🦥 본문

Into

PDP : Programmable Data Plane

PDP를 통해 트래픽 통계 데이터 수집. 기존에는 PDP에 결정 트리나 ML을 사용하여 트래픽 탐지

• 문제점
  1. 플로우 특성에 대한 종합적인 고려 부족
     • Mousika : 이진 결정 트리로 구현. 플로우의 동적 변화를 고려 X. 단일 패킷의 특징만 추출
     • pForest : 플로우 특징 처리, 실시간 분류 가능. RF 모델의 깊이와 정확도가 리소스로 인해 제한됨.
  2. 성능 및 하드웨어 오버헤드 발생
     • NetBeacon, llsy, Planter 프레임워크 : 너무 많은 특징을 요구하여 스위치의 엔트리를 대량 소비. 고정밀 분류를 위해 수백 개의 플로우 테이블 엔트리가 필요
     • Soter : PDP에서 1차 탐지 후 의심스러운 트래픽을 CPU로 보내 정밀 탐지 → 높은 부하 상황에서 병목 현상에 직면
  3. 응용 계층 DDoS 공격에 효과적인 전략 부족
     • Poseidon, Jaqen : 프로토콜 유형 판단에 의존

  4. 스위치 클러스터의 연동 보호를 고려하지 않음

     기존 방법은 알리바바의 Sailfish 클라우드 게이트웨이나 클라우드 서비스를 지원하는 대규모 프로그래머블 스위치의 배치를 고려하지 못하는 경우가 많음

목표 : 고정밀 탐지, 하드웨어 리소스 점유 줄임. 컨트롤러의 참여를 가능한 배제. 공격이 탐지되면 다른 스위치에 공격자의 정보를 알려 협력 방어가 가능하게 해야 함

SISTAR

상관관계가 낮은 패킷 레벨 및 플로우 레벨 특징을 결합.

리소스 문제를 해결하기 위해 threshold pruning을 통해 ML 최적화. feature encoding을 통해 프로그래머블 스위치에 분산 배치

공격 중에 정확하게 탐지하고 pushback 작업을 수행

Contribution

• 프로그래머블 스위치에 효율적으로 배치할 수 있는 DDoS 탐지/완화 프레임워크 도입. 리소스 최적화. 지능형 탐지.
• 정확도를 유지하면서 임계값을 70%까지 줄이는 DT-CTS(Decision Tree-constrained Treshold segmentaion). 설계. 기존 사전 가지치기나 사후 가지치기 방식과 달리 트리 구축 단계에서 결정 임계값을 제약하여 파이프라인 및 매치-액션 테이블 구조와 일치시켜 P4 스위치 하드웨어 특성에 맞게 설계
• DT-CTS를 사용한 학습을 위해 feature를 사용. 3개의 feature만으로 높은 F1 score. 리소스
• 경고 정보와 pushback 방어 메커니즘을 활용하여 여러 스위치에 걸친 분산 모델 배치를 가능하게 하는 스위치 클러스터 보호 조치.
  • 탐지/완화를 edge로 밀어내 리소스 최소화.

Background

DDoS Attacks Solutions

공격 규모의 기하급수적인 증가, HTTP 및 DNS와 같은 응용 계층을 겨냥한 전략의 다양화 → 리소스 고갈

1. 방화벽 및 침입 탐지 시스템 (IDS) : 필터링. 정적 규칙
   • 적응력 부족
   • 업데이트 유지 관리 어려움 → 복잡한 공격에 신속하게 대응하는 것이 어려움
2. 중앙 집중식 접근 방식을 통한 ML, DL : 실시간 처리 제약
3. Pushback : 트래픽 제어 및 필터링 기능을 공격받는 대상서버에서 네트워크의 업스트림 노드로 밀어내는 것. 공격 근원지에 더 가까운 업스트림 네트워크 노드에서 악성 트래픽을 필터링하거나 제한하여 대상 서버의 부담을 줄여줌.
   • 비정상적인 트래픽 패턴을 탐지 및 식별하고 업스트림 라우터나 스위치에 필터링 규칙을 설치함으로써 악성 트래픽의 확산을 차단하거나 제한

   → 공격 트래픽이 대상 서버에 도달X. 트래픽 필터링 부담을 분산시키고 전체 네트워크의 방어 능력을 향상

DT on PDP

PDP는 Parsing, match-action, forwarding 파이프라인을 통해 패킷 처리를 재정의.

