[论文解读] ORACLE: Collaboration of Data and Control Planes to Detect DDoS Attacks

Sebastián Gómez Macías, Luciano Paschoal Gaspary+1 more|arXiv (Cornell University)|Sep 22, 2020

Network Security and Intrusion Detection参考文献 8被引用 8

一句话总结

ORACLE 提出了一种基于 SDN/P4 的架构，将流特征提取与处理任务委派给数据平面，实现了对 DDoS 检测的高粒度流内特征计算。通过将特征计算从控制平面卸载，该方案在使用 K-最近邻算法时实现了高达 96% 的检测准确率，降低了控制器负载，同时克服了 OpenFlow 的局限性。

ABSTRACT

The possibility of programming the control and data planes, enabled by the Software-Defined Networking (SDN) paradigm, represents a fertile ground on top of which novel operation and management mechanisms can be fully explored, being Distributed Denial of Service (DDoS) attack detection based on machine learning techniques the focus of this work. To carry out the detection, this paper proposes ORACLE: cOllaboRation of dAta and Control pLanEs to detect DDoS attacks, an architecture that promotes the coordination of control and data planes to detect network attacks. As its first contribution, this architecture delegates to the data plane the extraction and processing of traffic information collected per flow. This is done in order to ease the calculation and classification of the feature set used in the attack detection, as the needed flow information is already processed when it arrives at the control plane. Besides, as the second contribution, this architecture breaks the limitations to calculate some features that are not possible to implement in a traditional OpenFlow-based environment. In the evaluation of ORACLE, we obtained up to 96% of accuracy in the testing phase, using a K-Nearest Neighbor model.

研究动机与目标

• 通过将特征处理卸载到数据平面，解决基于机器学习的 DDoS 检测系统中控制平面过载的问题。
• 克服传统 OpenFlow 在计算细粒度、流内流量特征以用于攻击检测方面的局限性。
• 利用可编程数据平面实现实时、高保真度的特征提取，供机器学习模型使用。
• 设计控制平面与数据平面之间的协作框架，以提升检测准确率并降低延迟。
• 证明在标准 SDN 环境中此前无法实现的流内特征用于 DDoS 攻击检测的可行性。

提出的方法

• 数据平面使用 P4 实现基于哈希的数据结构，用于存储每流的流量统计信息，包括到达间隔时间和数据包序列信息。
• 采用周期性报告机制，以可配置的时间间隔（5 秒至 60 秒）将处理后的流数据从数据平面发送至控制平面。
• 控制平面接收并聚合流报告，以计算全面的特征集，包括流内级别的特征，如到达间隔时间方差和数据包序列模式。
• 使用机器学习模型（K-最近邻和随机森林）基于该特征集对流进行分类，判断其为良性或 DDoS 流量。
• 系统使用 P4Runtime 实现控制平面与可编程交换机之间的通信，支持动态配置和数据检索。
• 特征计算包括到达时间间隔的均值、标准差和变异系数等指标，这些在标准 OpenFlow 中不可行。

实验结果

研究问题

• RQ1 将特征提取卸载到数据平面是否能降低基于机器学习的 DDoS 检测中的控制平面开销？
• RQ2 在 SDN/P4 环境中，可编程数据平面是否能够实现细粒度流内特征的计算以用于攻击检测？
• RQ3 在数据平面辅助的检测系统中，不同时间窗口长度对机器学习模型检测准确率的影响如何？
• RQ4 在协同式控制-数据平面架构中，检测准确率、误报率与检测延迟之间的权衡关系如何？
• RQ5 所提出的架构是否能比传统的仅控制平面方法实现更高的 DDoS 攻击检测准确率？

主要发现

• K-最近邻模型在 60 秒时间窗口下实现了最高的 96% 检测准确率，优于随机森林模型。
• 在 40 秒时间窗口下，KNN 模型 M7 的 F1 得分达到 0.962，召回率为 97.0%，选择性为 96.7%，表明假阴性和假阳性率均较低。
• 随机森林模型 M4 在 60 秒窗口下实现了 95.9% 的 F1 得分，召回率为 96.3%，选择性为 94.1%，表现出较强的性能且误报率适中。
• 所有模型在所有时间窗口下的检测准确率均超过 93%，其中 60 秒窗口下准确率最高，尽管这会引入更高的检测延迟。
• 所有时间窗口下，KNN 模型的准确率均持续高于随机森林模型，最高相差 1.2%。
• 该系统表明，当数据平面可编程时，诸如到达间隔时间方差等流内特征可被有效提取并用于机器学习模型，从而克服 OpenFlow 的局限性。