47、基于随机森林机器学习算法的模拟软件定义网络中 UDP SYN 洪泛 DDoS 攻击检测

基于随机森林机器学习算法的模拟软件定义网络中 UDP SYN 洪泛 DDoS 攻击检测

1. 引言

软件定义网络（SDN）使网络架构摆脱了传统网络复杂性和耦合性的限制，能够同时满足灵活性、可靠性和安全性的要求。它通过将控制平面与数据平面分离，以及将网络的控制功能与数据转发功能分离来实现这一目标。控制平面负责路由决策，数据平面则负责通过转发数据包等操作来执行这些决策。这种分离提高了网络的抽象和编程能力，也使网络建设更加轻松和高效。

然而，尽管 SDN 架构相对于传统网络具有诸多优势，但它经常受到网络威胁和漏洞的攻击。SDN 面临的网络挑战主要体现在安全设备的许可要求和全局视图的获取上。由于数据包根据定义的流规则传输，物理安全设备无法自主决策，攻击者能够在安全设备部署之前绕过它们。控制器是整个网络的核心，攻击者可以通过控制器直接掌握网络的全局情况，从而发起重大攻击。分布式拒绝服务（DDoS）攻击仍然是控制平面面临的最重要的安全挑战之一，保护控制器免受 DDoS 攻击是研究人员的首要任务。

2. 背景研究

2.1 分布式拒绝服务攻击

分布式拒绝服务攻击（DDoS）的主要目的是破坏网络中的计算机系统。最初，这些攻击通常从单个工作站发起，以非法方式针对服务器系统。例如，PING 洪泛攻击（计算机反复向目标服务器发送 ICMP 查询）是一种简单的 DoS 攻击，而死亡之 ping 攻击则是更复杂的 DoS 攻击。DoS 攻击是 DDoS 攻击的前身。

DDoS 攻击以分布式方式进行，攻击者利用网络中的多个系统，向目标网站或服务器发送大量重复请求，以扰乱其正常运行。根据攻击行为和目标的不同，DDoS 攻击可分为以下三类：
- 基于流量的攻击 ：攻击者向目标系统发送大量 UDP 或 TCP 数据包，以消耗系统资源，导致带宽拥塞，使系统性能下降。这类攻击不仅难以防御，而且识别起来也很困难。
- 基于协议的攻击 ：利用网络协议的漏洞进行攻击。
- 应用层攻击 ：针对应用程序层的漏洞进行攻击。

2.2 使用随机森林机器学习算法检测 DDoS 攻击

机器学习技术可以有效地检测 DDoS 攻击。通过使用历史数据训练机器学习算法，可以识别网络流量中的模式和异常，从而检测出 DDoS 攻击。可用于 SDN 中 DDoS 检测的机器学习技术包括监督学习、无监督学习和深度学习。
- 监督学习 ：使用标记数据训练机器学习模型来检测 DDoS 攻击。这种方法需要大量的标记数据，但一旦模型训练完成，就可以实时准确地检测 DDoS 攻击。
- 无监督学习 ：无需标记数据，通过识别网络流量模式中的异常来检测 DDoS 攻击。这种方法特别适用于检测未知签名的攻击。

随机森林是一种流行的机器学习算法，用于分类和回归任务。它是一种集成方法，通过组合多个决策树来进行预测。随机森林算法具有以下优点：
|优点|描述|
| ---- | ---- |
|训练时间|与支持向量机（SVM）或神经网络等其他算法相比，随机森林的训练速度相对较快。因为森林中的每个决策树可以独立并行训练，并且算法在每次分裂时只考虑随机子集的特征。|
|预测时间|随机森林的预测时间也相对较快，尤其是与决策树相比。这是因为算法对多个决策树的预测结果进行平均，降低了过拟合的风险，提高了预测的准确性。|
|可扩展性|随机森林是一种可扩展的算法，可以处理具有大量特征的大型数据集。因为算法在每次分裂时只考虑随机子集的特征，减少了需要评估的特征数量。|
|鲁棒性|随机森林是一种鲁棒的算法，可以处理缺失数据、异常值和不平衡数据集。因为算法对多个决策树的预测结果进行平均，减少了可能存在偏差或噪声的单个树的影响。|
|可解释性|与决策树或逻辑回归等其他算法相比，随机森林的可解释性较差。因为算法组合了多个决策树的预测结果，使得难以理解确切的决策过程。|

2.3 用户数据报协议（UDP）SYN 洪泛攻击

UDP SYN 洪泛攻击是一种 DDoS 攻击，攻击者向目标服务器发送大量带有伪造源 IP 地址的 UDP 数据包，并设置 SYN 标志。由于 UDP 是无连接协议，目标服务器会返回 ICMP “目标不可达” 消息，而不是完成握手。攻击者的目标是用大量 UDP 数据包淹没目标服务器，使其无法响应合法流量，导致服务器崩溃或无响应，从而拒绝为合法用户提供服务。

为了减轻 UDP SYN 洪泛攻击，网络管理员可以采取以下措施：
- 在防火墙处过滤传入流量。
- 限制每秒允许到达服务器的 UDP 数据包数量。
- 部署专门的 DDoS 缓解工具。

此外，制定应对 DDoS 攻击的计划也很重要，包括快速识别和缓解攻击的程序，以及在攻击被中和后恢复正常操作的措施。

3. 实验设置

3.1 使用 Mininet 和 RYU 控制器模拟 SDN

实验在 Kali Linux 20.04 版本中进行，使用 Python 3.8.1 作为编码平台。Mininet 2.3 版本和 RYU 管理器 4.3 版本用于管理流量。Mininet 是行业标准的网络模拟器，利用内核命名空间功能，可以在笔记本电脑或个人计算机上进行网络原型设计。