1. Parsing : 패킷 해더가 추출되어 이더넷, IP, TCP/UDP와 같은 필드
2. Match-Action : TCAM이나 SRAM을 사용하여 효율적인 규칙 매칭. ALU를 통해 헤더 수정이나 통계 업데이트와 같은 정의된 작업 수행
3. deparsed
   • 한계
   1. Tofino1 : 아키텍처는 고정된 12개의 처리 단계만을 지원. 복잡한 연산은 여러 단계에 걸쳐 수행. 데이터 처리 능력이 비트 폭 측면에서 제한적. 32비트 폭을 초과하는 데이터 처리는 지원 X
   2. 리소스 제약
   3. 신경망은 하드웨어 리소스 제한

결정 트리 (DT) : feature 기반으로 의사 결정을 내리는 ML. 각 노드는 특정 feature 특성에 따라 데이터를 서로 다른 분기로 라우팅하는 의사 결정 규칙을 나타냄. 모델의 계층적인 의사 결정 구조가 match-action 파이프라인과 매우 잘 일치하기 때문에 PDP에 적합.

DT의 조건 확인을 스위치의 처리 단계에 매핑하여 패킷 해더 정보 처리에 따른 다음 동작을 결정.

그래서 많은 트래픽 분류 프레임워크가 DT 모델을 채택

IIsy : 비지도/지도 학습 모두 match-action 파이프라인에 도입. 분류 결과 저장을 위해 lookup table 사용. 첫 사례

SwitchTree : 랜덤포레스트를 프로그래머블 스위치에 매핑. 해시 매핑을 통해 네트워크 공격 탐지를 위한 복잡한 특징들을 추정.

Planter : 앙상블 모델을 PDP에 매핑하기 위한 알고리즘 제안. match-action table에서 트리를 중첩시킴으로써 네트워크 장치에 매핑할 수 있는 트리의 수를 늘림.

→ 하드웨어 리소스 제약은 과제로 남아있음.

Approach Overview

Motivation

현재 2가지

• 일반 목적의 in-network 분류 프레임워크
  • Mousika는 알고리즘 재설계를 통해 다른 모델의 지식을 이진 결정 트리로 전달. 패킷 레벨의 특징만고려하여 심층적인 분석에는 한계가 있음
  • NetBeacon은 모델 정확도와 배치 효율성을 향상. 긴 플로우와 짧은 플로우를 구별하기 위해 플로우 길이 추정 → 저장 효율성에영향
  • IIsy : 하이브리드 모델의 배치를지원. 빈번한 스위치와 서버 간의 상호작용으로 인해 지연 시간과 복잡성이 증가. 인코딩 방식에 특정 한계 존재
  • Soter : 스위치 CPU에 실행되는 BCN이라는 경량 심층 신경망 채택 → 리소스 소모와 지연 시간 증가
• DDoS 탐지에 특화된 프레임워크
  • ML을 사용하지 않아 새롭거나 알려지지 않은 공격에 취약

  → 대규모 배치에 적합하면서도 방어 전략의 신속한 배치와 업데이트를 가능하게 하는 방법에 절실한 필요성 존재

Challenge

1. 탐지 정확도와 리소스 소비 간의 균형 : 많은 특징의 수와 모델의 정확도 사이에서 최적의 균형. model deployment 과정에서 상황에서 상당한 리소스 소비. 수많은 엔트리가 과도한공간을 차지하여 운영 효율성에 영향
2. 스위치 간 협력 처리 매커니즘 부족 : 단일 장치로 완화하기는 힘듦. DDoS 탐지 후 여러 네트워크 노드 간에 정보를 신속하고 효과적으로 전달. 공격의 영향을 완화하기 위해 행동을 조정하는 방식에 결함 존재.

System Overview

학습 단계 : C1을 해결하기 위해 신중하게 선택된 피처 세트와 DT-CTS 모델 사용.

• 정확도 유지, 모델 복잡성과 리소스 요구 사항을 크게 줄이기 위해 피처 최적화.
• 새로운 공격 발견 시 신속하게 재학습 시키고 deploy 함

deploy 단계 : 학습된 모델들은 여러 스위치에 분산되어 배치. 각 스위치는 리소스 활용을 최적화하기 위해 자신의 역할과 네트워크 위치에 따라 맞춤화된 버전의 모델 배치 . 모델 임계값을 조정하여 P스위치ㅇ서 효율적인 운영 보장. ddos 공격에 대한 전체 네트워크의 대응 속도와 처리 능력 향상

탐지 단계 : 실시간 패킷 분석. 의심스러운 행동이 탐지 되면 시스템은 경고 패킷을 생성하고 추가 분석을 위해 다른 스위치들로 배포. 공격이 확인되면 트래픽 제어를 네트워크의 업스트림 노드로 밀어내는 푸시백 매커니즘을 실행하여 서버의 부담을 줄임

Feature Engineering

Feature Extraction

패킷 특징: 개별 패킷 헤더에서 추출, 선택은 애플리케이션 시나리오에따라 달라짐

플로우 특징 : 탐지 정확도를 향상, 플로우 상태 유지를 위한 하드웨어 리소스 필요.

