Detta dokument ger en ny trafikfunktion för att identifiera onormala variationer i trafiken under DDOS översvämningsattacker. Det är histogrammet för maximum för den begränsade trafikhastigheten på intervall-för-intervall-basis. Vi använder den för att experimentera med trafikdata från MIT Lincoln Laboratory under Defense Advanced Research Projects Agency DARPA 1999. De experimentella resultaten ökar på ett lönsamt sätt bevisen för att trafiken vid DDOS-attacker är statistiskt högre än vid normal trafik. De visar att mönstret för histogrammet av maximum av begränsad hastighet av attack-innehållande trafik skiljer sig mycket från mönstret för attack-fri trafik. Dessutom är den nuvarande trafikfunktionen enkel i matematik och lätt att använda i praktiken. I dag är människor starkt beroende av Internet som fungerar som en infrastruktur i det moderna samhället. Men distribuerade överbelastning DDOS översvämning angripare förblir stora hot mot den. Genom att konsumera resurser från en angripen plats, kan offret överväldigas så att det förnekar tjänster som det bör erbjuda eller dess tjänsteprestationer är avsevärt försämrad. Därför, intrångsdetekteringssystem ISD för att upptäcka DDOS översvämning attacker har varit mycket önskvärt. Det finns två kategorier när det gäller IDS. Det ena handlar om att upptäcka fel och det andra om att upptäcka anomalier. Attackera varningar som ges av missbruk upptäckt bygger främst på ett bibliotek av kända signaturer för att matcha mot nätverkstrafik, se t.ex. 1-5. Således, attacker med okända signaturer från nya varianter av en attack kan fly från att upptäckas av signatur-baserade IDS med sannolikhet en, se, till exempel, 6, vilket gör en sådan kategori av IDS på den skyddade platsen irrelevant. Men, baserat på anomali upptäckt, onormala variationer i trafiken identifieras som potentiella intrång så att denna kategori av IDS är särskilt uppmärksamma på för att identifiera nya attacker, se t.ex. 7-13. För enkelhetens skull, i det följande, termen IDS är i betydelsen av anomali upptäckt. Noterade att detektionsnoggrannheten är en nyckelfråga för en anomalidetektor, se till exempel 14, 15. För att vara effektiva, IDS kräver lämpliga funktioner för att exakt upptäcka en attack och skilja den från den normala aktiviteten som kan ses från 10, avsnitt IV. Därför är det viktigt att utveckla nya trafikfunktioner för att upptäcka avvikelser. Referensdokumenten om trafikfunktioner för IDS-användning är förmögna. Till exempel, 86 funktioner för klusterering normala aktiviteter diskuteras i 9. Observera att en vald funktion är metodberoende. I detta avseende använder 16 uppgifter om pakethuvud. Papper 17 använder automatisk korrelering funktion av långdistansberoende LRD trafiktid serien i paketstorlek och 18 använder Hurst parametern. Scherrer m.fl. anta skalegenskaper för LRD trafik 19. De trafikmodeller som användes 17-23 är i fraktal betydelse. I allmänhet kan fraktalmodeller vara något komplicerade i praktisk tillämpning inom teknik jämfört med den trafikfunktion som föreslås i detta dokument. Kom ihåg att det finns två kategorier i trafikmodellering 24, Avsnitt XIV. En är statistisk modellering t.ex., LRD-processer. Den andra begränsade modellering, som har särskilda tillämpningar för modellering av trafik på anslutningsnivå, se t.ex. 25-30. Gränsade modeller, i kombination med en klass av service discipliner, är genomförbara och relativt effektiva i tillämpningar, såsom anslutning antagningskontroll CAC i garanterad kvalitet-of-service QoS. Dessutom är sådana modeller enkla i matematik och relativt lätta att använda i praktiken i jämförelse med fraktalmodeller. Syftet med detta dokument är att tillhandahålla en ny trafikfunktion för att upptäcka avvikelser på grundval av begränsad modellering av trafiken. De viktigaste bidragen i detta dokument är följande: I Vi presenterar histogrammet av maximum av den begränsade trafikhastigheten på en intervall-by interval som en trafikfunktion för att uppvisa onormal variation av trafiken under DDOS översvämningsattacker. ii De experimentella resultaten visar att maximum av hastighetsbundet av attack-innehållande trafik är statistiskt större än den av attack-fri trafik drastiskt. Resten av papperet är organiserat enligt följande. Experimentella data och därmed sammanhängande arbete redovisas i avsnitt 2. I avsnitt 3 föreslås histogrammet för den högsta tillåtna trafikhastigheten. Experimentella resultat visas i avsnitt 4, som följs av diskussioner och slutsatser. Experimental Data and Related