[논문]소프트웨어-정의 네트워크에서 CNN 모델을 이용한 DDoS 공격 탐지 기술

고광만

doi:10.17661/jkiiect.2020.13.6.605

소프트웨어-정의 네트워크에서 CNN 모델을 이용한 DDoS 공격 탐지 기술
A DDoS Attack Detection Technique through CNN Model in Software Define Network 원문보기

한국정보전자통신기술학회논문지 = Journal of Korea institute of information, electronics, and communication technology, v.13 no.6, 2020년, pp.605 - 610

고광만 (Department of Computer Engineering, Sang-Ji University)

초록
AI-Helper

소프트웨어 정의 네트워크가 확장성, 유연성, 네트워크상 프로그래밍이 가능한 특징으로 네트워크 관리에서 표준으로 자리잡아 가고 있지만 많은 장점에도 불구하고 하나의 컨트롤러에 대한 사이버 공격이 전체 네트워크를 영향을 주는 문제점을 가지고 있다. 특히, 컨트롤러에 대한 DDoS 공격이 대표적인 사례로서 다양한 공격 탐지 기술에 대한 연구가 진행되고 있다. 본 논문에서는 최초로 84개 DDoS 공격 Feature 데이터셋을 Kaggle에서 획득한 후 Permutation Feature Importance 알고리즘을 이용하여 상위 20의 중요도를 갖는 Feature를 선택하여 딥 러닝 기반의 CNN 모델에서 학습과 검증을 수행하였다. 이를 통해, 최적의 공격 탐지율을 갖는 상위 13개의 DDoS Feature 선택이 DDoS 공격 탐지율 96%을 유지하면서 적정한 공격 탐지 시간, 정확성 등에서 매우 우수한 결과를 제시하였다.

Abstract ▼ AI-Helper

Software Defined Networking (SDN) is setting the standard for the management of networks due to its scalability, flexibility and functionality to program the network. The Distributed Denial of Service (DDoS) attack is most widely used to attack the SDN controller to bring down the network. Different methodologies have been utilized to detect DDoS attack previously. In this paper, first the dataset is obtained by Kaggle with 84 features, and then according to the rank, the 20 highest rank features are selected using Permutation Importance Algorithm. Then, the datasets are trained and tested with Convolution Neural Network (CNN) classifier model by utilizing deep learning techniques. Our proposed solution has achieved the best results, which will allow the critical systems which need more security to adopt and take full advantage of the SDN paradigm without compromising their security.

주제어

표/그림 (8)

그림 그림 1. CNN Future 선택을 이용한 DDoS 탐지 시스템 개요 Fig. 1. Overview of DDoS Detection System using CNN Future Selection
표 표 1. PFI를 이용한 13 Feature 선택 Table 1. 13 Feature Selection using 13 PFI
그림 그림 2. DDoS 탐지 시스템을 위한 네트워크 토폴로지 Fig. 2. Network Topology for DDoS Detection System
표 표 2. 실험 환경 Table 2. Experimental Environment
표 표 3. 실험 평가 지표 Table 3. Experimental Evaluation Index
그림 그림 3. DDoS 공격이 없는 네트워크 트래픽 성능 Fig. 3. The Performance of Network Traffic without DDoS Attack
그림 그림 4. DDoS 공격에 대해 탐지 및 완화 메커니즘을 적용한 네트워크 트래픽 성능 Fig. 4. The Performance of Network Traffic of DDoS Attacked with Detection and Mitigation
그림 그림 5. DDoD 공격에 대해 탐지 및 완화 메커니즘을 적용하지 않은 네트워크 트래픽 성능 Fig. 5. The Performance of Network Traffic of DDoS Attacked without Detection and Metigation

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 SDN 환경에서 DDoS 공격을 탐지하고 완화하기 위해 딥 러딩 기반 CNN 모델을 적용하여 실험한 결과를 제시하였다. 이 실험을 통해 논문에서 적용한 연구 방법의 타당성과 성능의 우수성을 확인하였다.

