[论文解读] A PAXOS based State Machine Replication System for Anomaly Detection

Manoj Thakur, Sugata Sanyal|arXiv (Cornell University)|Jun 11, 2012

Advanced Malware Detection Techniques参考文献 24被引用 5

一句话总结

本文提出了一种基于Paxos的状态机复制系统，用于检测分布式系统中的异常行为，特别针对DDoS和Ping of Death攻击。通过在复制的状态机之间利用Paxos算法达成共识，系统通过一致的日志同步识别异常行为，从而在高容错性下实现对资源消耗型攻击的早期检测。

ABSTRACT

A number of systems in recent times suffer from attacks like DDoS and Ping of Death. Such attacks result in loss of critical system resources and CPU cycles, as these compromised systems behave in an abnormal manner. The effect of such abnormalities is worse in case of compromised systems handling financial transaction, since it leads to severe monetary losses. In this paper we propose a system that uses the Replicated State Machine approach to detect abnormality in system usage. The suggested system is based on PAXOS algorithm, an algorithm for solving the consensus problem in a network of unreliable processors.

研究动机与目标

• 应对分布式拒绝服务（DDoS）和Ping of Death攻击日益增长的威胁，这些攻击会耗尽系统资源并造成经济损失。
• 开发一种容错系统，能够在分布式环境中实时检测异常系统行为。
• 应用Paxos共识算法，确保复制状态机之间的一致性，以实现可靠的异常检测。
• 通过识别正常操作行为的偏离，提升关键金融交易系统的安全性。
• 提供一种可扩展且可靠的框架，利用状态机复制和共识协议实现异常检测。

提出的方法

• 系统采用Paxos算法在分布式副本之间达成共识，确保所有节点就状态转换的顺序达成一致。
• 每个副本维护一个客户端请求日志，并以相同顺序应用这些请求，以保持所有节点之间的状态一致性。
• 通过将单个副本的行为与共识日志进行比较来检测异常，识别出如请求速率过高或数据包格式错误等偏差。
• 该架构采用主备模型，主节点负责协调客户端请求，备份节点通过Paxos协议复制状态。
• 系统记录所有操作，并使用确定性状态转换函数，确保所有副本达到相同状态。
• 当某个副本的行为（如CPU使用率或请求量）与共识日志中观察到的预期模式显著偏离时，触发异常检测。

实验结果

研究问题

• RQ1 如何利用Paxos等共识算法检测分布式系统行为中的异常？
• RQ2 哪些机制可以在保持实时异常检测的同时确保复制状态机的容错性？
• RQ3 该系统如何区分正常负载峰值与DDoS或Ping of Death等恶意攻击？
• RQ4 与独立监控相比，状态机复制在多大程度上提升了检测准确性？
• RQ5 在高负载金融系统中，使用基于Paxos的复制是否能降低异常检测中的误报率？

主要发现

• 系统通过识别复制节点间请求模式的偏差，成功检测到DDoS和Ping of Death等异常行为。
• Paxos的使用确保了副本之间的强一致性，即使在网络分区或部分故障情况下也能实现可靠的检测。
• 系统表现出高度容错性，在部分副本被攻破或无响应时仍能维持运行和检测能力。
• 由于日志同步和状态比对，异常被早期检测到，从而减少了攻击者的可乘之机。
• 系统通过依赖共识行为而非启发式方法或阈值设定，实现了较低的误报率。
• 该架构具有可扩展性，适用于对高可用性和安全性要求较高的关键金融和企业系统。