Optimalizace potlačení DoS útoků s využitím strojového učení

Abstract

Útoky DDoS, ktoré využívajú protokol TCP patria stále medzi tie najbežnejšie. Táto práca cieli zlepšiť úspešnosť detekcie DDoS útokov využitím informácií dostupných v TCP SYN správach. Odtlačky TCP SYN správ sú navrhnuté ako dodatočný zdroj dát pri počítaní charakteristík na vyhodnotie prítomnosti DDoS útoku. Kombinácia existujúceho systému na extrakciu a agregáciu charakteristík s existujúcim detektorom anomálií založeným na autokodéroch je zoptimalizovaná a rozšírená na využitie SYN odtlačkov. Experimentálne výsledky ukazujú obstojné zlepšenie detekcie DDoS útokov na relevantných dátových sadách. Detektor sa trénuje a testuje respektívne 16-krát a 95-krát rýchlejšie. Systém na extrakciu a agregáciu je 23-krát rýchlejší.DDoS attacks using the TCP protocol are still amongst the most common. This thesis aims to take advantage of information present in TCP SYN messages to improve DDoS attack detection success rate. TCP SYN fingerprints are proposed as an additional data source to consider when computing features for DDoS detection. A combination of an existing feature extraction and aggregation system with an existing autoencoder-based anomaly detector is significantly optimized and extended to make use of SYN fingerprints. The experimental results show decent DDoS detection improvements on relevant datasets. The detector is 16 and 95 times faster to train and execute respectively. The extraction and aggregation system is 23 times faster.