[论文解读] Privacy-Preserving DDoS Attack Detection Using Cross-Domain Traffic in Software Defined Networks

Liehuang Zhu, Xiangyun Tang+3 more|arXiv (Cornell University)|Sep 19, 2018

Network Security and Intrusion Detection参考文献 23被引用 5

一句话总结

本文提出 Predis，一种面向软件定义网络（SDN）的隐私保护跨域 DDoS 攻击检测方案，结合扰动加密与数据加密，在保护敏感流量数据的同时，利用优化的 k-最近邻（kNN）算法实现高精度检测。Predis 在低时间消耗下实现高检测准确率，有效保护多个 SDN 域之间的隐私。

ABSTRACT

Existing distributed denial-of-service attack detection in software defined networks (SDNs) typically perform detection in a single domain. In reality, abnormal traffic usually affects multiple network domains. Thus, a cross-domain attack detection has been proposed to improve detection performance. However, when participating in detection, the domain of each SDN needs to provide a large amount of real traffic data, from which private information may be leaked. Existing multiparty privacy protection schemes often achieve privacy guarantees by sacrificing accuracy or increasing the time cost. Achieving both high accuracy and reasonable time consumption is a challenging task. In this paper, we propose Predis, which is a privacypreserving cross-domain attack detection scheme for SDNs. Predis combines perturbation encryption and data encryption to protect privacy and employs a computationally simple and efficient algorithm k-Nearest Neighbors (kNN) as its detection algorithm. We also improve kNN to achieve better efficiency. Via theoretical analysis and extensive simulations, we demonstrate that Predis is capable of achieving efficient and accurate attack detection while securing sensitive information of each domain.

研究动机与目标

• 解决在保护域内敏感流量数据免遭隐私泄露的前提下，检测 SDN 中跨域 DDoS 攻击的挑战。
• 克服现有隐私保护方案在准确率或计算成本方面存在的局限性。
• 在不暴露原始流量数据（包括源/目的 IP 地址和流量统计信息）的前提下，实现多个 SDN 域之间的协作检测。
• 设计一种轻量级、高效的检测机制，在隐私约束下保持高准确率。
• 通过双服务器架构与安全通信，确保抵御域之间及服务器之间的合谋攻击。

提出的方法

• 在跨域共享前，应用基于几何变换的数据扰动技术对原始流量特征进行匿名化处理。
• 使用对称加密保护传输和存储过程中的敏感数据，确保机密性。
• 将检测过程分解为两个阶段：流量扰动与基于分布式 kNN 的异常检测。
• 部署两个逻辑上分离的服务器——一个负责扰动，一个负责检测——防止域与服务器之间的合谋。
• 通过减少冗余距离计算并使用高效数据索引优化 kNN 算法，降低时间复杂度。
• 通过南向接口（COPI）与基于 OpenFlow 的 SDN 控制器集成，实现实时流量控制与告警处理。

实验结果

研究问题

• RQ1 能否设计一种跨域 DDoS 检测方案，在保护 SDN 中域内流量数据隐私的同时保持高检测准确率？
• RQ2 当多个 SDN 域共享流量数据以实现协作检测时，如何确保隐私不被泄露？
• RQ3 在多域 DDoS 检测中，隐私保护、检测准确率与计算效率之间的权衡关系如何？
• RQ4 结合数据扰动与加密的混合方法是否能在安全性和性能方面优于现有隐私保护方案？
• RQ5 在隐私保护环境下，kNN 算法在不降低检测准确率的前提下，可优化到何种程度以减少时间消耗？

主要发现

• 在 KDD Cup 1999 数据集上，Predis 对 DoS 攻击的精确率为 0.9161，对 Probe 攻击的精确率为 0.9901，优于大多数情况下的 SOM 与 SVM。
• DoS 与 Probe 攻击的召回率均超过 0.91，表明其在识别真正阳性样本方面具备强大能力。
• 对于数据集中较为稀少的 U2R 攻击，召回率较低（0.79），但精确率仍保持在 0.8834，显示出在实例频率较低情况下的鲁棒性。
• 与隐私保护方案 PSOM 相比，Predis 显著降低了时间消耗，证明了其在跨域检测中的效率优势。
• 理论分析与仿真结果表明，即使在域与服务器之间存在潜在合谋的情况下，Predis 仍能保持高检测准确率并有效保护隐私。
• 优化后的 kNN 算法显著降低了计算开销，使大规模 SDN 环境下的实时检测成为可能。