[论文解读] SynGAN: Towards Generating Synthetic Network Attacks using GANs

Jérémy Charlier, Aman Singh+3 more|arXiv (Cornell University)|Aug 26, 2019

Network Security and Intrusion Detection参考文献 13被引用 29

一句话总结

SynGAN 提出了一种基于 GAN 的框架，利用真实流量数据生成高保真度的合成 DDoS 网络攻击，通过 GP-WGAN 提升训练稳定性和生成质量。其合成攻击流与真实攻击流之间的均方根误差为 0.10，区分真实与合成攻击的 AUC 达到 75%，表明两者具有高度相似性，且在提升 NIDS 测试与评估方面具有潜力。

ABSTRACT

The rapid digital transformation without security considerations has resulted in the rise of global-scale cyberattacks. The first line of defense against these attacks are Network Intrusion Detection Systems (NIDS). Once deployed, however, these systems work as blackboxes with a high rate of false positives with no measurable effectiveness. There is a need to continuously test and improve these systems by emulating real-world network attack mutations. We present SynGAN, a framework that generates adversarial network attacks using the Generative Adversial Networks (GAN). SynGAN generates malicious packet flow mutations using real attack traffic, which can improve NIDS attack detection rates. As a first step, we compare two public datasets, NSL-KDD and CICIDS2017, for generating synthetic Distributed Denial of Service (DDoS) network attacks. We evaluate the attack quality (real vs. synthetic) using a gradient boosting classifier.

研究动机与目标

• 为解决现有用于测试和改进网络入侵检测系统（NIDS）的高质量、多样化合成网络攻击数据不足的问题。
• 开发一种能够生成逼真、具备变异感知能力的 DDoS 攻击流量的框架，以模拟真实世界中的攻击模式。
• 通过两个公开数据集 NSL-KDD 和 CICIDS2017 评估合成攻击生成的有效性，重点关注如 GoldenEye 等复杂攻击。
• 通过持续、自动化的测试方式引入不断演化的合成攻击变体，提升 NIDS 的鲁棒性。

提出的方法

• SynGAN 框架采用生成对抗网络（GAN），包含生成器、判别器和评估器，用于生成合成网络攻击流。
• 采用梯度惩罚-Wasserstein GAN（GP-WGAN）以稳定训练并提升样本质量，通过梯度惩罚强制满足 1-Lipschitz 约束。
• 生成器以随机噪声为输入，生成合成数据包流；判别器则用于区分真实攻击与生成攻击。
• 评估器使用梯度提升分类器，通过测量与真实攻击的相似性（如均方根误差等指标）来评估合成攻击的质量。
• 该框架在来自 NSL-KDD 和 CICIDS2017 的真实 DDoS 攻击数据上进行训练，重点关注 Smurf 和 GoldenEye 攻击。
• 训练过程采用 RMSProp 优化算法，学习率为 0.001，衰减率 ρ=0.9，ε=10⁻⁶，梯度惩罚系数 λ=10。

实验结果

研究问题

• RQ1 基于 GP-WGAN 的生成方法能否产生在统计特征和行为模式上与公开数据集中真实攻击高度相似的合成 DDoS 网络攻击？
• RQ2 在关键网络流特征（如流持续时间、IAT 和每秒字节数）方面，合成攻击与真实攻击的质量相比如何？
• RQ3 梯度提升分类器在区分真实与合成攻击流量方面的判别性能如何？
• RQ4 CICIDS2017 数据集是否在生成如 GoldenEye 这类复杂 DDoS 攻击时，相较于 NSL-KDD 提供了更强的统计显著性和代表性？
• RQ5 该合成攻击生成框架是否可扩展至建模超出 DDoS 范围的更复杂攻击状态机？

主要发现

• SynGAN 框架在合成攻击流与真实攻击流之间实现了 0.10 的均方根误差，表明在数据包长度均值、每秒字节数、流持续时间以及正向到达时间间隔（IAT）等关键网络特征上具有高度相似性。
• 梯度提升评估器在区分真实与合成攻击时达到 75% 的 AUC，表明合成攻击高度逼真，难以与真实攻击区分开来。
• CICIDS2017 数据集包含超过 10,000 个 DDoS 样本，相较于 NSL-KDD 的 2,000 个 Smurf 攻击样本，提供了更强的统计相关性，从而支持更可靠的生成与评估。
• 特征重要性分析显示，在 NSL-KDD 数据集中，Dst_host_count 是检测 Smurf 攻击的最关键参数。
• 该框架在复杂 GoldenEye DDoS 攻击模式下表现出收敛性与高质量生成能力，表明其适用于复杂攻击家族。
• 结果证实，基于 GP-WGAN 的生成方法可产生高保真度的合成网络攻击，适用于增强 NIDS 测试与评估流程。