[论文解读] LDoS attack detection method based on traffic time-frequency characteristics

Yu Fu, Xueyuan Duan+2 more|arXiv (Cornell University)|Jun 1, 2022

Network Security and Intrusion Detection被引用 5

一句话总结

本文提出了一种轻量级、实时的LDoS攻击检测方法，利用网络流量的时间-频率特性，通过深度神经网络从简单的数据包统计信息中重建正常流量模式。该方法通过在时间-频率域中识别输入流量与重建序列之间的差异，实现高检测准确率，同时计算开销极低，可在无需逐包解析的情况下有效检测多种真实网络环境中的LDoS攻击。

ABSTRACT

For the traditional denial-of-service attack detection methods have complex algorithms and high computational overhead, which are difficult to meet the demand of online detection; and the experimental environment is mostly a simulation platform, which is difficult to deploy in real network environment, we propose a real network environment-oriented LDoS attack detection method based on the time-frequency characteristics of traffic data. All the traffic data flowing through the Web server is obtained through the acquisition storage system, and the detection data set is constructed using pre-processing; the simple features of the flow fragments are used as input, and the deep neural network is used to learn the time-frequency domain features of normal traffic features and generate reconstructed sequences, and the LDoS attack is discriminated based on the differences between the reconstructed sequences and the input data in the time-frequency domain. The experimental results show that the proposed method can accurately detect the attack features in the flow fragments in a very short time and achieve high detection accuracy for complex and diverse LDoS attacks; since only the statistical features of the packets are used, there is no need to parse the packet data, which can be adapted to different network environments.

研究动机与目标

• 为解决传统DoS检测方法存在的计算复杂度高、在真实网络中可部署性差的问题。
• 开发一种可在实时环境中高效运行且计算成本极低的检测方法。
• 实现在无需逐包检查或复杂协议解析的前提下，广泛部署于各种真实网络环境中的目标。
• 利用网络流量的时间-频率域特征，提升对低速慢速DoS（LDoS）攻击的检测能力。
• 基于真实流量数据构建实用的检测系统，避免依赖仿真环境。

提出的方法

• 通过采集与存储系统从Web服务器获取流量数据，构成检测数据集的基础。
• 对流片段应用预处理，提取简单的统计特征（如到达间隔时间与数据包大小），无需深度包检测。
• 训练深度神经网络以学习正常流量在时间-频率域中的模式，并从这些特征中重建输入序列。
• 在时间-频率域中比较重建序列与原始输入，以检测LDoS攻击相关的异常。
• 检测机制依赖于输入信号与重建信号在时间-频率空间中的差异，识别LDoS攻击的细微特征。
• 由于依赖基本统计特征而非协议特定细节，该方法具备对多种网络环境的自适应能力。

实验结果

研究问题

• RQ1 基于时间-频率特征的轻量级检测方法能否有效识别真实网络流量中的LDoS攻击？
• RQ2 与传统方法相比，该方法在检测准确率和计算效率方面表现如何？
• RQ3 该方法在无需协议特定调优的情况下，能否在不同真实网络环境中实现良好泛化？
• RQ4 对简单数据包统计的时间-频率域分析能否优于传统方法，检测低速慢速DoS攻击？
• RQ5 模型在时间-频率域中的重建能力如何增强对LDoS攻击的异常检测？

主要发现

• 所提方法仅使用数据包的基本统计特征，即可对复杂多样的LDoS攻击实现高检测准确率。
• 该方法计算开销极低，适用于生产环境中实时在线检测。
• 通过避免深度包检测，该方法可适配多种网络环境与协议。
• 输入与重建序列在时间-频率域的对比能有效捕捉LDoS攻击的细微模式。
• 该方法在真实网络条件下表现优异，而许多先前方法依赖仿真平台。
• 模型重建正常流量模式的能力使基于频谱偏差的LDoS攻击精确识别成为可能。