减少了过拟合。
• 该模型通过过滤噪声并聚焦于导致DDoS行为的关键特征，有效识别了恶意流量模式。
• 该架构展现出良好的可扩展性和适应性，适用于包括边缘系统在内的多种网络环境部署。
• 尽管准确率较高，但该模型仍易受零日攻击影响，因其依赖于训练数据中已知的攻击模式，凸显了持续再训练的必要性。
• 本研究建议未来引入AUC-ROC指标，以更全面地评估模型在区分能力方面的表现，超越简单的准确率指标。

Figure 2: Current State of DDoS Mitigation Techniques