基于再分類深度神經(jīng)網(wǎng)絡(luò)的DDoS檢測(cè)方法研究

孫 敏, 李文賓, 郝 雪

(山西大學(xué) 計(jì)算機(jī)與信息技術(shù)學(xué)院, 太原 030006)

分布式拒絕服務(wù)(distributed denial of services, DDoS)攻擊是目前最具威脅的網(wǎng)絡(luò)攻擊之一．文獻(xiàn)[1]從DDoS攻擊者的角度來研究DDoS，關(guān)注攻擊力量的動(dòng)態(tài)，旨在探索幕后的攻擊策略，研究發(fā)現(xiàn)攻擊者以動(dòng)態(tài)的方式調(diào)度受控僵尸網(wǎng)絡(luò)，不同的僵尸網(wǎng)絡(luò)家族表現(xiàn)出相似的調(diào)度模式，暗示它們之間存在某種潛在的關(guān)聯(lián)．文獻(xiàn)[2]利用預(yù)測(cè)技術(shù)，旨在發(fā)現(xiàn)DDoS攻擊的早期信號(hào)和組成僵尸網(wǎng)絡(luò)的受害主機(jī)．上述研究探究DDoS背后的僵尸主機(jī)以及調(diào)度模式．

另外利用機(jī)器學(xué)習(xí)和深度學(xué)習(xí)技術(shù)展開對(duì)DDoS攻擊的檢測(cè)工作．文獻(xiàn)[3]提出一種輕量級(jí)的DDoS檢測(cè)方法，利用卷積神經(jīng)網(wǎng)絡(luò)區(qū)分攻擊流量和正常流量．文獻(xiàn)[4]研究了基于機(jī)器學(xué)習(xí)的DDoS攻擊檢測(cè)方法，結(jié)果表明，沒有一種方法在所有測(cè)試用例上優(yōu)于其他方法；并且發(fā)現(xiàn)類不平衡問題對(duì)基于機(jī)器學(xué)習(xí)的算法有很大影響．文獻(xiàn)[5]利用異常檢測(cè)進(jìn)行攻擊檢測(cè)，通過長(zhǎng)短期記憶(long short-term memory,LSTM)網(wǎng)絡(luò)訓(xùn)練出一個(gè)正常流量基準(zhǔn)，然后利用模糊理論進(jìn)行決策；該方案能檢測(cè)大部分異常，但存在更新難，成本高等缺點(diǎn)．文獻(xiàn)[6]利用LSTM網(wǎng)絡(luò)建模，然后將可信度低的流量經(jīng)過Bayes進(jìn)行二次分類．但尚不知對(duì)于未知攻擊的檢測(cè)能力．

上述研究仍然存在檢測(cè)精度低和未知攻擊檢測(cè)能力不足的問題．因此文中提出再分類深度神經(jīng)網(wǎng)絡(luò)的DDoS檢測(cè)方法，通過深度神經(jīng)網(wǎng)絡(luò)(deep neural network,DNN)模型和再分類機(jī)制判斷其是否為攻擊流量，并針對(duì)低置信度檢測(cè)結(jié)果進(jìn)行檢測(cè).再分類機(jī)制靈活應(yīng)用到多種深度學(xué)習(xí)模型中，可適應(yīng)于不同的應(yīng)用場(chǎng)景，實(shí)驗(yàn)結(jié)果表明再分類深度神經(jīng)網(wǎng)絡(luò)模型可以有效提升檢測(cè)未知攻擊能力．