在本次实验中，通过模拟创建了一个包含一个控制器、18 个主机和 6 个交换机的 SDN 拓扑，并建立了它们之间的必要链接。每个进程通过网络命名空间拥有自己的网络接口、ARP 表和路由表。

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px

    A(控制器):::process -->|连接| B(交换机1):::process
    A -->|连接| C(交换机2):::process
    A -->|连接| D(交换机3):::process
    A -->|连接| E(交换机4):::process
    A -->|连接| F(交换机5):::process
    A -->|连接| G(交换机6):::process
    B -->|连接| H(主机1):::process
    B -->|连接| I(主机2):::process
    C -->|连接| J(主机3):::process
    C -->|连接| K(主机4):::process
    D -->|连接| L(主机5):::process
    D -->|连接| M(主机6):::process
    E -->|连接| N(主机7):::process
    E -->|连接| O(主机8):::process
    F -->|连接| P(主机9):::process
    F -->|连接| Q(主机10):::process
    G -->|连接| R(主机11):::process
    G -->|连接| S(主机12):::process
    G -->|连接| T(主机13):::process
    G -->|连接| U(主机14):::process
    G -->|连接| V(主机15):::process
    G -->|连接| W(主机16):::process
    G -->|连接| X(主机17):::process
    G -->|连接| Y(主机18):::process

3.2 生成正常流量

使用 RYU 管理器运行 collect_normal_traffic.py 命令，为 SDN 中的正常流量创建通道。之后，运行 generate_normal_traffic.py 命令启动 SDN 网络。然后，使用集成在 Python 代码中的 IPERF 工具创建正常流量。IPERF 工具允许用户试验不同的 TCP 和 UDP 设置，以确定这些参数对网络性能的影响。

具体操作如下：
1. 在一个主机上以服务器模式运行 IPERF 进程，作为流量接收方。
2. 在另一个主机上以客户端模式启动 IPERF 进程，作为流量发送方。
3. 为了从 n2p2 向 n1p2 发送单个 UDP 流，在 n1p2 上以服务器模式运行 IPERF，在 n2p2 上以客户端模式运行 IPERF。
4. 生成正常流量的命令为： ping 10.0.0.15. iperf -c 192.168.1.102 -i1 -t60 。

通过运行 78 次这样的迭代，生成了正常流量数据集。

3.3 生成 UDP SYN 洪泛 DDoS 数据包流量

使用 hping3 命令行工具生成攻击流量。hping3 可以发送修改后的数据包，允许用户操纵数据包的大小、数量和分段，以过载目标系统并绕过或攻击防火墙。生成攻击流量的命令为： hping3 -S -V -d 120 -w 64 -p 80 –rand-source –flood 10.0.0.12 。

为了使 DDoS 流量能够流入 SDN，首先使用 RYU 管理器运行 collect_ddos_traffic.py 命令，然后执行 generate_ddos_traffic.py 命令启动 SDN 并迭代生成 DDoS 流量。例如，从 h5 节点向 h12 节点发起 UDP 洪泛攻击，运行命令 hping3 -1 -V -d 120 -w 64 -p 80 –rand-source –flood 10.0.0.12 会淹没 h12 节点。

通过 74 次迭代生成了 UDP SYN 洪泛 DDoS 攻击数据集。最后，将正常流量和攻击流量数据集合并为一个包含 200 万行的文件。

4. 模型性能评估

在本次实验里，选用 RapidMiner 8.2 作为建模工具来构建所提出的模型。RapidMiner 是一个全面的数据科学平台，具备基于图形用户界面（GUI）的工作流设计以及流程的完全自动化功能。这意味着我们在进行数据挖掘任务时无需编写代码。它是数据科学领域广泛使用的工具之一，拥有大量各种类型的数据集存储库，提供了将感兴趣的数据集导入工具的选项，还能建立数据库连接。

为开展实验，我们使用了 RapidMiner 工具中的多个操作符，具体如下：
1. Retrieve original_dataset 操作符 ：用于将创建好的数据集加载到 RapidMiner 工具中。
2. Set Role Operator 操作符 ：将数据集中的 PKT_CLASS 属性的角色设置为标签。
3. Retrieve Train 和 Retrieve 操作符 ：用于将训练数据集提取到处理流程中。
4. Random Forest 操作符 ：在数据集上运行随机森林算法。
5. Cross validation 操作符 ：将流程划分为训练和测试阶段，并评估模型在这两个阶段的性能。
6. Performance (Classification) 操作符 ：用于确定模型的性能指标。

以下是使用 RapidMiner 工具创建的随机森林模型的流程图：

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px

    A(Retrieve original_dataset):::process --> B(Set Role Operator):::process
    B --> C(Retrieve Train):::process
    C --> D(Random Forest):::process
    D --> E(Cross validation):::process
    E --> F(Performance (Classification)):::process

对模型性能进行评估后，结果如下表所示：
|阶段|准确率|
| ---- | ---- |
|训练阶段|94.89%|
|测试阶段|96.32%|
|总体|97.37%|

从上述数据可以看出，该随机森林模型在训练和测试阶段都展现出了较高的准确率，总体准确率达到了 97.37%，这表明该模型在检测 UDP SYN 洪泛 DDoS 攻击方面具有较好的性能。不过，模型的性能可能会受到数据质量和训练参数的影响。

综上所述，通过本次实验，我们成功构建了基于随机森林机器学习算法的 UDP SYN 洪泛 DDoS 攻击检测模型。该模型在模拟的软件定义网络环境中表现出了较高的检测准确率。未来，可以考虑模拟多控制器的软件定义网络，进一步优化机器学习算法，以提高模型的性能和适应性，更好地应对日益复杂的网络安全威胁。