[论文解读] DDoSDet: An approach to Detect DDoS attacks using Neural Networks

Aman Rangapur, Tarun Kanakam+1 more|arXiv (Cornell University)|Jan 24, 2022

Network Security and Intrusion Detection被引用 7

一句话总结

本文提出 DDoSDet，一种深度神经网络模型，利用 CICDDoS2019 数据集以 99.7% 的准确率检测 DDoS 攻击。该模型采用三层密集网络架构，配合 ReLU 激活函数与 0.25 的 Dropout 正则化，通过利用基于流量的网络特征，在 SDN 环境中实现对实时入侵检测的优越性能。

ABSTRACT

Cyber-attacks have been one of the deadliest attacks in today's world. One of them is DDoS (Distributed Denial of Services). It is a cyber-attack in which the attacker attacks and makes a network or a machine unavailable to its intended users temporarily or indefinitely, interrupting services of the host that are connected to a network. To define it in simple terms, It's an attack accomplished by flooding the target machine with unnecessary requests in an attempt to overload and make the systems crash and make the users unable to use that network or a machine. In this research paper, we present the detection of DDoS attacks using neural networks, that would flag malicious and legitimate data flow, preventing network performance degradation. We compared and assessed our suggested system against current models in the field. We are glad to note that our work was 99.7\% accurate.

研究动机与目标

• 为应对现代网络中 DDoS 攻击日益增长的威胁，特别是 SDN 环境中的威胁。
• 在传统机器学习模型的基础上，进一步提升检测准确率与效率。
• 开发一种鲁棒、可扩展的基于神经网络的入侵检测系统，实现实时 DDoS 攻击识别。
• 利用近期 DDoS 攻击类型的平衡且全面的数据集评估模型性能。
• 证明深度学习在检测良性与恶意网络流量方面优于传统机器学习方法。

提出的方法

• 该模型采用具有三个密集层的序列神经网络，每层包含 64 个神经元，并使用 ReLU 激活函数。
• 在每个密集层之后应用 0.25 的 Dropout 正则化，以防止过拟合。
• 最后一层为两单位输出层，用于二分类：良性或 DDoS 攻击。
• 使用分类交叉熵损失和 RMSProp 优化器进行模型训练。
• 通过 CICFlowMeter 从 CICDDoS2019 数据集中提取特征，生成 80 多个基于流量的属性。
• 训练过程持续 40 个周期，数据集按比例划分为训练集（271,479 个样本）、验证集（53,880 个样本）和测试集（28,000 个样本）。

实验结果

研究问题

• RQ1 深度神经网络是否能在识别 DDoS 攻击方面实现高于传统机器学习模型的检测准确率？
• RQ2 模型架构（包括深度与 Dropout 率）如何影响检测性能与训练效率？
• RQ3 使用 CICDDoS2019 数据集中的基于流量特征对攻击检测准确率有何影响？
• RQ4 该模型在未见过的测试数据上的表现如何，这些数据代表了训练集中未包含的多样化 DDoS 攻击类型？
• RQ5 在实时 DDoS 检测中，模型复杂度与检测性能之间是否存在最优平衡？

主要发现

• DDoSDet 模型在测试集上实现了 99.7% 的总体准确率，显著优于传统机器学习模型。
• 模型在攻击检测中的精确率为 0.97，在良性流量检测中为 0.98，两类的召回率均为 0.99。
• 攻击检测的 F1 分数为 0.98，良性流量检测的 F1 分数为 0.99，表明精确率与召回率之间具有高度平衡。
• 当模型具有三个隐藏层时，性能最为稳定且准确；增加深度并未提升准确率，但增加了训练时间。
• 与 SVM、LR 和 RF 相比，DDoSDet 实现了最高的准确率（99%）和 F1 分数（0.98/0.99），甚至超越了表现最佳的传统模型。
• 训练曲线显示，经过 40 个周期后，准确率稳定在接近 99.7% 的水平，损失持续下降，表明模型学习效果良好。