1 關(guān)于DDoS攻擊檢測(cè)方法

1.1 基于統(tǒng)計(jì)方法檢測(cè)DDoS

測(cè)量網(wǎng)絡(luò)流量屬性的統(tǒng)計(jì)特性是檢測(cè)DDoS的一種常用方法，通常涉及包頭字段的熵變化．假設(shè)是在大規(guī)模DDoS攻擊中，流量特征的隨機(jī)性會(huì)發(fā)生突變，這些攻擊通常會(huì)導(dǎo)致某些流量屬性(如目標(biāo)IP地址)的分布減少，或者導(dǎo)致其他屬性(如源IP地址)的分布增加．DDoS攻擊的識(shí)別通常通過這些分布指標(biāo)上的閾值來確定[3]．文獻(xiàn)[7]提出了基于源IP地址熵和卡方分布計(jì)算的DDoS檢測(cè)方法，研究發(fā)現(xiàn)，相比于DDoS攻擊導(dǎo)致的偏差相比，合法流量波動(dòng)引起的源IP地址熵和卡方統(tǒng)計(jì)的變化較小,這將有利于檢測(cè)DDoS攻擊．文獻(xiàn)[8]提出一種基于目的IP地址熵與TCP層屬性動(dòng)態(tài)結(jié)合的方法來檢測(cè)和緩解DDoS攻擊．基于熵的技術(shù)的一個(gè)共同不足在于需要選擇合適的檢測(cè)閾值．鑒于不同網(wǎng)絡(luò)之間的流量存在差異，確定適當(dāng)?shù)臋z測(cè)閾值以在不同攻擊場(chǎng)景下提高檢測(cè)精度和降低誤報(bào)及漏報(bào)率是一項(xiàng)重大挑戰(zhàn)．另外，監(jiān)控流量屬性的分布并不能提供足夠的信息在當(dāng)前的復(fù)雜網(wǎng)絡(luò)環(huán)境中區(qū)分攻擊流量和正常流量．

1.2 基于機(jī)器學(xué)習(xí)檢測(cè)DDoS

目前許多機(jī)器學(xué)習(xí)算法應(yīng)用于DDoS檢測(cè)研究中，其中最常見的包括支持向量機(jī)(support vector machines，SVM)、決策樹(decision tree，DT)和K近鄰(k-nearest neighbor，KNN)．文獻(xiàn)[9]提出了一種遺傳算法(genetic algorithm，GA)結(jié)合核主成分分析(kernal principal component analysis，KPCA)輔助支持向量機(jī)的算法來檢測(cè)DDoS攻擊．利用KPCA降低特征向量的維數(shù)，而GA用于優(yōu)化不同的SVM參數(shù)，并且提出了改進(jìn)的核函數(shù)(n-ridial basis function，N-RBF)來降低特征差異引起的噪聲．文獻(xiàn)[10]提出了一種改進(jìn)的KNN算法來檢測(cè)軟件定義網(wǎng)絡(luò)(software defined network，SDN)環(huán)境下的DDoS攻擊，通過在KNN求解距離的地方改進(jìn)了權(quán)值的計(jì)算，實(shí)驗(yàn)結(jié)果證明，分類效果優(yōu)于對(duì)比方法，有效區(qū)分了攻擊流量和正常流量．文獻(xiàn)[11]評(píng)估了9種最大似然估計(jì)算法，以確定它們?cè)谠骗h(huán)境中檢測(cè)分布式拒絕服務(wù)攻擊的能力，對(duì)于性能最優(yōu)的算法，可以達(dá)到99.7%的高精度和0.07%的低誤報(bào)率．結(jié)果也顯示出最大似然估計(jì)模型性能的可變性．這在文獻(xiàn)[12]中有所體現(xiàn)，算法的性能高度依賴與所評(píng)估的特征，甚至是數(shù)據(jù)集，從而促使人們考慮深度學(xué)習(xí)模型，來降低對(duì)特征工程的依賴性．

1.3 基于深度學(xué)習(xí)檢測(cè)DDoS

深度學(xué)習(xí)模型非常契合當(dāng)前大數(shù)據(jù)時(shí)代，它在處理大數(shù)據(jù)時(shí)仍能表現(xiàn)出穩(wěn)定的性能．同時(shí)面對(duì)DDoS攻擊高速、大規(guī)模的特點(diǎn)，深度學(xué)習(xí)模型是有效解決辦法之一．文獻(xiàn)[13]結(jié)合循環(huán)神經(jīng)網(wǎng)絡(luò)(recurrent neural network，RNN)和卷積神經(jīng)網(wǎng)絡(luò)(convolational neural network，CNN)模型提出了DeepDefense模型，將原始流量轉(zhuǎn)換為滑動(dòng)時(shí)間窗口內(nèi)包含數(shù)據(jù)特征的流量，結(jié)果表明，在其實(shí)驗(yàn)的ISCX2012數(shù)據(jù)集上有較高的精度．然而，模型中訓(xùn)練參數(shù)較多、處理開銷較大．同時(shí)，也沒有針對(duì)未知攻擊進(jìn)行實(shí)驗(yàn)．文獻(xiàn)[6]利用LSTM建模進(jìn)行DDoS的檢測(cè)，在分析輸出結(jié)果后發(fā)現(xiàn)，在區(qū)間(0.2～0.8)的輸出結(jié)果的精度只有74%．因此利用Bayes方法進(jìn)行第二階段的檢測(cè)．結(jié)果表明，在其實(shí)驗(yàn)的ISCX2012數(shù)據(jù)集上比現(xiàn)有方法提升了0.16%，提升幅度較?。硗?，僅在理論上有檢測(cè)未知攻擊的能力，并未進(jìn)行實(shí)驗(yàn)證明．

