[论文解读] Detecting Network Anomalies using Rule-based machine learning within SNMP-MIB dataset

Abdalrahman Hwoij, Mouhammd Alkasassbeh+1 more|arXiv (Cornell University)|Jan 18, 2020

Network Security and Intrusion Detection参考文献 33被引用 6

一句话总结

本文提出一种基于规则的机器学习方法，利用SNMP-MIB数据集检测网络异常，特别是拒绝服务（DoS）攻击。该方法采用五种基于规则的分类器，尤其是PART，能够以100%的准确率区分正常流量与各类DoS攻击，使用ICMP变量对ICMP-based攻击的识别准确率高达99.7%。

ABSTRACT

One of the most effective threats that targeting cybercriminals to limit network performance is Denial of Service (DOS) attack. Thus, data security, completeness and efficiency could be greatly damaged by this type of attacks. This paper developed a network traffic system that relies on adopted dataset to differentiate the DOS attacks from normal traffic. The detection model is built with five Rule-based machine learning classifiers (DecisionTable, JRip, OneR, PART and ZeroR). The findings have shown that the ICMP variables are implemented in the identification of ICMP attack, HTTP flood attack, and Slowloris at a high accuracy of approximately 99.7% using PART classifier. In addition, PART classifier has succeeded in classifying normal traffic from different DOS attacks at 100%.

研究动机与目标

• 开发一种能够利用SNMP-MIB数据区分DoS攻击与正常网络流量的网络流量系统。
• 评估基于规则的机器学习分类器在检测各类DoS攻击（包括ICMP洪水攻击和Slowloris攻击）方面的有效性。
• 在DecisionTable、JRip、OneR、PART和ZeroR五种分类器中，识别出在网络流量异常检测中最准确的分类器。
• 评估ICMP相关变量在提升特定攻击类型检测准确率方面的作用。

提出的方法

• 本研究以SNMP-MIB数据集作为训练和测试网络流量数据的主要来源。
• 实现并评估了五种基于规则的机器学习分类器——DecisionTable、JRip、OneR、PART和ZeroR，用于异常检测。
• 由于PART分类器表现优异，因此被选中进行详细分析，其通过规则归纳生成可解释的分类规则。
• 特征选择聚焦于ICMP相关变量，这些变量被发现对ICMP-based攻击具有高度区分性。
• 性能评估采用标准分类指标，特别关注准确率，尤其是在区分正常流量与DoS攻击方面。

实验结果

研究问题

• RQ1 在使用SNMP-MIB数据检测DoS攻击时，哪种基于规则的机器学习分类器表现最佳？
• RQ2 ICMP相关变量在识别ICMP-based DoS攻击方面有多有效？
• RQ3 基于规则的模型能否在分类正常流量与DoS攻击方面实现接近完美的准确率？
• RQ4 特征选择对特定攻击类型检测性能有何影响？

主要发现

• PART分类器在区分各种DoS攻击与正常网络流量方面实现了100%的准确率。
• PART分类器使用ICMP相关变量对ICMP-based攻击的检测准确率约为99.7%。
• ICMP变量在识别ICMP洪水攻击和Slowloris攻击方面表现出高度有效性。
• 在所测试的五种基于规则的分类器中，PART在整体检测性能上表现最佳。