제안 방법

DDoS 공격자 PC를 탐지하게 위해 RYU 컨트롤러에 딥 러닝 기반 CNN 분류기 모델을 구현하였다. 이러한 토폴로지의 설정은 기존 머신 러닝 기반의 DDoS 공격 탐지를 위한 설정과 동일하게 구성한 후 적용하였다.
[8]에서 선행되었다. SOM을 기반으로 일정 시간 동안 OpenFlow 스위치의 플로우 항목에서 패킷 정보를 추출하기 위해 네트워크에 NOX 등록 스위치를 설정하여 사용하였다. 이러한 머신 러닝 기반의 플로우 통계 정보는 SOM 분류기 모듈을 통해 악의적인 트래픽과 정상적인 트래픽을 판별하는데 적용하였다.
상위 20개의 Feature를 선택하였다. 둘째, 64개와 20 Feature 선택을 Mininet 시뮬레이터의 SDN 토폴리지의 RYU 컨트로내에 컨볼로션 신경망 네트워크 (CNN) 분류기 모델에서 실험한 최적의 13개의 Feature에 대한 평가 결과를 제시하였다.
둘째로, 64개의 공격과 13개의 특징을 가진 10, 500, 000 개의 데이터셋에 대해 러닝 기반 CNN 모델에 적용하여 97% 이상의 공격 탐지 적중률을 보장하면서 공격 탐지 시간 우수성을 갖는 결과를 그림 1과 같은 과정을 통해 제시하였다.
정밀도는 실험에 적용된 모든 데이터셋에 대해 DDoS 공격으로 예측한 네트워크 흐름을 실제로 DDoS 공격으로 판정되는 비율을 의미한다. 마지막으로 F1_Score를 통해서 재현율과 정밀도의 안정적인 평균값을 구해 지나치게 DDoS 공격 또는 정상적인 네트워크 흐름에 데이터 셋이 치우치는 정도를 방지하게 위해 평가한다.
시간 특성 기반 기술에서는 시간 특성을 DDoS 공격을 탐지하는 중요한 요소로 활용하여 Nugraha, M., Paramita[3] 연구에서 패킷 특성과 흐름 시간을 기반으로 통계적 방법을 제안한 후 sFlow[4]를 사용하여 시간 흐름을 수집하고 임계값을 적용하여 DDoS 패킷을 인식하였다. Dharma, N.
실험을 통해 공격 탐지 평가 시간(Evaluation time), 정확도(Accuracy), 재현율(Sensitivity), 정밀도(Precision), 특이도(Specificity), F1_Score 값을 측정하였다. 재현율은 DDoS 공격으로 예측한 집단에서 실제로 DDoS 공격으로 탐지하는 비율로서 100% 에 근접해야 적중률이 높다고 판정한다.
학습한 모델과 데이터만 있으면 변수 중요도를 뽑아주는 방법이기 때문에, 모델의 학습 과정, 내부 구조에 대한 정보가 필요 없어서 어느 모델이든 적용할 수 있는 장점을 가지고 있다. 오버헤드를 줄이기 위해 PI 알고리즘을 통해 DDoS 공격 탐지율 96% 이상을 감지하면서 네트워크 지연을 감소시킬 수 있는 13개의 패턴을 반복적인 실험을 통해 표1과 같이 획득하였다. 즉, 64개의 공격 패턴을 적용했을 경우와 같은 공격 탐지율을 유지하면서 공격 탐지 시간을 현저히 줄일 수 있는 최적을 Feature를 중요도에 따라 결정하였다.
이 논문은 SDN에서 DDoS 공격을 탐지하기 위해 첫째, Kaggle에서 수집된 84개의 DDoS 공격 패턴 중 의미 있는 64개의 유형에 대해 PFI 알고리즘을 활용하여 가장 의미있는 13개의 Feature를 선택했다. 둘째로, 64개의 공격과 13개의 특징을 가진 10, 500, 000 개의 데이터셋에 대해 러닝 기반 CNN 모델에 적용하여 97% 이상의 공격 탐지 적중률을 보장하면서 공격 탐지 시간 우수성을 갖는 결과를 그림 1과 같은 과정을 통해 제시하였다.
