[论文解读] Early Signals from Volumetric DDoS Attacks: An Empirical Study

Michele Nogueira, Augusto Santos+1 more|arXiv (Cornell University)|Sep 30, 2016

Network Security and Intrusion Detection参考文献 15被引用 3

一句话总结

本文提出使用非参数领先指标——收益率、自相关性、变异系数和偏度——在 volumetric DDoS 攻击开始前预测其趋势。基于真实的 CAIDA 数据集追踪，研究发现这些指标在攻击开始前最多 22 分钟内表现出关键的临界转变行为，从而实现对网络重大变化的早期预警。

ABSTRACT

Distributed Denial of Service (DDoS) is a common type of Cybercrime. It can strongly damage a company reputation and increase its costs. Attackers improve continuously their strategies. They doubled the amount of unleashed communication requests in volume, size, and frequency in the last few years. This occurs against different hosts, causing resource exhaustion. Previous studies focused on detecting or mitigating ongoing DDoS attacks. Yet, addressing DDoS attacks when they are already in place may be too late. In this article, we consider network resilience by early prediction of attack trends. We show empirically the advantage of using non-parametric leading indicators for early prediction of volumetric DDoS attacks. We report promising results over a real dataset from CAIDA. Our results raise new questions and opportunities for further research in early predicting trends of DDoS attacks.

研究动机与目标

• 为解决现有 DDoS 检测与缓解系统仅在攻击开始后才作出反应的局限性。
• 探究非参数领先指标是否可在 volumetric DDoS 攻击发生前预测其发生。
• 通过实证验证在破坏性 DDoS 事件发生前，网络流量中是否存在与亚稳态相关的特征行为。
• 通过识别攻击趋势的通用早期预警特征，为主动防御机制提供基础。

提出的方法

• 从 CAIDA UCSD DDoS 2007 数据集的 tcpdump 追踪中提取数据包大小的时间序列，重点关注攻击前奏阶段和攻击阶段。
• 在时间序列数据的滑动窗口上计算四种非参数领先指标：收益率、滞后 1 自相关性、变异系数和偏度。
• 分析这些指标随时间的变化，以检测与网络状态临界转变相关的特征行为。
• 识别出与亚稳态一致的模式——攻击开始前收益率下降，自相关性、方差和偏度上升。
• 通过实证分析比较指标在准备阶段、攻击阶段和攻击后阶段的行为差异。
• 评估这些行为转变相对于实际攻击启动时间的时机，以评估其早期预测潜力。

实验结果

研究问题

• RQ1 能否从网络流量时间序列中提取的领先指标检测到即将发生的 volumetric DDoS 攻击的早期迹象？
• RQ2 与亚稳态相关的特征行为（如收益率下降、自相关性上升）是否在攻击开始前出现？
• RQ3 这些指标能提前多久发出由于 DDoS 攻击导致的破坏性网络状态转变的预警？
• RQ4 这些指标是否在攻击完全启动前的准备阶段即有效？
• RQ5 这些通用指标能否作为主动 DDoS 早期预警系统的基础？

主要发现

• 领先指标——收益率、自相关性、变异系数和偏度——在 DDoS 攻击开始前 22 分钟表现出临界转变的典型行为。
• 在 20:51 和 20:52（攻击准备阶段）观察到收益率显著下降，同时自相关性、变异系数和偏度上升。
• 这些行为转变在攻击正式启动的精确时刻并未出现，表明预警信号是在攻击前奏阶段逐渐显现的。
• 本研究证实，网络流量中与亚稳态相关的模式可在破坏性 DDoS 事件发生前被检测到。
• 这些指标在准备阶段表现出一致且可检测的变化，表明其具备早期预测潜力。
• 结果表明，非参数化且通用的指标可作为 volumetric DDoS 攻击的可靠早期预警信号。