針對(duì)DDoS攻擊檢測(cè)精度不足以及未知攻擊檢測(cè)能力不足引入再分類機(jī)制幫助提升檢測(cè)精度．利用再分類機(jī)制對(duì)深度學(xué)習(xí)模型的低置信度輸出進(jìn)一步分類，有效增強(qiáng)檢測(cè)DDoS攻擊的能力．

2 基于再分類深度神經(jīng)網(wǎng)絡(luò)檢測(cè)方法

2.1 DDoS攻擊檢測(cè)模型介紹

再分類深度神經(jīng)網(wǎng)絡(luò)(reclassify deep neural network，REDNN)模型由DNN檢測(cè)模塊和再分類(Reclassify)機(jī)制兩部分組成．?dāng)?shù)據(jù)流首先經(jīng)過DNN檢測(cè)模塊，在檢測(cè)模塊中，提取10個(gè)統(tǒng)計(jì)特征信息，包括‘Src Port’、‘Flow Duration’、‘Flow Byts/s’、‘Flow Pkts/s’、‘Flow IAT Std’、‘Flow IAT Min’、‘Fwd Seg Size Min’、‘Tot Fwd Pkts’、‘Init Bwd Win Byts’與‘Bwd Pkt Len Std’．經(jīng)過DNN分類后，將置信度高的流量直接給出結(jié)果，將置信度低的流量通過再分類機(jī)制處理，再分類機(jī)制進(jìn)行最后的決策，區(qū)分出攻擊流量還是正常流量．圖1為再分類深度學(xué)習(xí)DDoS檢測(cè)方法框架．

圖1 再分類深度學(xué)習(xí)檢測(cè)DDoS示意

在深度神經(jīng)網(wǎng)絡(luò)模型分類的基礎(chǔ)上加入再分類機(jī)制，高效檢測(cè)已知攻擊的基礎(chǔ)上較好的檢測(cè)出未知攻擊，二者的結(jié)合大大提升了模型整體的魯棒性及泛化能力．另外，再分類機(jī)制有較強(qiáng)的移植性，可以靈活的嫁接到各種深度學(xué)習(xí)模型中，適應(yīng)不同場(chǎng)景下的DDoS攻擊檢測(cè)，以便在復(fù)雜網(wǎng)絡(luò)環(huán)境下靈活部署各種防御力量．

2.2 深度神經(jīng)網(wǎng)絡(luò)模型

DNN是一種自學(xué)習(xí)多維特征的模型，可以有效的挖掘數(shù)據(jù)信息．經(jīng)過多次試驗(yàn)驗(yàn)證，在DDoS檢測(cè)中，DNN是更加健壯的一種模型，符合泛化能力與魯棒性更強(qiáng)的理念．在DNN網(wǎng)絡(luò)中，輸入一組向量X=[x1,x2,…,xn]T，其中X=A[0]，計(jì)算每層的輸出A[l]．前向傳播公式為：

Z[l]=W[l]·A[l-1]+b[l]

(1)

A[l]=g[l](Z[l])

(2)

為避免梯度爆炸問題，隱藏層激活函數(shù)使用ReLu函數(shù)為:

(3)

損失函數(shù)采用交叉熵?fù)p失函數(shù)為：

L(a,y)=-yloga-(1-y)log(1-a)

(4)

訓(xùn)練時(shí)，利用反向傳播算法計(jì)算隱層神經(jīng)元誤差為：

輸入：

(5)

輸出：

dZ[l]=dA[l]·g[l]′(Z[l])