[10] 연구에서도 DDoS 공격 탐지를 위해 엔트로피 기반으로 무작위성을 활용하여 특정 호스트로 가는 수신 패킷의 수를 계산한 후, 이를 기준값과 비교한다. 이 연구에서는 수신되는 패킷을 측정하는 무작위성을 활용하였으며 무작위성을 측정하는 좋은 방법으로서 엔트로피를 활용하였다. 엔트로피는 총 이벤트 수에 대해 하나의 이벤트가 발생할확률을 도출하며 무작위성이 감소하면 엔트로피가 감소한다는 것을 의미하고 있다.
SOM을 기반으로 일정 시간 동안 OpenFlow 스위치의 플로우 항목에서 패킷 정보를 추출하기 위해 네트워크에 NOX 등록 스위치를 설정하여 사용하였다. 이러한 머신 러닝 기반의 플로우 통계 정보는 SOM 분류기 모듈을 통해 악의적인 트래픽과 정상적인 트래픽을 판별하는데 적용하였다.
DDoS 공격자 PC를 탐지하게 위해 RYU 컨트롤러에 딥 러닝 기반 CNN 분류기 모델을 구현하였다. 이러한 토폴로지의 설정은 기존 머신 러닝 기반의 DDoS 공격 탐지를 위한 설정과 동일하게 구성한 후 적용하였다. Mininete 가상 네트워크 환경을 설정하는 에뮬레이터로서 본 논문의 실험 환경 구성을 위해 파이썬 기반의 RYU SDN 컨트롤러 기능, OpenFlow 프로토콜 지원을 활용할 수 있다.
오버헤드를 줄이기 위해 PI 알고리즘을 통해 DDoS 공격 탐지율 96% 이상을 감지하면서 네트워크 지연을 감소시킬 수 있는 13개의 패턴을 반복적인 실험을 통해 표1과 같이 획득하였다. 즉, 64개의 공격 패턴을 적용했을 경우와 같은 공격 탐지율을 유지하면서 공격 탐지 시간을 현저히 줄일 수 있는 최적을 Feature를 중요도에 따라 결정하였다. 최소 Future 선택을 거친 64개의 DDoS 공격 패턴보다 PFI를 통해 선택된 13개의 DDoS 공격 패턴의 효율성 검증을 위해 딥 러닝 기반 CNN 모델에 적용하여 실행 시간, 정밀도, 재현율 등을 3.
첫 번째 실험은 PFI 알고리즘을 이용한 Feature 선택 없이 77개와 64개의 Feature에 대해 SDN에서 정상적인 네트워크 흐름(46%)과 DDoS 공격(54%)이 혼합되어 있는 일반적인 상황을 실험하였다. 77개의 Feature 보다는 64개의 Feature를 적용한 경우가 유사한 공격 탐지 평가 시간에도 불구하고 정확도에서 2 배 정도 높은 적중률을 보여주고 있지만 다른 평가 요소에서는 다소 불안정한 결과를 보여주고 있다.
즉, 64개의 공격 패턴을 적용했을 경우와 같은 공격 탐지율을 유지하면서 공격 탐지 시간을 현저히 줄일 수 있는 최적을 Feature를 중요도에 따라 결정하였다. 최소 Future 선택을 거친 64개의 DDoS 공격 패턴보다 PFI를 통해 선택된 13개의 DDoS 공격 패턴의 효율성 검증을 위해 딥 러닝 기반 CNN 모델에 적용하여 실행 시간, 정밀도, 재현율 등을 3.3절의 실험을 통해 입증하였다.
이 실험을 통해 Feature 선택의 수를 줄여서 탐지 평가 시간을 줄이고 다른 평가 요소값이 100%에 근접하는 값을 찾는 최적의 PFI 알고리즘의 필요성이 도출되었다. 최적의 Feture 수를 찾기 위해 두 번째 실험에서는 PFI 알고리즘을 적용하여 반복적인 실험을 진행하였다. Future 수를 13, 12, 11, 10, 9, 8 부근에서 90% 이상의 정확도를 유지하면서 탐지 평가 시간을 적정하게 유지하는 구간을 찾은 후 반복적으로 트레이닝을 CNN 분류기 모델을 통해 상위 13 Future가 최적임을 확인했다.

