[论文解读] Correlation-Aware Neural Networks for DDoS Attack Detection In IoT Systems

Arvin Hekmati, Nishant Jethwa+2 more|arXiv (Cornell University)|Feb 15, 2023

Network Security and Intrusion Detection被引用 5

一句话总结

本文提出了一种相关性感知的神经网络架构，用于检测物联网系统中复杂的DDoS攻击，其中攻击者通过模仿良性流量来逃避检测。通过结合长短期记忆网络（LSTM）和Transformer模型，并引入节点间相关性信息，该方法在F1得分上达到81%，显著优于非相关性模型，尤其在伪装攻击下表现更优。

ABSTRACT

We present a comprehensive study on applying machine learning to detect distributed Denial of service (DDoS) attacks using large-scale Internet of Things (IoT) systems. While prior works and existing DDoS attacks have largely focused on individual nodes transmitting packets at a high volume, we investigate more sophisticated futuristic attacks that use large numbers of IoT devices and camouflage their attack by having each node transmit at a volume typical of benign traffic. We introduce new correlation-aware architectures that take into account the correlation of traffic across IoT nodes, and we also compare the effectiveness of centralized and distributed detection models. We extensively analyze the proposed architectures by evaluating five different neural network models trained on a dataset derived from a 4060-node real-world IoT system. We observe that long short-term memory (LSTM) and a transformer-based model, in conjunction with the architectures that use correlation information of the IoT nodes, provide higher performance (in terms of F1 score and binary accuracy) than the other models and architectures, especially when the attacker camouflages itself by following benign traffic distribution on each transmitting node. For instance, by using the LSTM model, the distributed correlation-aware architecture gives 81% F1 score for the attacker that camouflages their attack with benign traffic as compared to 35% for the architecture that does not use correlation information. We also investigate the performance of heuristics for selecting a subset of nodes to share their data for correlation-aware architectures to meet resource constraints.

研究动机与目标

• 应对大规模物联网系统中DDoS攻击日益增长的威胁，攻击者利用成千上万台被攻陷的设备对目标进行流量淹没。
• 克服现有检测方法依赖高流量峰值的局限性，这些方法在隐蔽、伪装型攻击下失效。
• 开发相关性感知的神经网络架构，通过分析节点间流量模式而非单个节点行为来检测攻击。
• 通过识别最优节点子集用于基于相关性的训练，评估检测性能与资源约束之间的权衡。
• 证明相关性感知模型能显著提升检测准确性，尤其在攻击者模仿正常流量行为的情况下。

提出的方法

• 使用一个包含4060个节点的真实物联网数据集，通过截断柯西分布模拟真实攻击模式，生成模拟的良性与DDoS流量。
• 设计四种新型神经网络架构：MM-WC（集中式，含相关性）、MM-NC（集中式，不含相关性）、OM-WC（分布式，含相关性）和OM-NC（分布式，不含相关性）。
• 在这些架构上训练并评估五种神经网络模型——MLP、CNN、LSTM、Transformer（TRF）和自编码器（AEN），以评估性能差异。
• 应用启发式节点选择方法（皮尔逊相关系数、SHAP、最近邻和随机选择）识别最小节点子集，其相关性数据可保持检测准确性。
• 使用皮尔逊相关系数对节点进行排序，并选择最具信息量的子集用于训练，在资源受限条件下最小化性能下降。
• 通过标准指标评估模型性能：F1得分、二分类准确率、AUC以及在不同攻击强度（由参数k参数化）下的ROC曲线。

实验结果

研究问题

• RQ1 相关性感知的神经网络架构是否能比传统方法更有效地检测DDoS攻击，后者仅孤立分析单个节点？
• RQ2 当在相关性感知与非相关性感知架构上训练时，不同神经网络模型（如LSTM、Transformer等）的性能表现如何变化？
• RQ3 仅使用部分物联网节点进行相关性分析的影响是什么？哪种启发式节点选择方法能最好地保持检测性能？
• RQ4 在每个节点发送的流量量与良性流量无法区分的伪装DDoS攻击中，相关性感知模型的有效性如何？
• RQ5 分布式检测架构能否在降低中心系统通信与计算负载的同时保持高性能？

主要发现

• LSTM模型在MM-WC（集中式，相关性感知）架构下检测伪装DDoS攻击的F1得分为81%，而非相关性感知版本仅为35%。
• 基于Transformer（TRF）的模型与OM-WC（分布式，相关性感知）架构结合后也表现出优越性能，优于其他模型-架构组合。
• 使用皮尔逊相关系数选择节点子集进行训练，相比使用全部节点，F1得分下降最多仅5%，优于SHAP和最近邻方法。
• 当使用部分节点的相关性数据时，相关性感知模型的性能仅轻微下降（最多5%），表明其在资源受限条件下具备良好的可扩展性。
• 最近邻节点选择启发式方法在所有方法中表现最差，凸显统计相关性相比基于邻近度的选择更为重要。
• 所提出的相关性感知模型在低信号、伪装攻击场景中显著提升了检测能力，而传统方法因缺乏基于流量体积的异常特征而失效。