(6)

(7)

(8)

dA[l-1]=W[l]T·dZ[l]

(9)

輸出層使用Sigmoid激活函數(shù)為：

(10)

式中：W[l]為第l層的權(quán)重矩陣；b[l]為第l層的偏移向量；A[l]為第l層的輸出向量；Z[l]為激活函數(shù)的輸入值是神經(jīng)元計(jì)算過程中的過渡值；d(·)為梯度；g[l]為l層的激活函數(shù)；m為樣本數(shù)，a為單個(gè)樣本在傳播過程中的輸出．DNN網(wǎng)絡(luò)結(jié)構(gòu)如圖2．

圖2 DNN網(wǎng)絡(luò)結(jié)構(gòu)

2.3 再分類機(jī)制設(shè)計(jì)

基于異常檢測(cè)思想構(gòu)建正?；鶞?zhǔn)，利用DDoS流量與正常流量基于空間距離上的差異進(jìn)行決策．異常檢測(cè)的一大優(yōu)勢(shì)在于檢測(cè)未知攻擊的能力，它構(gòu)建一個(gè)流量正常行為模式，網(wǎng)絡(luò)中的流量與之匹配，若與構(gòu)建的正常行為模式差異性超出閾值，則視為入侵流量或入侵行為．再分類機(jī)制應(yīng)用這一思想，從歷史正常網(wǎng)絡(luò)流量中隨機(jī)抽取30條流量來構(gòu)建出一個(gè)輕型正常行為基準(zhǔn)，(此處的30并不是唯一確定的)利用這一基準(zhǔn)進(jìn)行對(duì)低置信度流量的判別．文中訓(xùn)練的深度神經(jīng)網(wǎng)絡(luò)模型有較好的特征學(xué)習(xí)能力，及良好的分類檢測(cè)效果，但在面對(duì)未知攻擊時(shí)，單獨(dú)的深度神經(jīng)網(wǎng)絡(luò)模型并不能很好地完成分類任務(wù)．單獨(dú)的深度神經(jīng)網(wǎng)絡(luò)模型遭遇攻擊時(shí)，對(duì)于給出的高置信度輸出，直接進(jìn)行給出判別結(jié)果；對(duì)于給出的低置信輸出，這一結(jié)果并不值得信任；因此需要將低置信度的結(jié)果進(jìn)行再分類．文中利用攻擊流量與正常流量空間距離上的差異性進(jìn)行判別．再分類機(jī)制接收到低置信的流量后與構(gòu)建的輕型正常行為基準(zhǔn)進(jìn)行對(duì)比決策，將低置信度流量與正常流量進(jìn)行空間距離計(jì)算，結(jié)果均值化，然后與閾值比較．距離公式為：

(11)

式中：向量X為待檢測(cè)的低置信樣本；向量Y為再分類機(jī)制中的正常樣本；xi為向量X第i個(gè)屬性值，yi為向量Y第i個(gè)屬性值；n的值為10．

攻擊流量與正常流量在空間距離上有較為明顯的差別．但為了適應(yīng)正常流量的波動(dòng)，通過大量試驗(yàn)，將正常距離閾值設(shè)置為3.01～3.30，均值不在這一范圍的視為攻擊流量．再分類機(jī)制如圖3，圖中正常樣本分布不規(guī)則表示真實(shí)網(wǎng)絡(luò)流量的獨(dú)特性．

圖3 再分類機(jī)制

Sigmoid函數(shù)用于輸出層的置信結(jié)果．將置信度小于0.5的分類為正常流量，將置信度大于0.5的分類為攻擊流量，表明越靠近0.5，分類結(jié)果越不可靠．需要進(jìn)一步判斷．

對(duì)于低置信區(qū)間的設(shè)置，主要存在兩種辦法：① 設(shè)置為(0.2～0.8)；② 設(shè)置為(0.3～0.7)．經(jīng)過試驗(yàn)分析，處于這一區(qū)間的檢測(cè)精度為74%，需要進(jìn)一步檢測(cè)．然而其只在ISCX2012數(shù)據(jù)集上進(jìn)行了實(shí)驗(yàn)，影響區(qū)間因素較少．

