Detecção de ataque DDoS em SDN utilizando entropia e machine learning

Abstract

Redes Definidas por Software (do inglês - Software-Defined Networking, SDN) traz um novo conceito em termos de arquitetura de rede de dados, em resposta às limitações das redes tradicionais, mas ao mesmo tempo são introduzidos novos desafios de segurança, para uma rede programável com visão global. Muitos artigos na literatura têm usado técnicas estatísticas, Entropia e Aprendizagem de Máquina (do inglês - Machine Learning, ML), isoladamente para detectar ataques DDoS em SDN. A principal questão abordada por estes trabalhos é estabelecer um limite que melhor separe o tráfego normal do espúrio, além da ausência de um limiar dinâmico que melhore a eficiência dos algoritmos baseados em entropia. Este trabalho explora a utilização de ML para o cálculo dinâmico dos limiares de algoritmos que utilizam entropia e apresenta um método híbrido utilizando entropia e ML, aqui denominado ML-Entropia, para diferenciá-lo da entropia tradicional e também três alternativas híbridas de ML (SVR híbrido, SVC híbrido e Random Forest híbrido), melhorando assim seus resultados na detecção com redução das taxas de erro em relação a entropia tradicional. Como contribuições são apresentados: Um método que melhor distinga o tráfego legítimo do espúrio em ML-Entropia e mais três técnicas alternativas viáveis; Usamos o ambiente Real para validar o experimento e o método; Uso de tráfego real ao invés de apenas o sintético na validação; Uso de uma técnica na coleta de dados que não induz sobrecarga ao controlador e finalmente apresentando um método híbrido que extrai o melhor de ambas as técnicas utilizadas, reduzindo a taxa de erro e habilitando uma técnica que permite um Limiar Dinâmico. Os resultados, em ambiente real e emulado, das quatro técnicas são todos comparados com entropia e entre si e também com três trabalhos na literatura, onde nossos resultados foram superiores em relação ao estado da arte com taxas de acerto acima de 99%, taxas de erro abaixo de 1% e além disso a ML-Entropia melhorou em até 3.621% os resultados da Entropia tradicional, incluindo Tráfego Real, em diferentes tamanhos de janelas e demonstra os ganhos da técnica proposta.