• 특징 중요도 계산 후 관련 특징

  

  • 중요도 계산 : RF 예측 모델 m, 데이터셋 D가 주어지면 참조 점수 s를 계산

    \[i_{j}=s-\frac{1}{K}\sum_{k=1}^{K}s_{k,j}\]
    • 특징 fj의 중요도 ij 계산

  • 알고리즘

    1~K까지의 k에 대해 : D의 j 번째 열에 있는 값들을 무작위로 섞음. 무작위로 섞인 데이터셋은 틸드 D로 표시. s{k,j}는 틸드 D{k, j}에 모델 참조 점수

  • 고정밀 모델을 구축하기 위해 개별 패킷과 플로우 레벨 통계 모두에서 특징 선택. 플로우 특징이 더 리소스를소비하지만 허용 범위 안

  • 하이퍼 파라미터 실험

    

    • 깊이가 3,4,5,6,7인 9개의 트리 사용
    • 두번째 실험은 길이를 7개로 고저ㅇ하고 트리 개수를 1,3,5,7,9로 설정
    • 모델 피처 수가 적을 대에는 트리 깊이가 개수보다 정확도에 큰 영향

DT-CTS Training

트리가 스위치의 match-action 동작에 잘 부합하도록 만들고 특징값에 대한 스위치의 판단 횟수를 최대한 줄임

• 알고리즘

  학습 데이터셋은 특징 행렬 X와 타겟 벡터 y로 구성 $X \in \mathbb{R}^{m \times k}$. m은 샘플 수 k는 특징 수

  • 목표 : 데이터셋을 고유한 클래스 레이블을 가진 리프 노드들로 분할하는 최적화된 결정 트리 생성.
    1. 임계값의 수를 기록하기 위해 threshold_count 딕셔너리 초기화.
    2. 특징 f에 대해 최적의 분할 임계값 t*을 식별하기 위해 BestSplit 함수 호출
    3. BestSplit 내에서 특징 f의 모든 고유값 t를 반복하며 지니불순도 G(t)를 계산. C는 클래스의 수 pi는 클래스 i의 확률
    4. G(t)를 최소화하는 임계값을 최적의 분할 지점으로 선택
    5. 특징의 임계값 수가 최대 제한치 T에 도달하면 분할을 수행 x
    6. t*가 결정되면 제한을 초과하지 않도록 threshold_count 업데이트

장점은 중복된 의사 결정 노드를 줄이는 것. 분할 임계값의 수를 제한하여 결정 트리가 간결화. 스위치에 매핑될 때, 계산 및 저장 용량 요구치를 크게 줄여줌. 의사 결정 노드가 적다는 것은 스위치가 비교해야할 임계값이 적고 저장해야 할 규칙이 적음 → 리소스 감소, 속도 향상

IIsy 같은 효율적인 방법으로 DT를 인코딩할 때 인코딩 비트의 수가 고정 → 너무 많은 특징에 대해 많은 임계값을 가지면 비트 길이 부족 (특징 수는 적지만 트리 깊이가 깊을 때 발생). 비트 길이를 늘리는 것은 테이블 엔트리 소모를 크게 증가

→ 단일 특징에 대한 임계값 수가 너무 많으면 필요한 비트 길이도 늘어나고 생성된 트리의 임계값 수를 제한하지 않고서는 인코딩 요구 사항을 충족하기 어려워짐

Feature Encode

중복성을 줄인 후 스위치에 매핑하기 위해 인코딩. 트리 깊이와 무관하고 피처와 관련

동일한 특징의 서로 다른 임계값을 구별하여 단일 단계에서 완료.

루트에서 리프 노드까지의 경로를 인코딩하며, 리프 노드의 수에 따라 필요한 인코딩 수가 결정.

단일 DT-CTS의 예시. 데이터를 특정 피처 임계값을 비교함으로써 서로 다른 구간으로 세분화되고 각 구간은 인코딩.

특징 x에 대해 특징 임계값이 t1,t2라고 가정. x < t1이면 00. t1 < x < t2이면 01, t2 < x < t3이면 10, t3 < x이면 11

DT-CTS에서 각 노드는 특징 임계값 a1, a2, a3, b 기준으로 분할. 리프에서 특징 생성

리프 2에서 특징 A의 값이 a1보다 작으므로 00 특징 B는 b보다 크므로 01로 인코딩.

리프 노드 집합을 L이라고 가정, 인코딩 집합 El에 대응.

삼진 매칭을 사용하면 다른 방법들에 매칭 효율을 최적화

특징 인코딩은 테이블로 매핑. 키는 특징 인코딩. 마스크는 중요한 비트 지정

마스크는 don’t care 비트를 나타냄

Distributed Deployment

분산형. 서로 다른 프로그래머블 스위치에 DT-CTS 및 RF-CTS와 같은 이기종 머신러닝 모델을 배치. 분산 배치는 탐지 및 대응의 유연성을 높임. 여러 프로그래머블 스위치의 협력 운영.

네트워크 위치와 리소스 용량에 따라 각 스위치는 서로 다른 모델을 배치. 코어 근처는 포괄적인 모델. 게이트웨이 근처의 스위치에는 신속하게 식별하고 필터링하기 위해 경량 모델 배치

pushback 메커니즘