深入探討：機(jī)器學(xué)習(xí)的進(jìn)步如何改進(jìn) DDoS 攻擊檢測(cè)

卓云智聯(lián)

一種新的深度學(xué)習(xí)檢測(cè)模型可以以更高的速度和準(zhǔn)確性發(fā)現(xiàn)網(wǎng)絡(luò)攻擊

file:////private/var/folders/dr/yq4hx78j66b3w2dg0kwrnn9h0000gn/T/com.kingsoft.wpsoffice.mac/wps-yucanfeng/ksohtml/wpsfIm4un.png

來(lái)自美國(guó)、中國(guó)和沙特阿拉伯的一組研究人員展示了人工智能 (AI) 算法如何幫助檢測(cè)其他方法失敗的分布式拒絕服務(wù) (DDoS) 攻擊。

隨著聯(lián)網(wǎng)設(shè)備的數(shù)量呈指數(shù)級(jí)增長(zhǎng)，并且攻擊者的方法越來(lái)越復(fù)雜，查找和過濾針對(duì) Web 服務(wù)器的有害DDoS流量正成為一項(xiàng)日益嚴(yán)峻的挑戰(zhàn)。

他們的方法發(fā)表在開放科學(xué)平臺(tái)Europe PMC上的一篇論文中，使用深度學(xué)習(xí)來(lái)確定來(lái)自源的網(wǎng)絡(luò)流量是正常的還是惡意 DDoS 攻擊的一部分。

研究人員的研究結(jié)果表明，在處理大規(guī)模數(shù)據(jù)時(shí)，基于深度學(xué)習(xí)的檢測(cè)方法可以提高速度和準(zhǔn)確性，同時(shí)降低誤報(bào)率。

這項(xiàng)工作的重點(diǎn)是軟件定義網(wǎng)絡(luò) (SDN)，這是一種近年來(lái)流行的網(wǎng)絡(luò)范式。

SDN提供了滿足云計(jì)算的不斷增長(zhǎng)的需求靈活的虛擬化功能，移動(dòng)網(wǎng)絡(luò)和物聯(lián)網(wǎng)（IOT）。

然而，正如許多研究人員發(fā)現(xiàn)的那樣，SDN 和 OpenFlow（通常用于實(shí)現(xiàn) SDN 控制器與網(wǎng)絡(luò)設(shè)備（如交換機(jī)和路由器）之間的通信的協(xié)議）容易受到 DDoS 攻擊。

基于規(guī)則的檢測(cè)失敗

檢測(cè) DDoS 的經(jīng)典方法是將傳入的網(wǎng)絡(luò)流量與一組預(yù)定義的規(guī)則進(jìn)行比較，這些規(guī)則可以將正常流量與攻擊流量分開。

但是由于 DDoS 攻擊方案的多樣性以及定義正常流量和惡意流量之間的閾值的難度，為 DDoS 檢測(cè)設(shè)置規(guī)則非常困難。

“實(shí)際上，正常流量和攻擊流量之間沒有明顯區(qū)別，”該論文的作者指出，并補(bǔ)充說，人類實(shí)際上不可能分析通過網(wǎng)絡(luò)運(yùn)行的大量數(shù)據(jù)以找到正確的規(guī)則。

file:////private/var/folders/dr/yq4hx78j66b3w2dg0kwrnn9h0000gn/T/com.kingsoft.wpsoffice.mac/wps-yucanfeng/ksohtml/wpsv98rvC.png事實(shí)證明，為 DDoS 檢測(cè)設(shè)置萬(wàn)無(wú)一失的規(guī)則極其困難

通過深度學(xué)習(xí)應(yīng)對(duì) DDoS

作者建議使用深度神經(jīng)網(wǎng)絡(luò) (DNN) 對(duì)其進(jìn)行分析，而不是手動(dòng)閱讀數(shù)據(jù)。

DNN 大致模仿其生物對(duì)應(yīng)物的工作方式，攝取大量數(shù)據(jù)并找到相關(guān)模式，然后將其轉(zhuǎn)換為復(fù)雜的數(shù)學(xué)表示。