Work Medan DDOS attacker fortsätter att vara ett problem, finns det för närvarande inte mycket kvantitativa data tillgängliga för forskare att studera beteendet hos DDOS översvämning attacker. Uppgifterna i 1998-1999 DARPA http://www.ll.mit.edu/IST/ideval är värdefulla men sällsynta för allmänheten, även om det finns punkter som förtjänar ytterligare diskussion 31. Dessa uppgifter erhölls under förhållanden av realistisk bakgrundstrafik och genomsnittliga exempel på realistiska attacker 32, 33. De använda datamängderna under 1999 innehåller mer än 200 fall och 58 typer av attacker, se, för detaljer 34. Två datauppsättningar förklaras nedan. Den första uppsättningen data som innehåller 5 spår. Vi namnger dem av OM-W1-i-1999AF i 1, 2, 3, 4, 5, vilket betyder utanför-MIT-vecka1-i-1999-attack-fri. I tabell 1 anges de faktiska tidpunkter då det första och det sista paketet extraherades för varje spår.  Fem spår ingår i den andra datamängden. De kallas OM-W2-i-1999AC i 1, 2, 3, 4, 5, vilket innebär utanför-MIT-week2-i-1999-attack som ingår. De faktiska tidpunkter då det första paketet och det sista extraherades för varje spår anges i tabell 2. Omkring är hög hastighet det radikala draget i den anfallsbundna trafiken. Tidningen 35 rapporterade om de verkliga händelserna år 2000. Han noterade att "attackerna översvämmade servrar med 1 gigabit per sekund inkommande data, vilket är mycket mer trafik än de byggdes för att hantera 35, sid 12." Analysen från Moore et al. säger att "för att ladda nätverket, skickar en angripare i allmänhet små paket så snabbt som möjligt eftersom de flesta nätverksenheter både routers och NICs begränsas inte av bandbredd utan genom paket bearbetningshastighet 36, Avsnitt 2.1." De drar slutsatsen att trafikhastigheten vanligtvis är det bästa måttet på nätbelastning under en attack. Kort sagt, dataforskare anser hög hastighet som en grundläggande egenskap i attack-innesluten trafik, se även, till exempel, 37-42. De experimentella resultaten i detta dokument är helt enkelt för data från 1999 års DARPA vid höggradiga attacker.  I detta underavsnitt informerar vi deterministiska gränserna för ackumulerad trafik och trafikhastighet med hjälp av demonstrationer med hjälp av trafikspår OM-W1-1-1999AF och OM-W1-1-1999CF.  I detta avsnitt introducerar vi först tidsserierna för den trafik som är bunden. Sedan fastställer vi maximum av trafikhastigheten bunden. Slutligen uppnår vi histogrammet för den maximala trafikhastighet som är bunden. Demonstrationerna med experimentella data används för att underlätta diskussionerna.  Teoretiskt sett kan jag vara vilken som helst verklig siffra. I praktiken är jag dock utvald som ett ändligt positivt heltal. Fixa värdet av I och observera trafikbegränsningar i intervallet n−1 I, nI, n 1, 2,..., N. Sedan uttrycker vi trafikbegränsningar som en funktion i termer av intervallet index n. Med tanke på index n, vi uttrycker trafik övre gräns F I, n, vilket är en serie. Observera att x i är en stokastisk serie och så är F I, n. Det vill säga F I, m / F I, n för m / n. Vi kallar F I, n trafik övre bundna serien. På samma sätt använder vi GAMA I, n för att representera trafikhastighet bundna serier. Figur 4 visar den övre trafikbundna serien. Figur 5 ritar den hastighetsbundna serien. Eftersom GAMA I, n är slumpmässigt, är identifiering i ett enda intervall inte tillräckligt. Vi använder figur 6 för att förklara denna synvinkel. Från figur 6, Vi ser att hastigheten på anfallssluten trafik är större än den för attackfri trafik i vissa intervall, till exempel i den andra och tredje intervallen. Det är dock mindre än hastigheten för anfallsfri trafik i vissa intervall, t.ex. i de första och fjärde intervallen. Därför kommer vi att studera frågan hur den bundna serien av trafikhastigheter statistiskt varierar under DDOS översvämningsattacker. Av denna anledning studerar vi maximum av trafikhastigheten bunden. Observera att över index I i varje intervall n − 1 I, nI. Därefter representerar MGAMA n en serie för att beskriva det maximala värdet av GAMA I, n i varje intervall n − 1 I, nI. Med andra ord, MGAMA n står för maxima av GAMA I, n. Enheten för MGAMA n är samma som för GAMA I, n. Här och nedan, använder vi notation MGAMA F n för attackfri trafik och MGAMA C n för attack-innehållande trafik. Figur 7 a och 7 b anger tomterna MGAMA F n och MGAMA C n för OM-W1-1999AF respektive OM-W2-1999AC. Anteckna Hist MGAMA F n och Hist MGAMA C n som histogram för MGAMA F n och MGAMA C n. Därefter representerar de empiriska distributioner