[论文解读] Detection of DDoS Attacks in Software Defined Networking Using Machine Learning Models

Ahmad Hamarshe, Huthaifa I. Ashqar+1 more|arXiv (Cornell University)|Mar 11, 2023

Software-Defined Networks and 5G被引用 4

一句话总结

本文使用 CICDDoS2019 数据集，评估了机器学习模型——随机森林、决策树、支持向量机和 XGBoost——在软件定义网络（SDN）中检测分布式拒绝服务（DDoS）攻击的性能。随机森林取得了 68.9% 的最高准确率，表明尽管存在计算成本，基于机器学习的检测方法依然有效，为提升 SDN 环境抵御 DDoS 攻击的安全性提供了有前景的解决方案。

ABSTRACT

The concept of Software Defined Networking (SDN) represents a modern approach to networking that separates the control plane from the data plane through network abstraction, resulting in a flexible, programmable and dynamic architecture compared to traditional networks. The separation of control and data planes has led to a high degree of network resilience, but has also given rise to new security risks, including the threat of distributed denial-of-service (DDoS) attacks, which pose a new challenge in the SDN environment. In this paper, the effectiveness of using machine learning algorithms to detect distributed denial-of-service (DDoS) attacks in software-defined networking (SDN) environments is investigated. Four algorithms, including Random Forest, Decision Tree, Support Vector Machine, and XGBoost, were tested on the CICDDoS2019 dataset, with the timestamp feature dropped among others. Performance was assessed by measures of accuracy, recall, accuracy, and F1 score, with the Random Forest algorithm having the highest accuracy, at 68.9%. The results indicate that ML-based detection is a more accurate and effective method for identifying DDoS attacks in SDN, despite the computational requirements of non-parametric algorithms.

研究动机与目标

• 为应对软件定义网络（SDN）环境中 DDoS 攻击日益增长的安全威胁。
• 评估机器学习算法在 SDN 架构中检测 DDoS 攻击的有效性。
• 比较多种机器学习模型——随机森林、决策树、支持向量机和 XGBoost——在真实世界 DDoS 数据集上的性能表现。
• 在考虑计算开销的前提下，识别出在 SDN 中检测 DDoS 攻击最准确且高效的机器学习模型。

提出的方法

• 本研究使用 CICDDoS2019 数据集，其中包含带有标签的网络流量样本，包括 DDoS 攻击模式。
• 为减少时间偏差并提高模型泛化能力，从数据集中移除了时间戳特征。
• 对四种机器学习模型——随机森林、决策树、支持向量机和 XGBoost——在预处理后的数据上进行了训练与评估。
• 通过标准指标（准确率、召回率和 F1 分数）衡量性能，以评估检测效果和鲁棒性。
• 使用标准机器学习流程对模型进行训练与测试，并设置固定的随机种子以确保可复现性。
• 应用超参数调优以优化模型性能，尤其针对 XGBoost 和随机森林进行了优化。

实验结果

研究问题

• RQ1 在 SDN 环境中，哪种机器学习模型在 DDoS 攻击检测中达到最高的准确率？
• RQ2 非参数模型（如随机森林和 XGBoost）与传统模型（如支持向量机和决策树）在 DDoS 检测中的表现如何比较？
• RQ3 特征选择——特别是移除时间戳特征——对 DDoS 检测中模型性能有何影响？
• RQ4 计算需求在多大程度上影响高性能机器学习模型在 SDN 中的实际部署？

主要发现

• 在所有评估的模型中，随机森林在检测准确率上达到最高，为 68.9%。
• XGBoost 表现优异，但相比其他模型需要更高的计算资源。
• 移除时间戳特征有助于提升模型泛化能力并降低过拟合风险。
• 所有模型在使用 CICDDoS2019 数据集的平衡子集进行训练时，召回率和 F1 分数均有所提升。
• 尽管准确率处于中等水平，结果仍证实基于机器学习的检测方法是可行且有效的，可用于识别 SDN 中的 DDoS 攻击。
• 本研究表明，非参数模型（如随机森林和 XGBoost）在复杂 SDN 流量场景下，检测性能优于传统模型。