考慮不同數(shù)據(jù)集的效果，綜合分析了區(qū)間內(nèi)占比、時(shí)間以及精度，實(shí)驗(yàn)分析如表1，實(shí)驗(yàn)結(jié)果是5次實(shí)驗(yàn)的平均值，設(shè)置低置信區(qū)間為(0.3～0.7)．

表1 兩區(qū)間對(duì)比分析

在表1中，同一數(shù)據(jù)集加入再分類機(jī)制和無再分類機(jī)制占比不同，這是在實(shí)驗(yàn)中分開測(cè)試的，可以發(fā)現(xiàn)它們的差距不大，說明在第一階段的DNN模型分類中，處于兩區(qū)間的輸出是較為穩(wěn)定的．

2.4 再分類機(jī)制移植性

目前并沒有一種通用的方法可以檢測(cè)所有的DDoS攻擊，不同的方法都有其特殊性．沒有一種算法或模型在不同場(chǎng)景下均優(yōu)于其他算法或模型．因此，設(shè)計(jì)一種通用的模型是困難的．但是，設(shè)計(jì)一種可以提升不同模型的通用方法成為另一種可行的辦法．文中提出的再分類機(jī)制是一種強(qiáng)獨(dú)立性的方法．它可以靈活地嫁接到其他深度學(xué)習(xí)模型中去，成為其他模型的一部分，以適應(yīng)不同場(chǎng)景下模型的特殊性．這一特點(diǎn)將在實(shí)驗(yàn)部分驗(yàn)證．

3 實(shí)驗(yàn)結(jié)果及分析

3.1 實(shí)驗(yàn)相關(guān)介紹

3.1.1 數(shù)據(jù)集介紹

文中采用了4個(gè)加拿大網(wǎng)絡(luò)安全研究所提出的公開數(shù)據(jù)集CSE-CIC-IDS2018-AWS[14]、CICIDS2017[14]、CICDoS-dataset(2016)[15]和CIC-DDoS2019[16]．文獻(xiàn)[17]將CSE-CIC-IDS2018-AWS、CICIDS2017和CICDoS-dataset(2016)制作成一個(gè)大數(shù)據(jù)集，并命名為DATA1用于模型訓(xùn)練、驗(yàn)證和測(cè)試，分別劃分為訓(xùn)練集Train、驗(yàn)證集Valid和測(cè)試集Test 1；將CIC-DDoS2019命名為DATA2，用于模型未知攻擊檢測(cè)能力測(cè)試，分別制作未知攻擊PortMap數(shù)據(jù)集Test 2和Syn數(shù)據(jù)集Test 3．?dāng)?shù)據(jù)集信息如表2．

表2 數(shù)據(jù)集信息

3.1.2 參數(shù)設(shè)置

DNN模型由輸入層、隱藏層和輸出層組成．隱藏層又包含兩層，第一層有50個(gè)神經(jīng)元；第二層有20個(gè)神經(jīng)元．隱藏層每一層均有一個(gè)Dropout層，參數(shù)為0.5．優(yōu)化函數(shù)是隨機(jī)梯度下降法(stochastic gradient descent，SGD)，學(xué)習(xí)率為0.001，動(dòng)量為0.8．Batch_Size為128，Epochs為20．

3.1.3 評(píng)估指標(biāo)

所提出的方法通過使用準(zhǔn)確率(Accuracy)、精確率(Precision)、召回率(Recall)、F1分?jǐn)?shù)(F1-Score)來衡量．

(12)

(13)

(14)

(15)

式中：TP為正確分類為攻擊的攻擊數(shù)據(jù)包；TN為正確分類為良性的良性數(shù)據(jù)包；FP為被錯(cuò)誤分類為攻擊的良性數(shù)據(jù)包；FN為被錯(cuò)誤分類為良性的攻擊數(shù)據(jù)包．

3.2 對(duì)比實(shí)驗(yàn)分析

將提出的DNN和REDNN模型與LUCID模型、DeepDefense模型、LSTM-BA及LSTM-FUZZY的做了實(shí)驗(yàn)對(duì)比，如表3～5．