av MGAMA F n och MGAMA C n. Figurerna 8 a och 8 b anger Hist MGAMA F n och Hist MGAMA C n för OM-W1-1-1999AF respektive OM-W1-1999CF. Från figur 8 c, Vi ser att mönstret av Hist MMA F n skiljer sig avsevärt från det av Hist MMA C n. För att undersöka detta fenomen kvantitativt, vi behöver en åtgärd för att beskriva likheten eller olikhet mellan mönstret av Hist MMA F n och det av Hist MMA C n, som kommer att förklaras i nästa underavsnitt. Det finns många åtgärder för att karakterisera likheten eller olikheten av två mönster inom området mönstermatchning, se t.ex. 44, 45. Bland dem, korrelationskoefficienten mellan två mönster används ofta inom teknik, se till exempel 46. Vi använder den för att mäta mönsterlikheten i denna forskning. Observera att om corr innebär korrelationsoperationen. Det är känt att 0 ≤ Corr FC ≤ 1. Ju större värdet av Corr FC desto mer liknande mellan mönstret av Hist MMA F n och Hist MMA C n. Mathematically, fallet med Corr FC 1 innebär att mönstret av Hist MMA F n är exakt samma som det av Hist MMA C n. Tvärtom, Corr FC 0 innebär att mönstret av Hist MMA F n är helt annorlunda från det av MMA C n. Ur teknisk synvinkel, dock det extrema fallet av antingen Corr FC 1 eller Corr FC 0 inte gör mycket vettigt på grund av fel och osäkerheter i mätning och digital beräkning. I praktiken använder man en tröskel för Corr FC för att bedöma likheten mellan två. Tröskelvärdets konkreta värde beror på det krav som forskarna har utformat, men det är ganska vanligt att man tar 0,7 som det minsta värdet av tröskeln för mönstrets lappningsändamål. Anta att vi betraktar 0.8 som tröskelvärdet. Sedan säger vi att mönstret för Hist MMA F n liknar det för Hist MMA C n om Corr FC ≥ 0.8 och olika annars. Genom beräkning får vi Corr FC 0,01751 för OM-W1-1-1999AF och OM-W2-1-1999CF, vilket innebär att mönstret för Hist MMA F n skiljer sig avsevärt från det för Hist MMA C n som anges i figur 8 c. Vi kommer att ytterligare visa detta intressanta fenomen i nästa avsnitt.  Värdet av Corr FC för OM-W1-1-1999AF och OM-W2-1999CF har nämnts ovan. I detta avsnitt illustrerar vi experimentella resultat som beskriver Corr FC för OM-W1-2-1999AF och OM-W2-2-1999CF. Tomterna för att illustrera Corr FC för OM-W1-3-1999AF och OM-W2-3-1999CF, OM-W1-4-1999AF och OM-W2-4-1999CF, OM-W1-5-1999AF och OM-W2-5-1999CF och förtecknas i bilagorna. Tabell 3, som visar att Corr FC < 0,2 för alla par av testspår. Den maximala hastighet som är bunden av anfallsbaserad trafik är inte alltid högre än den för anfallsfri trafik, se figur 7. Statistiskt är det dock högre än för attackfri trafik Tabell 3 indikerar att mönstret för Hist MMA F n uppenbarligen skiljer sig från mönstret för Hist MMA C n. Således, resultaten i detta papper tyder på att histogrammet för maximum trafik hastighet bundna kan ännu vara en trafik funktion för att tydligt identifiera onormal variation av trafiken under DDOS översvämningsattacker. I jämförelse med fraktal modell av trafik som diskuteras i 18, 19, 43, den nuvarande funktionen har en uppenbar fördel. Kom ihåg att statistiska modeller som LRD-processer, se till exempel, 18, 19, vanligtvis är för trafik i det aggregerade fallet, men det saknas bevis för att använda dem för att karakterisera statistiska mönster av verklig trafik vid anslutning. Faktum är att det kan vara en svår uppgift att hitta statistiska trafikmönster vid anslutning. För att övervinna svårigheter med att beskriva trafiken på anslutningsnivå införs begränsad modellering 25-29. Således, om vi låter x j,k t vara alla flöden som går genom servern k från ingång länk j och låt F j,k Jag är den maximala trafikbegränsning funktion x j,k t, den nuvarande analysmetoden för trafik är tekniskt ljud och användbar för x j,k t men fraktal modeller kanske inte. Eftersom de begränsade trafikmodellerna huvudsakligen används på anslutningsnivå i vissa tillämpningar, t.ex. i realtidskontroll, är det uppenbart att den nuvarande trafikfunktionen för att identifiera onormala variationer i trafiken under DDOS översvämningsattacker kan utvinnas i ett tidigt skede av attackerna. Dessa bilagor ger experimentella resultat för tre par spår.
Xue m.fl. REF presenterar histogrammet för maximum för den begränsade trafikhastigheten på intervall-för-intervall-basis som en trafikfunktion för att uppvisa onormal variation av trafiken under DDOS översvämningsattacker.
Bound Maxima as a Traffic Feature under DDOS Flood Attacks
{'venue': None, 'journal': 'Mathematical Problems in Engineering', 'mag_field_of_study': ['Mathematics']}