대상 데이터

토폴로지를 구성하였다. SDN 토폴로지는 6대의 PC, OpenFlow 스위치, RYU SDN 컨트롤러로 구성되어 있다.
본 논문에서 DDoS 공격 탐지 시스템의 실험 검증을 위해 Mininet 시뮬레이터상에서 그림 2와 같은 SDN 토폴로지를 구성하였다. SDN 토폴로지는 6대의 PC, OpenFlow 스위치, RYU SDN 컨트롤러로 구성되어 있다.
본 논문에서는 딥 러닝 기반으로 DDoS 공격 방어(탐지 및 완화)하기 위해 첫째, Kaggle에서 획득한 84개의 DDoS 공격 Feature 데이터 셋으로부터 의미있는 64 개의 Feature와 Permutation Importance(PFI)을 통해 상위 20개의 Feature를 선택하였다. 둘째, 64개와 20 Feature 선택을 Mininet 시뮬레이터의 SDN 토폴리지의 RYU 컨트로내에 컨볼로션 신경망 네트워크 (CNN) 분류기 모델에서 실험한 최적의 13개의 Feature에 대한 평가 결과를 제시하였다.

이론/모형

기존 연구에서는 머신 러닝 기반 네트워크 침입 탐지 시스템에서 Random Forest 알고리즘을 적용하여 DDoS 공격을 탐지하는 연구 진행되었지만 본 논문에서는 딥 러닝 기반에서 지도 및 비지도 학습이 가능한 CNN 분류기 모델을 적용하였다.

성능/효과

최적의 Feture 수를 찾기 위해 두 번째 실험에서는 PFI 알고리즘을 적용하여 반복적인 실험을 진행하였다. Future 수를 13, 12, 11, 10, 9, 8 부근에서 90% 이상의 정확도를 유지하면서 탐지 평가 시간을 적정하게 유지하는 구간을 찾은 후 반복적으로 트레이닝을 CNN 분류기 모델을 통해 상위 13 Future가 최적임을 확인했다. 최적의 상위 13 Future를 적용하여 DDoS 공격이 없는 경우는 그림 3과 같다.
77개의 Feature 보다는 64개의 Feature를 적용한 경우가 유사한 공격 탐지 평가 시간에도 불구하고 정확도에서 2 배 정도 높은 적중률을 보여주고 있지만 다른 평가 요소에서는 다소 불안정한 결과를 보여주고 있다. 이 실험을 통해 Feature 선택의 수를 줄여서 탐지 평가 시간을 줄이고 다른 평가 요소값이 100%에 근접하는 값을 찾는 최적의 PFI 알고리즘의 필요성이 도출되었다. 최적의 Feture 수를 찾기 위해 두 번째 실험에서는 PFI 알고리즘을 적용하여 반복적인 실험을 진행하였다.
실험한 결과를 제시하였다. 이 실험을 통해 논문에서 적용한 연구 방법의 타당성과 성능의 우수성을 확인하였다. 특히, SDN 환경에서 딥 러닝 기반으로 DDoS 공격을 탐지하는 시도가 기존 연구보다 네트워크 흐름에 적은 오버헤드를 가지고 있으며 적정한 Future 선택은 공격 탐지율을 기존 95%정도에서 평균적으로 97% 이상, 기존 97% 정밀도를 98%까지 높였으며, 선행 연구들과 같이 F1_socre 96% 이상을 유지하면서 공격 탐지 시간을 2%이상 줄이는 것을 확인하였다.
재현율은 DDoS 공격으로 예측한 집단에서 실제로 DDoS 공격으로 탐지하는 비율로서 100% 에 근접해야 적중률이 높다고 판정한다. 특이도는 정상적인 네트워크 흐름으로 예측한 집단중 실제로 정상적인 네트워크 흐름으로 탐지하는 비율로서 100%에 근접해야 정확도가 높다고 판정한다.
재현율은 DDoS 공격으로 예측한 집단에서 실제로 DDoS 공격으로 탐지하는 비율로서 100% 에 근접해야 적중률이 높다고 판정한다. 특이도는 정상적인 네트워크 흐름으로 예측한 집단중 실제로 정상적인 네트워크 흐름으로 탐지하는 비율로서 100%에 근접해야 정확도가 높다고 판정한다. 정밀도는 실험에 적용된 모든 데이터셋에 대해 DDoS 공격으로 예측한 네트워크 흐름을 실제로 DDoS 공격으로 판정되는 비율을 의미한다.
이 실험을 통해 논문에서 적용한 연구 방법의 타당성과 성능의 우수성을 확인하였다. 특히, SDN 환경에서 딥 러닝 기반으로 DDoS 공격을 탐지하는 시도가 기존 연구보다 네트워크 흐름에 적은 오버헤드를 가지고 있으며 적정한 Future 선택은 공격 탐지율을 기존 95%정도에서 평균적으로 97% 이상, 기존 97% 정밀도를 98%까지 높였으며, 선행 연구들과 같이 F1_socre 96% 이상을 유지하면서 공격 탐지 시간을 2%이상 줄이는 것을 확인하였다. 향후에는 Mininet 시뮬레이터에서 구현하고 검증한 결과를 실제 SDN 컨트롤러에 적용하여 성능 평가를 진행하고 다양한 사이버 공격에도 활용하여 안정적인 네트워크 흐름을 유지할 수 있는 연구를 진행할 예정이다.