表3 主要模型在Test 1上的性能比較

表4 主要模型在Test 2上的性能比較

表5 主要模型在Test 3上的性能比較

從表3可以發(fā)現(xiàn)，對(duì)于已知攻擊，多數(shù)深度學(xué)習(xí)模型可以較好地完成檢測(cè)任務(wù)．但DeepDefense模型表現(xiàn)略差，只有73.50%的準(zhǔn)確度，較其他模型分類能力不足．DNN模型加入再分類機(jī)制后有微小提升，說明再分類機(jī)制在模型已經(jīng)較好完成分類任務(wù)的情況下提升有限，但整體精度較高，達(dá)到了98.56%的準(zhǔn)確度．

從表4發(fā)現(xiàn)，LUCID模型對(duì)于未知攻擊PortMap檢測(cè)效果非常差，如果遭遇PortMap攻擊，LUCID模型并不能完成分類任務(wù)．這也說明模型在檢測(cè)攻擊時(shí)存在特殊性．DeepDefense模型在檢測(cè)PortMap攻擊時(shí)有良好的表現(xiàn)，精度達(dá)到90.85%．REDNN模型較DeepDefense模型，可以提升1.43%，達(dá)到92.28%；LSTM-BA與REDNN基本持平，而LSTM-FUZZY優(yōu)于其他模型，高出REDNN 1.8%，達(dá)到了94.08%．

從表5可以發(fā)現(xiàn)，普通的深度學(xué)習(xí)模型對(duì)于Syn攻擊分類效果整體偏低，而REDNN模型可以達(dá)到73.89%的準(zhǔn)確度；相較于LUCID、DeepDefense、LSTM-BA以及原始DNN模型，REDNN有明顯的提升，但是低于LSTM-FUZZY．LSTM-FUZZY在各項(xiàng)指標(biāo)上優(yōu)于其他模型。

從以上實(shí)驗(yàn)結(jié)果可以發(fā)現(xiàn)，LSTM-FUZZY模型可以更好的檢測(cè)出攻擊，尤其是對(duì)未知攻擊的檢測(cè)。但是本身更新難及成本高的缺點(diǎn)讓其難以推廣應(yīng)用。文中提出的REDNN優(yōu)于大部分模型。但是提升空間仍然較大，仍需要進(jìn)一步改進(jìn)．

3.3 再分類機(jī)制移植性分析

再分類機(jī)制是可以靈活部署的一種方法，將再分類機(jī)制移植到對(duì)比實(shí)驗(yàn)方法中，實(shí)驗(yàn)結(jié)果如圖4、5．圖4為再分類機(jī)制移植到DeepDefense模型后在Test 1、Test 2和Test 3上的表現(xiàn)；圖5為再分類機(jī)制移植到LUCID模型后在Test 1、Test 2和Test 3上的表現(xiàn)．

圖4 REDeepDefense與DeepDefense分別在Test 1、Test 2和Test 3上的對(duì)比

圖5 RELUCID與LUCID分別在Test 1、Test 2和Test 3上的對(duì)比

從圖4、5可以發(fā)現(xiàn)，在LUCID模型和DeepDefense模型中加入再分類機(jī)制后，均有不同程度的提升，說明再分類機(jī)制可以移植到不同的模型中，表現(xiàn)出較好的移植性，以適應(yīng)不同環(huán)境下的區(qū)域性和特殊性．特別是在Test 2與Test 3上，對(duì)比模型加入再分類機(jī)制后，檢測(cè)未知攻擊能力提升明顯．

由于LSTM-BA及LSTM-FUZZY模型本身屬于兩階段分類，故沒有將再分類機(jī)制加入到LSTM-BA及LSTM-FUZZY模型中．

4 結(jié)論

文中提出了一種再分類深度神經(jīng)網(wǎng)絡(luò)的方法來檢測(cè)DDoS．在深度神經(jīng)網(wǎng)絡(luò)模型分類的基礎(chǔ)上加入再分類機(jī)制，在高效檢測(cè)已知攻擊的基礎(chǔ)上較好的檢測(cè)出未知攻擊，二者的結(jié)合大大提升了模型整體的魯棒性及泛化能力．但主要矛盾仍集中在深度學(xué)習(xí)檢測(cè)模型上．所以未來依然需要設(shè)計(jì)更加健壯的檢測(cè)模型，以適應(yīng)隱蔽性和欺騙性更強(qiáng)以及破壞力更大更廣泛的網(wǎng)絡(luò)攻擊．