然后，他們可以使用此模型對(duì)新傳入的數(shù)據(jù)進(jìn)行分類或預(yù)測(cè)序列中的下一條信息。

在 DDoS 的情況下，研究人員將其視為分類問題。該算法的目標(biāo)是在 0 到 1 的范圍內(nèi)確定來(lái)自網(wǎng)絡(luò)中某個(gè)節(jié)點(diǎn)的傳入流量是惡意的可能性有多大，或者，正如研究人員所說，“判斷 OpenFlow 流表的特征數(shù)據(jù)是否正常與否”。

通過分析大量數(shù)據(jù)，訓(xùn)練有素的深度學(xué)習(xí)模型將能夠收集安全和惡意流量的復(fù)雜特征，否則人類分析師將無(wú)法發(fā)現(xiàn)這些特征。

神經(jīng)網(wǎng)絡(luò)在包含正常和惡意表?xiàng)l目的大型數(shù)據(jù)集上進(jìn)行訓(xùn)練，然后針對(duì)五種不同類型的 DDoS 攻擊進(jìn)行測(cè)試，包括各種流量泛濫攻擊和慢速連接 HTTP 攻擊，攻擊者試圖通過向它發(fā)送非常冗長(zhǎng)的請(qǐng)求。

與大多數(shù)深度學(xué)習(xí)用途一樣，開發(fā)可靠的 DDoS 檢測(cè)模型在很大程度上取決于收集足夠的高質(zhì)量訓(xùn)練數(shù)據(jù)。

正如作者所指出的：

在數(shù)據(jù)規(guī)模較小的情況下，DL模型在面對(duì)泛洪攻擊時(shí)的相關(guān)率[相對(duì)于傳統(tǒng)檢測(cè)方法略有優(yōu)勢(shì)，但在其他方面并沒有表現(xiàn)出其檢測(cè)優(yōu)勢(shì)。檢測(cè)性能并不突出。

但是隨著系統(tǒng)擴(kuò)展到更大的數(shù)據(jù)集，研究人員發(fā)現(xiàn)深度學(xué)習(xí)模型最終變得比其他已建立的 DDoS 檢測(cè)工具更準(zhǔn)確，錯(cuò)誤更少，包括基于其他機(jī)器學(xué)習(xí)算法的工具，包括支持向量機(jī) (SVM) 和決策樹。

file:////private/var/folders/dr/yq4hx78j66b3w2dg0kwrnn9h0000gn/T/com.kingsoft.wpsoffice.mac/wps-yucanfeng/ksohtml/wpsQspUWf.png

需要人力支持

深度學(xué)習(xí)系統(tǒng)非常擅長(zhǎng)處理分類和預(yù)測(cè)任務(wù)，只要它們處理的數(shù)據(jù)在統(tǒng)計(jì)上與其訓(xùn)練示例相似。

但是，一旦他們遇到與之前所見不同的新情況，他們就會(huì)以意想不到的方式行事。

“雖然這項(xiàng)研究取得了一些成果，但仍然存在一些不足，”該論文的作者指出。“這項(xiàng)研究的DL模型也需要一定程度的人為調(diào)整，不可能是完全智能的。”

該論文沒有經(jīng)過同行評(píng)審，作者也沒有發(fā)布代碼和數(shù)據(jù)供行業(yè)專家審查，因此很難獨(dú)立驗(yàn)證其模型的準(zhǔn)確性。

但是使用機(jī)器學(xué)習(xí)算法來(lái)解決日益增長(zhǎng)的 DDoS 攻擊威脅已成為一個(gè)越來(lái)越受關(guān)注的領(lǐng)域，并且?guī)讉�(gè)項(xiàng)目已經(jīng)顯示出可喜的成果。

該領(lǐng)域的其他努力包括從檢測(cè)網(wǎng)絡(luò)中受損物聯(lián)網(wǎng)設(shè)備的簡(jiǎn)單機(jī)器學(xué)習(xí)模型到分析 OpenFlow 表的惡意行為的SVM 模型。