후속연구

특히, SDN 환경에서 딥 러닝 기반으로 DDoS 공격을 탐지하는 시도가 기존 연구보다 네트워크 흐름에 적은 오버헤드를 가지고 있으며 적정한 Future 선택은 공격 탐지율을 기존 95%정도에서 평균적으로 97% 이상, 기존 97% 정밀도를 98%까지 높였으며, 선행 연구들과 같이 F1_socre 96% 이상을 유지하면서 공격 탐지 시간을 2%이상 줄이는 것을 확인하였다. 향후에는 Mininet 시뮬레이터에서 구현하고 검증한 결과를 실제 SDN 컨트롤러에 적용하여 성능 평가를 진행하고 다양한 사이버 공격에도 활용하여 안정적인 네트워크 흐름을 유지할 수 있는 연구를 진행할 예정이다.

참고문헌 (11)

"Toward an Optimal Solution Against Denial of Service Attacks in Software Defined Networks-ScienceDirect." [Online]. Available: https://www.sciencedirect.com/science/article/pii/S0167739X18302930 #bb40. [Accessed: 30-Mar-2019].
O. Rahman, M. A. G. Quraishi, C.-H. Lung, "Ddos attacks detection and mitigation insdn using machine learning," IEEE World Congress on Services, Vol. 2642, pp.184-189, 2019.
Nugraha, M., Paramita, I., Musa, A., Choi, D. and Cho, B., "Utilizing OpenFlow and sFlow to Detect and Mitigate SYN Flooding Attack," Journal of Korea Multimedia Society, 17(8), pp.988-994, 2014.

원문보기 상세보기
sFlow Version 5. [Online]. http://sflow.org/sflow version 5.txt, 2017.
Dharma N.G., Muthohar M.F., Prayuda J.A. Priagung, K., Choi, D., "Time-based DDoS detection and mitigation for SDN controller. Network Operations and Management Symposium, pp.550-553, 2015.
Huseyin Polat, Onur Polat, Aydin Cetin, "Detecting DDoS Attacks in Software-Defined Networks Through Feature Selection Methods and Machine Learning Models," MDPI Sustainability, 2020.
Ye, J., Cheng, X. Zhu, J., Feng, L., Song, L., "A DDoS attack detection method based on SVM in software-defined network," Secure Communication Network. pp.1-8, 2018.
Braga R., Mota E., Passito A., "Lightweight DDoS flooding attack detection using NOX/OpenFlow. Local Computer Networks (LCN2010), pp.408-415, 2010.
Wang R., Jia Z., Ju, L., "An Entropy-Based DDoS Detection Mechanism in SDN", Trustcom/BigDataSE/ISPA 2015, Vol. 1, pp. 310-317, 2015.
Mousavi S.M., St-Hilaire M., "Early detection of DDoS attacks against SDN controllers", In Computing Networking and Communications, pp.77-81, 2015.
Soon-Gohn Kim, "A Study on the Detection Technique of DDoS Attacks on the Software-Defined Networks," The Journal of KIIECT, Vol. 13, No.1, pp.81-87, 2020.

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증